[Infra Ops] 웹방화벽 403 분석과 CDN 캐시 관리 실무

SQL Injection:    /search?q='; DROP TABLE users; --
XSS:             /comment?text=<script>alert('xss')</script>
Path Traversal:  /api/file?path=../../etc/passwd
Command Injection: /api/exec?cmd=ls;cat /etc/shadow

# WAF 로그 파일에서 차단 기록 확인 (AWS WAF + ALB 예시)
# CloudWatch Logs에서 조회하거나, S3 버킷에 저장된 로그 확인

# 로컬 WAF(ModSecurity + Nginx) 로그 예시
grep "403" /var/log/nginx/error.log | grep "ModSecurity" | tail -20
# 예시 출력:
# ModSecurity: Access denied with code 403 (phase 2). Pattern match "SELECT.*FROM" at ARGS:body.
# [id "942100"] [msg "SQL Injection Attack Detected via libinjection"]

# 차단된 요청의 전체 내용 재현
curl -v -X POST https://example.com/api/data \
  -H "Content-Type: application/json" \
  -d '{"query": "SELECT id FROM products WHERE name=?", "param": "apple"}'
# → 이 요청이 차단됐다면 body에 SQL 키워드가 있기 때문

1. 어떤 규칙 ID가 매칭됐는가?
2. 어떤 파라미터/헤더/Body 값이 트리거됐는가?
3. 해당 값이 실제 공격 패턴인가, 아니면 정상 데이터인가?
4. 정상 데이터라면 어떤 예외 조건으로 허용할 것인가?
   (경로? 파라미터명? 특정 IP? 특정 규칙만 제외?)

# ModSecurity 예외 규칙 예시 (/etc/nginx/conf.d/modsecurity-exceptions.conf)

# 방법 1: 특정 경로에서 특정 규칙 ID만 비활성화
SecRule REQUEST_URI "@beginsWith /api/education/content" \
    "id:9001,phase:1,t:none,nolog,pass,\
     ctl:ruleRemoveById=942100"
# 942100 규칙만 해당 경로에서 제외

# 방법 2: 특정 파라미터에서 규칙 비활성화
SecRule REQUEST_URI "@beginsWith /api/posts" \
    "id:9002,phase:2,t:none,nolog,pass,\
     ctl:ruleRemoveTargetById=942100;ARGS:content"
# /api/posts의 content 파라미터에서만 942100 규칙 제외

# AWS WAF에서 예외 규칙 추가 (AWS CLI)
# 특정 헤더가 있는 요청을 WAF 규칙 평가 전에 허용
aws wafv2 create-rule-group \
  --name "AllowedBotRequests" \
  --scope CLOUDFRONT \
  --capacity 100 \
  --region us-east-1

사용자 (서울) → CloudFront 엣지 (서울)
                        ↓ 캐시 없으면
                원본 서버 (us-east-1)
                        ↓ 콘텐츠 전달 + 캐시 저장
                CloudFront 엣지 (서울)
                        ↓ 다음 요청부터는 캐시에서 응답
사용자 (서울) ←

Cache-Control: max-age=86400    → CDN이 86400초(1일) 캐시
Cache-Control: no-cache         → 매 요청마다 원본 확인
Cache-Control: no-store         → 캐시 금지
ETag, Last-Modified             → 조건부 요청으로 변경 여부 확인

[클라이언트]  GET https://example.com/page
   │
   ① CDN 엣지 도착                    (사용자와 가장 가까운 PoP)
   │
   ② 캐시 조회                        (캐시 키로 HIT/MISS 판정)
   │    ├─ HIT  → 엣지가 즉시 응답, 오리진까지 안 감
   │    └─ MISS → 아래로 진행
   │
   ③ WAF 규칙 평가                    (시그니처·레이트리밋·봇 판정)
   │    → 매칭 + 임계치 초과면 여기서 403 차단, 오리진 못 감
   │
   ④ 오리진 요청                      (엣지가 XFF 헤더에 실제 IP 담아 전달)
   │
   ⑤ 응답을 캐시에 저장 후 반환        (Cache-Control 따라 TTL 동안 보관)
   ▼
[클라이언트]  응답 수신

# 전체 경로 무효화 (/* 주의: 비용 발생, 10개 이상부터 과금)
aws cloudfront create-invalidation \
  --distribution-id EDFDVBD6EXAMPLE \
  --paths "/*"

# 특정 파일만 무효화 (권장)
aws cloudfront create-invalidation \
  --distribution-id EDFDVBD6EXAMPLE \
  --paths "/static/js/app.js" "/static/css/main.css"

# 무효화 진행 상태 확인
aws cloudfront list-invalidations \
  --distribution-id EDFDVBD6EXAMPLE \
  --query 'InvalidationList.Items[0].{Id:Id,Status:Status}'

# Cloudflare API로 모든 캐시 삭제
curl -X POST "https://api.cloudflare.com/client/v4/zones/<ZONE_ID>/purge_cache" \
  -H "Authorization: Bearer <API_TOKEN>" \
  -H "Content-Type: application/json" \
  --data '{"purge_everything": true}'

# 특정 URL만 삭제 (권장)
curl -X POST "https://api.cloudflare.com/client/v4/zones/<ZONE_ID>/purge_cache" \
  -H "Authorization: Bearer <API_TOKEN>" \
  -H "Content-Type: application/json" \
  --data '{
    "files": [
      "https://example.com/static/js/app.123abc.js",
      "https://example.com/static/css/main.456def.css"
    ]
  }'

# CI/CD 스크립트 예시 (GitHub Actions의 deploy step)
# 1. 파일 빌드 및 S3 업로드
aws s3 sync ./dist s3://my-bucket/static/ --delete

# 2. CDN 캐시 무효화
aws cloudfront create-invalidation \
  --distribution-id $CF_DISTRIBUTION_ID \
  --paths "/static/*"

# 3. 무효화 완료 대기 (선택)
aws cloudfront wait invalidation-completed \
  --distribution-id $CF_DISTRIBUTION_ID \
  --id <INVALIDATION_ID>

# Nginx에서 X-Forwarded-For 헤더 활용
server {
    # 실제 클라이언트 IP를 X-Real-IP로 설정
    set_real_ip_from 103.21.244.0/22;  # Cloudflare IP 대역 예시
    set_real_ip_from 173.245.48.0/20;
    real_ip_header CF-Connecting-IP;   # Cloudflare 전용 헤더

    # AWS CloudFront 사용 시
    # set_real_ip_from <CloudFront-IP-ranges>;
    # real_ip_header X-Forwarded-For;

    # 로그 포맷에 실제 IP 포함
    log_format main_cdn '$realip_remote_addr $http_x_forwarded_for '
                        '[$time_local] "$request" $status';
    access_log /var/log/nginx/access.log main_cdn;
}

# CDN 캐시 상태 확인 (응답 헤더로)
curl -s -I https://example.com/static/app.js \
  | grep -E "Cache-Control|Age|CF-Cache-Status|X-Cache"

# 출력 예시:
# Cache-Control: max-age=86400
# Age: 3600                     ← 캐시된 지 3600초 경과
# CF-Cache-Status: HIT          ← Cloudflare 캐시에서 응답
# X-Cache: Hit from cloudfront  ← CloudFront 캐시에서 응답