Aturan, Grup Aturan, dan Web ACL

AWS WAF mengatur perlindungan dalam tiga lapisan: aturan, kelompok aturan, dan ACL web. Aturan adalah satu kondisi dan tindakan; kelompok aturan menggabungkan aturan yang berkaitan; ACL web adalah wadah yang dapat diterapkan, yang dilampirkan ke sumber daya dan menyatukan semuanya.

Aturan menggabungkan pernyataan pencocokan (seperti pencocokan string pada URI) dengan tindakan (allow, block, count, CAPTCHA). Aturan juga dapat menggabungkan pernyataan menggunakan logika AND, OR, dan NOT, sehingga Anda dapat menyatakan kondisi seperti memblokir jalur ini kecuali permintaan berasal dari kumpulan IP tepercaya.

Kelompok aturan adalah kumpulan aturan yang dapat digunakan kembali dan dilampirkan ke beberapa ACL web. Kelompok dapat dikelola AWS, dijual oleh vendor di Marketplace, atau dikelola pelanggan. Penggunaan kembali menjaga konsistensi kebijakan di banyak aplikasi tanpa menduplikasi setiap aturan.

ACL web (access control list) adalah objek tingkat teratas yang Anda kaitkan dengan distribusi CloudFront, ALB, atau API Gateway. ACL ini berisi daftar aturan dan kelompok aturan yang berurutan, serta tindakan default. Hanya sumber daya yang ditautkan ke ACL web yang benar-benar dilindungi oleh WAF.

Aturan dalam ACL web dievaluasi berdasarkan urutan prioritas, dimulai dari nomor terendah. Aturan pertama yang tindakannya menghentikan evaluasi (block atau allow) akan menang. Tindakan count tidak menghentikan evaluasi, sehingga evaluasi berlanjut. Menetapkan prioritas dengan benar sangat penting: pemblokiran luas di awal dapat menutupi aturan yang lebih spesifik.

Jika tidak ada aturan yang mencapai tindakan penghenti, ACL web menerapkan tindakan default (allow atau block). Setiap ACL web juga memiliki anggaran kompleksitas yang diukur dalam WCU (WAF Capacity Units), dengan maksimum default 1.500. Aturan yang kompleks dan kelompok aturan yang besar menggunakan lebih banyak WCU; jika anggaran terlampaui, Anda perlu menyederhanakan aturan atau meminta peningkatan. Karena itu, rencanakan kapasitas saat menggabungkan banyak kelompok terkelola.

ACL web memiliki cakupan: CLOUDFRONT (global, dibuat di us-east-1) atau REGIONAL (untuk ALB, API Gateway, AppSync di Region tertentu). ACL web regional tidak dapat melindungi CloudFront, jadi Anda harus membuat ACL web dengan cakupan yang benar sejak awal.

Aturan dapat menambahkan label ke permintaan agar diperiksa oleh aturan berikutnya. Kelompok aturan terkelola dapat memberi label bahwa suatu permintaan kemungkinan berasal dari bot, lalu aturan khusus Anda dapat menentukan apakah permintaan tersebut harus diblokir atau ditantang. Label memungkinkan logika terkelola dan khusus bekerja sama tanpa menduplikasi deteksi.

Di dalam kelompok aturan terkelola, Anda dapat mengganti aturan individual agar menghitung kecocokan, bukan memblokir, atau mengecualikannya sepenuhnya. Dengan cara ini, Anda dapat menyempurnakan kelompok terkelola yang menimbulkan positif palsu tanpa meninggalkan seluruh kelompok dan tetap mempertahankan perlindungan lainnya.

Kelompok aturan terkelola diberi versi oleh AWS agar pembaruan tidak mengubah perilaku secara diam-diam. Anda dapat menetapkan versi tertentu atau mengikuti versi terbaru. Kelompok aturan yang dikelola pelanggan memungkinkan tim keamanan memusatkan kebijakan dan membagikannya ke seluruh tim aplikasi sebagai satu unit yang dipelihara.

ACL web yang umum menggabungkan daftar IP yang diizinkan, satu atau dua kelompok terkelola AWS (kumpulan aturan inti, input buruk yang diketahui), aturan berbasis laju, dan beberapa aturan khusus, lalu diakhiri dengan allow sebagai default. Memahami interaksi lapisan dan prioritas ini merupakan dasar untuk menerapkan WAF secara efektif.

Uji pemahaman Anda tentang struktur WAF.

WAF menempatkan aturan di dalam kelompok aturan, lalu kelompok tersebut di dalam ACL web yang dilampirkan ke sumber daya. Aturan menggabungkan pernyataan pencocokan dan tindakan; kelompok aturan dapat digunakan kembali serta dapat dikelola AWS, berasal dari Marketplace, atau dibuat khusus. ACL web mengevaluasi aturan berdasarkan urutan prioritas dengan tindakan default, dibatasi oleh WCU, dan memiliki cakupan CLOUDFRONT atau REGIONAL. Label dan penggantian per aturan memungkinkan logika terkelola dan khusus bekerja sama.