Règles, groupes de règles et ACL web

AWS WAF organise la protection en trois niveaux : les règles, les groupes de règles et une ACL Web. Une règle associe une condition et une action ; un groupe de règles regroupe des règles associées ; une ACL Web est le conteneur déployable que vous attachez à une ressource et qui relie tous ces éléments.

Une règle associe une instruction de correspondance (par exemple une comparaison de chaîne sur l’URI) à une action (autoriser, bloquer, compter, CAPTCHA). Les règles peuvent également combiner des instructions avec la logique AND, OR et NOT, ce qui permet d’exprimer des conditions telles que : bloquer ce chemin sauf si la requête provient d’un ensemble d’adresses IP approuvé.

Un groupe de règles est un ensemble réutilisable de règles que vous pouvez associer à plusieurs ACL Web. Les groupes peuvent être gérés par AWS, vendus par des fournisseurs sur la Marketplace ou gérés par le client. La réutilisation garantit la cohérence de la stratégie entre de nombreuses applications sans dupliquer les règles individuelles.

Une ACL Web (liste de contrôle d’accès) est l’objet de niveau supérieur que vous associez à une distribution CloudFront, à un ALB ou à API Gateway. Elle contient une liste ordonnée de règles et de groupes de règles, ainsi qu’une action par défaut. Seules les ressources associées à une ACL Web sont réellement protégées par WAF.

Les règles d’une ACL Web sont évaluées dans l’ordre de priorité, en commençant par le numéro le plus bas. La première règle dont l’action met fin à l’évaluation (bloquer ou autoriser) l’emporte. Les actions de comptage ne mettent pas fin à l’évaluation, qui se poursuit. Il est essentiel de bien définir les priorités : un blocage général placé tôt peut masquer des règles plus spécifiques.

Si aucune règle n’aboutit à une action terminale, l’ACL Web applique son action par défaut (autoriser ou bloquer). Chaque ACL Web dispose également d’un budget de complexité mesuré en WCU (unités de capacité WAF), avec un maximum par défaut de 1 500. Les règles complexes et les grands groupes de règles consomment davantage de WCU ; dépasser le budget impose de simplifier les règles ou de demander une augmentation. Planifiez donc la capacité lorsque vous combinez de nombreux groupes gérés.

Une ACL Web possède une portée : CLOUDFRONT (globale, créée dans us-east-1) ou REGIONAL (pour ALB, API Gateway et AppSync dans une Région donnée). Une ACL Web régionale ne peut pas protéger CloudFront ; vous devez donc créer l’ACL Web avec la bonne portée dès le départ.

Les règles peuvent ajouter des étiquettes à une requête, que les règles suivantes inspectent. Un groupe de règles géré peut étiqueter une requête comme provenant probablement d’un robot, puis votre règle personnalisée peut décider de la bloquer ou de la mettre au défi. Les étiquettes permettent à la logique gérée et à la logique personnalisée de coopérer sans dupliquer la détection.

Dans un groupe de règles géré, vous pouvez remplacer des règles individuelles afin de les faire compter au lieu de bloquer, ou les exclure entièrement. Cela permet d’ajuster un groupe géré qui provoque des faux positifs sans abandonner le groupe entier, tout en conservant le reste de sa protection.

Les groupes de règles gérés sont versionnés par AWS afin que les mises à jour ne modifient pas leur comportement en silence. Vous pouvez verrouiller une version ou suivre la plus récente. Les groupes de règles gérés par le client permettent à votre équipe de sécurité de centraliser la stratégie et de la partager entre les équipes applicatives sous la forme d’une seule unité maintenue.

Une ACL Web classique enchaîne une liste d’autorisation d’adresses IP, un ou deux groupes gérés par AWS (ensemble de règles principal, entrées reconnues comme malveillantes), une règle fondée sur le débit et quelques règles personnalisées, pour finir par une autorisation par défaut. Comprendre l’interaction de ces niveaux et de leurs priorités est essentiel pour déployer WAF efficacement.

Testez votre compréhension de la structure de WAF.

WAF imbrique des règles dans des groupes de règles, eux-mêmes intégrés à une ACL Web que vous attachez à une ressource. Les règles combinent des instructions de correspondance et des actions ; les groupes de règles sont réutilisables et peuvent être gérés par AWS, provenir de la Marketplace ou être personnalisés. Les ACL Web évaluent les règles dans l’ordre de priorité, avec une action par défaut ; elles sont limitées par les WCU et possèdent une portée CLOUDFRONT ou REGIONAL. Les étiquettes et les remplacements règle par règle permettent à la logique gérée et à la logique personnalisée de coopérer.