Reglas administradas y limitación de velocidad

Las AWS Managed Rules son grupos de reglas prediseñados mantenidos por el equipo de investigación de amenazas de AWS. Protegen contra amenazas comunes y cambiantes, por lo que no tiene que escribir y actualizar cada firma por su cuenta. La mayoría de las implementaciones de WAF comienzan con uno o dos grupos administrados como una base sólida.

El Core Rule Set (CRS) es el grupo administrado fundamental y aborda una amplia variedad de riesgos del OWASP Top 10. Bloquea patrones de solicitudes de alto riesgo y sirve como punto de partida predeterminado para la protección general de aplicaciones web, antes de añadir grupos más específicos.

AWS ofrece grupos especializados como Known Bad Inputs, SQL Database (contra inyecciones SQL), reglas para los sistemas operativos Linux y POSIX, PHP y WordPress. Añada los que correspondan a su pila para que las reglas sean relevantes y evitar desperdiciar WCU en firmas irrelevantes.

AWS WAF Bot Control es un grupo administrado que identifica y gestiona el tráfico de bots, etiquetando las solicitudes como bots verificados, bots sospechosos o scrapers. Permite autorizar bots legítimos, como los rastreadores de buscadores, y bloquear o someter a un desafío la automatización maliciosa, lo que aborda amenazas que parecen solicitudes normales.

Los grupos administrados especializados, como Account Takeover Prevention (ATP) y Account Creation Fraud Prevention (ACFP), supervisan los flujos de inicio de sesión y registro para detectar el credential stuffing y el abuso mediante cuentas falsas. Inspeccionan las credenciales enviadas y las comparan con conjuntos conocidos de credenciales comprometidas para detener el fraude en el perímetro.

En ocasiones, las reglas administradas bloquean solicitudes legítimas. En lugar de eliminar un grupo completo, configure la regla problemática en modo count o exclúyala mediante una anulación por regla. Ejecute primero los grupos administrados nuevos en modo count, revise los registros y cambie a block cuando confirme que hay pocos falsos positivos.

Una regla basada en la tasa cuenta las solicitudes de un origen durante una ventana de tiempo móvil (cinco minutos de forma predeterminada) y activa su acción cuando se supera un umbral. Esto limita los inicios de sesión por fuerza bruta, el scraping y las inundaciones de la capa de aplicación que podrían evadir las reglas de coincidencia de contenido.

Las reglas basadas en la tasa pueden agregar por dirección IP, por IP reenviada (para clientes situados detrás de proxies) o por claves personalizadas, como un encabezado o un parámetro de consulta. Agregar por un token de sesión o una clave de API, en lugar de por IP, puede limitar con mayor precisión a un único cliente abusivo situado detrás de una NAT compartida.

Puede asociar una declaración de reducción de alcance a una regla basada en tasa para que solo cuente las solicitudes que coincidan con una condición, como las solicitudes POST a la ruta de inicio de sesión. Esto centra la limitación de tasa en los endpoints sensibles en lugar de limitar todo el tráfico, lo que reduce el impacto en los usuarios normales.

Las reglas basadas en tasa son una defensa principal contra los ataques DDoS de la capa de aplicación (capa 7), que Shield Standard no cubre completamente. Cuando las avalanchas consisten en muchas solicitudes con apariencia válida, la limitación de tasa por origen limita los daños. Esto complementa Shield Advanced, que también puede actuar sobre las reglas de WAF durante los ataques.

Una base sólida de WAF combina el Core Rule Set, un grupo específico de la tecnología, como SQL Database, Bot Control si es necesario, y una regla basada en tasa en los endpoints de inicio de sesión; todo ello ajustado mediante pruebas comenzando en modo de conteo. Esto proporciona una cobertura amplia sin generar falsos positivos incapacitantes ni agotar las WCU.

Aplique los conocimientos sobre limitación de tasa.

AWS Managed Rules proporciona bases mantenidas: el Core Rule Set, grupos específicos (SQL Database, Known Bad Inputs, WordPress), Bot Control y grupos contra el fraude como ATP y ACFP. Ajuste los falsos positivos con el modo de conteo y las anulaciones por regla. Las reglas basadas en tasa limitan los orígenes durante un intervalo de tiempo, agregan solicitudes por IP o por claves personalizadas y usan declaraciones de reducción de alcance para mitigar ataques DDoS de capa 7 y de fuerza bruta.