한 회사에서 AWS WAF 웹 ACL과 연결된 Application Load Balancer 뒤의 단일 VPC에서 여러 애플리케이션을 실행하고 있습니다. 보안 팀은 특정 공용 IP 범위에서 발생하는 포트 스캔을 식별했습니다. 보안 엔지니어는 해당 IP 범위의 요청을 거부해야 합니다. 어떤 솔루션이 이러한 요구 사항을 충족할까요?

AWS WAF 웹 ACL에 IP set match rule statement를 추가하는 것이 가장 직접적이고 효율적인 방법입니다. IP set을 생성하여 문제가 되는 공용 IP 범위를 포함시키고, 이 IP set을 참조하는 규칙을 웹 ACL에 추가하여 해당 IP 범위의 모든 요청을 차단할 수 있습니다. 보안 그룹에 규칙을 추가하는 것은 Application Load Balancer(ALB) 뒤의 인스턴스에 대한 직접적인 접근을 제어할 수 있지만, ALB 자체에 도달하는 요청을 차단하지 못하며, ALB가 여러 애플리케이션을 처리하는 경우 모든 애플리케이션에 영향을 미칠 수 있어 세밀한 제어가 어렵습니다. Rate-based rule은 요청 속도가 특정 임계값을 초과할 때 차단하는 것이므로, 특정 IP 범위에서 발생하는 포트 스캔을 차단하는 데는 적합하지 않습니다. Regex match conditions는 요청 본문이나 헤더의 패턴을 기반으로 차단하므로 IP 주소 기반 차단에는 적합하지 않습니다.