Säännöt, sääntöryhmät ja Web ACL:t

AWS WAF järjestää suojauksen kolmeen kerrokseen: sääntöihin, sääntöryhmiin ja web ACL:ään. Sääntö on yksittäinen ehto ja toiminto, sääntöryhmä kokoaa toisiinsa liittyvät säännöt, ja web ACL on käyttöönotettava säilö, joka liitetään resurssiin ja kokoaa kaiken yhteen.

Sääntö yhdistää täsmäytyslausekkeen (kuten URI:n merkkijonotäsmäytyksen) toimintoon (salli, estä, laske, CAPTCHA). Säännöt voivat myös yhdistää lausekkeita AND-, OR- ja NOT-logiikalla, jolloin voitte ilmaista esimerkiksi ehdon, joka estää tietyn polun, ellei pyyntö tule luotetusta IP-joukosta.

Sääntöryhmä on uudelleenkäytettävä sääntökokoelma, jonka voitte liittää useisiin web ACL:iin. Ryhmät voivat olla AWS:n hallinnoimia, Marketplacessa myytävien toimittajien tarjoamia tai asiakkaan hallinnoimia. Uudelleenkäyttö pitää käytännöt yhdenmukaisina useissa sovelluksissa ilman yksittäisten sääntöjen kopiointia.

Web ACL (access control list) on ylätason objekti, jonka liitätte CloudFront-jakeluun, ALB:hen tai API Gatewayhin. Se sisältää sääntöjen ja sääntöryhmien järjestetyn luettelon sekä oletustoiminnon. WAF suojaa käytännössä vain resursseja, jotka on yhdistetty web ACL:ään.

Web ACL:n säännöt arvioidaan prioriteettijärjestyksessä pienimmästä numerosta alkaen. Ensimmäinen sääntö, jonka toiminto päättää arvioinnin (estäminen tai salliminen), voittaa. Count-toiminnot eivät päätä arviointia, joten se jatkuu. Oikea prioriteetti on ratkaiseva: aikaisin sijoitettu laaja estävä sääntö voi peittää alleen tarkemmat säännöt.

Jos mikään sääntö ei johda arvioinnin päättävään toimintoon, web ACL käyttää oletustoimintoa (salli tai estä). Jokaisella web ACL:llä on myös monimutkaisuusbudjetti, joka mitataan WCU-yksiköissä (WAF Capacity Units); oletusarvoinen enimmäismäärä on 1 500. Monimutkaiset säännöt ja suuret sääntöryhmät kuluttavat enemmän WCU-yksiköitä. Budjetin ylittäminen tarkoittaa sääntöjen yksinkertaistamista tai korotuksen pyytämistä, joten suunnitelkaa kapasiteetti, kun yhdistätte monia hallinnoituja ryhmiä.

Web ACL:llä on käyttöalue: CLOUDFRONT (maailmanlaajuinen, luodaan alueella us-east-1) tai REGIONAL (ALB:tä, API Gatewayta ja AppSynciä varten tietyllä alueella). Regional-web ACL ei voi suojata CloudFrontia, joten web ACL on luotava alusta alkaen oikeaan käyttöalueeseen.

Säännöt voivat lisätä pyyntöön tunnisteita, joita myöhemmät säännöt tarkastelevat. Hallinnoitu sääntöryhmä voi merkitä pyynnön todennäköisesti botin lähettämäksi, minkä jälkeen mukautettu sääntö voi päättää, estetäänkö pyyntö vai esitetäänkö haaste. Tunnisteiden avulla hallinnoitu ja mukautettu logiikka voivat toimia yhdessä ilman tunnistuksen kopiointia.

Hallinnoidussa sääntöryhmässä voitte ohittaa yksittäisiä sääntöjä ja muuttaa niiden toiminnoksi laskemisen estämisen sijaan tai sulkea ne kokonaan pois. Näin voitte säätää virheellisiä positiivisia tuloksia aiheuttavaa hallinnoitua ryhmää luopumatta koko ryhmästä ja säilyttää muun sen tarjoaman suojauksen.

AWS versioi hallinnoidut sääntöryhmät, jotta päivitykset eivät muuta toimintaa huomaamatta. Voitte lukita tietyn version tai seurata uusinta versiota. Asiakkaan hallinnoimien sääntöryhmien avulla tietoturvatiimi voi keskittää käytännöt ja jakaa ne sovellustiimeille yhtenä ylläpidettävänä kokonaisuutena.

Tyypillinen web ACL ketjuttaa IP-osoitteiden sallittujen luettelon, yhden tai kaksi AWS:n hallinnoimaa ryhmää (ydinsääntökokoelma ja tunnetusti haitalliset syötteet), nopeusperusteisen säännön sekä muutaman mukautetun säännön ja päättyy oletusarvoiseen sallimiseen. Näiden kerrosten ja prioriteettien yhteistoiminnan ymmärtäminen on keskeistä WAF:n tehokkaassa käyttöönotossa.

WAF sisältää sääntöjä, jotka ovat sääntöryhmissä, jotka puolestaan ovat resurssiin liitettävässä web ACL:ssä. Säännöt yhdistävät täsmäytyslausekkeita ja toimintoja. Sääntöryhmät ovat uudelleenkäytettäviä, ja ne voivat olla AWS:n hallinnoimia, Marketplacesta hankittuja tai mukautettuja. Web ACL:t arvioivat säännöt prioriteettijärjestyksessä ja käyttävät oletustoimintoa. Niitä rajoittavat WCU-yksiköt, ja niillä on CLOUDFRONT- tai REGIONAL-käyttöalue. Tunnisteiden ja sääntökohtaisten ohitusten avulla hallinnoitu ja mukautettu logiikka voivat toimia yhdessä.