नियम, नियम समूह और वेब ACL

AWS WAF सुरक्षा को तीन परतों में व्यवस्थित करता है: नियम, नियम समूह और वेब ACL। नियम एकल शर्त और कार्रवाई होता है; नियम समूह संबंधित नियमों को एक साथ रखता है; वेब ACL वह परिनियोजित कंटेनर है जिसे आप किसी संसाधन से जोड़ते हैं और जो सब कुछ एक साथ बाँधता है।

एक नियम किसी मिलान कथन (जैसे URI पर स्ट्रिंग मिलान) को किसी कार्रवाई (Allow, Block, Count, CAPTCHA) के साथ जोड़ता है। नियम AND, OR और NOT तर्क के साथ कथनों को भी जोड़ सकते हैं, जिससे आप ऐसी शर्तें व्यक्त कर सकते हैं जैसे: इस पथ को रोकें, जब तक कि अनुरोध किसी विश्वसनीय IP सेट से न आया हो।

नियम समूह नियमों का पुनः उपयोग योग्य संग्रह होता है, जिसे आप कई वेब ACL से जोड़ सकते हैं। समूह AWS द्वारा प्रबंधित, Marketplace में विक्रेताओं द्वारा बेचे गए या ग्राहक द्वारा प्रबंधित हो सकते हैं। पुनः उपयोग से अलग-अलग नियमों की प्रतिलिपि बनाए बिना कई एप्लिकेशन में नीति एकसमान रहती है।

वेब ACL (अभिगम नियंत्रण सूची) वह शीर्ष-स्तरीय ऑब्जेक्ट है जिसे आप CloudFront वितरण, ALB या API Gateway से संबद्ध करते हैं। इसमें नियमों और नियम समूहों की क्रमबद्ध सूची के साथ एक डिफ़ॉल्ट कार्रवाई होती है। केवल वे संसाधन WAF से सुरक्षित होते हैं जो किसी वेब ACL से जुड़े हों।

वेब ACL में नियमों का मूल्यांकन प्राथमिकता क्रम में होता है, जिसमें सबसे कम संख्या पहले आती है। जिस पहले नियम की कार्रवाई मूल्यांकन समाप्त करती है (Block या Allow), वही प्रभावी होता है। Count कार्रवाइयाँ मूल्यांकन समाप्त नहीं करतीं, इसलिए मूल्यांकन जारी रहता है। प्राथमिकता सही रखना बहुत महत्वपूर्ण है: शुरुआत में लगाया गया व्यापक रोक नियम अधिक विशिष्ट नियमों को छिपा सकता है।

यदि कोई नियम मूल्यांकन समाप्त करने वाली कार्रवाई तक नहीं पहुँचता, तो वेब ACL अपनी डिफ़ॉल्ट कार्रवाई (Allow या Block) लागू करता है। प्रत्येक वेब ACL में जटिलता का एक बजट भी होता है, जिसे WCU (WAF क्षमता इकाइयों) में मापा जाता है; इसकी डिफ़ॉल्ट अधिकतम सीमा 1,500 है। जटिल नियम और बड़े नियम समूह अधिक WCU लेते हैं। बजट पार होने पर नियमों को सरल करना या सीमा बढ़ाने का अनुरोध करना पड़ता है, इसलिए कई प्रबंधित समूहों को मिलाते समय क्षमता की योजना बनाएँ।

वेब ACL का एक स्कोप होता है: CLOUDFRONT (वैश्विक, us-east-1 में बनाया गया) या REGIONAL (किसी विशिष्ट Region में ALB, API Gateway और AppSync के लिए)। क्षेत्रीय वेब ACL CloudFront की सुरक्षा नहीं कर सकता, इसलिए आपको शुरुआत से ही सही स्कोप में वेब ACL बनाना होगा।

नियम किसी अनुरोध में लेबल जोड़ सकते हैं, जिनका निरीक्षण बाद के नियम करते हैं। कोई प्रबंधित नियम समूह किसी अनुरोध को संभावित बॉट के रूप में लेबल कर सकता है और आपका कस्टम नियम यह तय कर सकता है कि उसे रोकना है या चुनौती देनी है। लेबल पहचान को दोहराए बिना प्रबंधित और कस्टम तर्क को साथ काम करने देते हैं।

प्रबंधित नियम समूह में आप अलग-अलग नियमों को ओवरराइड करके उन्हें रोकने के बजाय Count पर सेट कर सकते हैं या पूरी तरह बाहर कर सकते हैं। गलत-सकारात्मक परिणाम देने वाले प्रबंधित समूह को समायोजित करने का यही तरीका है, जिससे पूरा समूह हटाए बिना उसकी बाकी सुरक्षा बनी रहती है।

AWS प्रबंधित नियम समूहों का संस्करण-प्रबंधन करता है, ताकि अपडेट से व्यवहार चुपचाप न बदले। आप किसी संस्करण को स्थिर कर सकते हैं या नवीनतम संस्करण का अनुसरण कर सकते हैं। ग्राहक द्वारा प्रबंधित नियम समूह आपकी सुरक्षा टीम को नीति को एक जगह केंद्रीकृत करने और एक ही अनुरक्षित इकाई के रूप में विभिन्न एप्लिकेशन टीमों के साथ साझा करने देते हैं।

एक सामान्य वेब ACL में IP अनुमति-सूची, एक या दो AWS-प्रबंधित समूह (मुख्य नियम सेट और ज्ञात खराब इनपुट), दर-आधारित नियम और कुछ कस्टम नियम होते हैं, जिनके अंत में डिफ़ॉल्ट अनुमति होती है। WAF को प्रभावी ढंग से परिनियोजित करने के लिए यह समझना मूलभूत है कि ये परतें और प्राथमिकताएँ एक-दूसरे के साथ कैसे काम करती हैं।

WAF में नियम, नियम समूहों के भीतर और वेब ACL के भीतर रखे जाते हैं, जिसे आप किसी संसाधन से जोड़ते हैं। नियम मिलान कथनों और कार्रवाइयों को जोड़ते हैं; नियम समूह पुनः उपयोग योग्य होते हैं और AWS-प्रबंधित, Marketplace से प्राप्त या कस्टम हो सकते हैं। वेब ACL डिफ़ॉल्ट कार्रवाई के साथ नियमों का प्राथमिकता क्रम में मूल्यांकन करते हैं, WCU सीमा के अधीन होते हैं और उनका CLOUDFRONT या REGIONAL स्कोप होता है। लेबल और प्रति-नियम ओवरराइड प्रबंधित तथा कस्टम तर्क को साथ काम करने देते हैं।