Règles gérées et limitation du débit

Les règles gérées par AWS sont des groupes de règles préconstruits et maintenus par l’équipe de recherche sur les menaces d’AWS. Elles protègent contre les menaces courantes et évolutives, sans que vous ayez à écrire et à mettre à jour vous-même chaque signature. La plupart des déploiements WAF commencent par un ou deux groupes gérés qui constituent une base solide.

Le Core Rule Set (CRS) est le groupe géré fondamental. Il couvre un large éventail de risques de l’OWASP Top 10. Il bloque les motifs de requête à haut risque et constitue le point de départ par défaut pour la protection générale des applications Web, avant l’ajout de groupes plus ciblés.

AWS propose des groupes spécialisés tels que Known Bad Inputs, SQL Database (protection contre les injections SQL), des règles pour les systèmes d’exploitation Linux et POSIX, ainsi que des règles pour PHP et WordPress. Ajoutez ceux qui correspondent à votre pile afin que les règles soient pertinentes et d’éviter de gaspiller des WCU avec des signatures inutiles.

AWS WAF Bot Control est un groupe géré qui identifie et gère le trafic des robots en étiquetant les requêtes comme provenant de robots vérifiés, de robots suspects ou de robots d’extraction. Il vous permet d’autoriser les bons robots, comme les robots d’indexation, tout en bloquant ou en mettant au défi les automatisations malveillantes, et traite ainsi les menaces qui ressemblent à des requêtes ordinaires.

Des groupes gérés spécialisés comme Account Takeover Prevention (ATP) et Account Creation Fraud Prevention (ACFP) surveillent les parcours de connexion et d’inscription pour détecter le bourrage d’identifiants et l’utilisation abusive de faux comptes. Ils comparent les identifiants soumis à des ensembles connus d’identifiants compromis afin d’arrêter la fraude à la périphérie.

Les règles gérées bloquent parfois des requêtes légitimes. Plutôt que de supprimer tout un groupe, configurez la règle concernée en mode comptage ou excluez-la au moyen d’un remplacement règle par règle. Exécutez d’abord les nouveaux groupes gérés en mode comptage, examinez les journaux, puis passez au blocage lorsque vous avez confirmé que les faux positifs sont peu nombreux.

Une règle fondée sur le débit compte les requêtes provenant d’une source sur une fenêtre temporelle glissante (cinq minutes par défaut) et déclenche son action dès qu’un seuil est dépassé. Cela limite les connexions par force brute, l’extraction automatisée et les saturations de la couche application qui pourraient échapper aux règles de correspondance de contenu.

Les règles fondées sur le débit peuvent agréger les requêtes par adresse IP, par IP transmise (pour les clients situés derrière des serveurs mandataires) ou selon des clés personnalisées comme un en-tête ou un paramètre de requête. Agréger selon un jeton de session ou une clé API plutôt que selon l’IP peut limiter plus précisément un client abusif unique situé derrière une NAT partagée.

Vous pouvez associer une instruction de restriction de portée à une règle basée sur le débit afin qu'elle ne compte que les requêtes correspondant à une condition, par exemple les requêtes POST vers le chemin de connexion. Cela concentre la limitation du débit sur les points de terminaison sensibles au lieu de ralentir tout le trafic, ce qui réduit l'impact sur les utilisateurs normaux.

Les règles basées sur le débit constituent une défense principale contre les attaques DDoS de la couche applicative (couche 7), que Shield Standard ne couvre pas entièrement. Lorsque les vagues d'attaque sont constituées de nombreuses requêtes qui semblent valides, la limitation du débit par source plafonne les dégâts. Elle complète Shield Advanced, qui peut également agir sur les règles WAF pendant les attaques.

Une base WAF solide combine le jeu de règles principal, un groupe adapté à la pile, comme SQL Database, Bot Control si nécessaire, et une règle basée sur le débit sur les points de terminaison de connexion, le tout ajusté au moyen de tests en mode comptage. Vous bénéficiez ainsi d'une couverture étendue sans subir un excès de faux positifs ni épuiser les WCU.

Appliquez vos connaissances sur la limitation du débit.

Les règles gérées par AWS fournissent des bases entretenues : le jeu de règles principal, des groupes ciblés (SQL Database, Known Bad Inputs, WordPress), Bot Control et des groupes de lutte contre la fraude comme ATP et ACFP. Ajustez les faux positifs avec le mode comptage et des remplacements par règle. Les règles basées sur le débit limitent les sources sur une fenêtre temporelle, les regroupent par IP ou au moyen de clés personnalisées et utilisent des instructions de restriction de portée pour atténuer les attaques DDoS de couche 7 et les attaques par force brute.