Verwaltete Regeln und Rate Limiting

AWS Managed Rules sind vorgefertigte Regelgruppen, die vom AWS-Team für Bedrohungsforschung gepflegt werden. Sie schützen vor häufigen und sich weiterentwickelnden Bedrohungen, sodass Sie nicht jede Signatur selbst erstellen und aktualisieren müssen. Die meisten WAF-Bereitstellungen beginnen mit einer oder zwei verwalteten Gruppen als solider Basis.

Das Core Rule Set (CRS) ist die grundlegende verwaltete Gruppe und deckt ein breites Spektrum der OWASP-Top-10-Risiken ab. Es blockiert Anfragemuster mit hohem Risiko und dient als standardmäßiger Ausgangspunkt für den allgemeinen Schutz von Webanwendungen, bevor Sie gezieltere Gruppen hinzufügen.

AWS bietet spezialisierte Gruppen wie Known Bad Inputs, SQL Database (Schutz vor SQL-Injection), Regeln für die Betriebssysteme Linux und POSIX sowie Gruppen für PHP und WordPress. Fügen Sie die Gruppen hinzu, die zu Ihrem Stack passen, damit die Regeln relevant sind und Sie keine WCUs für unpassende Signaturen verbrauchen.

AWS WAF Bot Control ist eine verwaltete Gruppe, die Bot-Datenverkehr erkennt und verwaltet, indem sie Anfragen als verifizierte Bots, verdächtige Bots oder Scraper kennzeichnet. Damit können Sie gute Bots wie Suchmaschinen-Crawler zulassen und gleichzeitig bösartige Automatisierung blockieren oder mit einer Challenge prüfen. So lassen sich Bedrohungen abwehren, die wie gewöhnliche Anfragen aussehen.

Spezialisierte verwaltete Gruppen wie Account Takeover Prevention (ATP) und Account Creation Fraud Prevention (ACFP) überwachen Anmelde- und Registrierungsprozesse auf Credential Stuffing und den Missbrauch gefälschter Konten. Sie prüfen übermittelte Anmeldedaten gegen bekannte kompromittierte Datensätze, um Betrug bereits am Netzwerkrand zu stoppen.

Verwaltete Regeln blockieren gelegentlich legitime Anfragen. Statt eine ganze Gruppe zu entfernen, setzen Sie die betreffende Regel auf Count oder schließen Sie sie durch eine regelbezogene Überschreibung aus. Führen Sie neue verwaltete Gruppen zunächst im Count-Modus aus, prüfen Sie die Logs und wechseln Sie erst dann zu Block, wenn Sie wenige Fehlalarme bestätigt haben.

Eine Rate-Based Rule zählt die Anfragen einer Quelle innerhalb eines gleitenden Zeitfensters (standardmäßig fünf Minuten) und führt ihre Aktion aus, sobald ein Schwellenwert überschritten wird. Dadurch werden Brute-Force-Anmeldungen, Scraping und Flooding auf der Anwendungsschicht gedrosselt, die Inhaltsprüfungen möglicherweise passieren würden.

Rate-Based Rules können nach IP-Adresse, nach weitergeleiteter IP-Adresse (für Clients hinter Proxys) oder nach benutzerdefinierten Schlüsseln wie einem Header oder Query-Parameter aggregieren. Eine Aggregation nach einem Sitzungstoken oder API-Schlüssel statt nach der IP-Adresse kann einen einzelnen missbräuchlichen Client hinter gemeinsam genutztem NAT gezielter drosseln.

Sie können eine Scope-Down-Anweisung an eine ratenbasierte Regel anhängen, sodass sie nur Anfragen zählt, die einer Bedingung entsprechen, etwa POST-Anfragen an den Anmeldepfad. Dadurch konzentrieren Sie die Ratenbegrenzung auf sensible Endpunkte, anstatt den gesamten Datenverkehr zu drosseln, und verringern die Auswirkungen auf normale Benutzer.

Ratenbasierte Regeln sind eine wichtige Abwehrmaßnahme gegen DDoS-Angriffe auf der Anwendungsschicht (Layer 7), die Shield Standard nicht vollständig abdeckt. Wenn Angriffswellen aus vielen gültig wirkenden Anfragen bestehen, begrenzt die Ratenbegrenzung pro Quelle den Schaden. Dies ergänzt Shield Advanced, das während Angriffen auch auf WAF-Regeln reagieren kann.

Eine solide WAF-Basiskonfiguration kombiniert das Core Rule Set, eine stackspezifische Gruppe wie SQL Database, bei Bedarf Bot Control und eine ratenbasierte Regel für Anmeldeendpunkte – alles abgestimmt durch Tests im Count-Modus. So erhalten Sie eine umfassende Abdeckung, ohne dass übermäßig viele False Positives auftreten oder die WCU-Kapazität erschöpft wird.

Wenden Sie Ihr Wissen über Ratenbegrenzung an.

AWS Managed Rules stellen gepflegte Basiskonfigurationen bereit: das Core Rule Set, gezielte Gruppen (SQL Database, Known Bad Inputs, WordPress), Bot Control und Fraud-Gruppen wie ATP und ACFP. Stimmen Sie False Positives mit dem Count-Modus und regelbezogenen Überschreibungen ab. Ratenbasierte Regeln drosseln Quellen innerhalb eines Zeitfensters, aggregieren nach IP-Adresse oder benutzerdefinierten Schlüsseln und verwenden Scope-Down-Anweisungen, um DDoS-Angriffe auf Layer 7 und Brute-Force-Angriffe abzuwehren.