能否配置AWS API Gateway使其不对80端口扫描请求返回响应

结论 #

原生AWS APIGateway不支持自定义80端口的响应行为，无法直接配置为对80端口的扫描请求完全不返回响应。

原因说明 #

APIGateway的前端入口是AWS托管的区域负载均衡或CloudFront基础设施，底层默认规则固定：443端口对外开放HTTPS服务，80端口会直接返回RST包，所以你用nmap扫描会显示closed状态，这部分网络配置AWS没有开放给用户自行修改。

可行的解决方案 #

• 如果你给APIGateway绑定了自定义域名，可以在APIGateway前新增一层自建的应用负载均衡（ALB）或者WAF实例，在该层的安全组/访问规则中配置仅开放443端口，80端口直接设置为DROP规则，此时扫描80端口不会返回任何响应，nmap会标记为filtered状态，符合安全评审要求。
• 如果你使用的是APIGateway默认提供的execute-api域名，无法修改底层端口规则，你可以向评审方补充说明该closed状态为AWS托管服务的默认行为，不存在实际安全风险：80端口没有运行任何HTTP服务，不会泄露服务信息，所有业务流量均走加密的443端口传输，不存在明文泄露风险。

扫描样例参考 #

$ nmap xxxxxxxxx.execute-api.REGION.amazonaws.com
Starting Nmap 7.92 ( https://nmap.org ) at 2021-08-12 15:51
Nmap scan report for xxxxxxxxxxxxx.execute-api.REGION.amazonaws.com (x.x.x.x)
Host is up (0.022s latency).
Other addresses for xxxxxxxxxxxxx.execute-api.REGION.amazonaws.com (not scanned): x.x.x.x y.y.y.y
rDNS record for x.x.x.x x.x.x.x.REGION.compute.amazonaws.com
Not shown: 998 filtered tcp ports (no-response)
PORT    STATE  SERVICE
80/tcp  closed http
443/tcp open   https

Nmap done: 1 IP address (1 host up) scanned in 6.86 seconds

内容的提问来源于stack exchange，提问作者monkut