Regole, gruppi di regole e Web ACL

AWS WAF organizza la protezione su tre livelli: regole, gruppi di regole e una web ACL. Una regola è costituita da una singola condizione e da un’azione; un gruppo di regole raggruppa regole correlate; una web ACL è il contenitore distribuibile che si associa a una risorsa e riunisce tutti questi elementi.

Una regola combina un’istruzione di corrispondenza (come una corrispondenza di stringa sull’URI) con un’azione (consenti, blocca, conta, CAPTCHA). Le regole possono anche combinare istruzioni con la logica AND, OR e NOT, consentendo di esprimere condizioni come: blocca questo percorso a meno che la richiesta non provenga da un set di IP attendibile.

Un gruppo di regole è una raccolta riutilizzabile di regole che può essere associata a più web ACL. I gruppi possono essere gestiti da AWS, venduti da fornitori nel Marketplace oppure gestiti dal cliente. Il riutilizzo mantiene coerente la policy tra molte applicazioni senza duplicare le singole regole.

Una web ACL (access control list) è l’oggetto di livello superiore che si associa a una distribuzione CloudFront, a un ALB o ad API Gateway. Contiene un elenco ordinato di regole e gruppi di regole, oltre a un’azione predefinita. Solo le risorse collegate a una web ACL sono effettivamente protette da WAF.

Le regole di una web ACL vengono valutate in ordine di priorità, iniziando dal numero più basso. Vince la prima regola la cui azione interrompe la valutazione (blocco o autorizzazione). Le azioni count non interrompono la valutazione, che quindi continua. Impostare correttamente le priorità è fondamentale: un blocco ampio inserito all’inizio può rendere inapplicabili regole più specifiche.

Se nessuna regola raggiunge un’azione terminale, la web ACL applica la propria azione predefinita (consenti o blocca). Ogni web ACL dispone inoltre di un budget di complessità misurato in WCU (WAF Capacity Units), con un massimo predefinito di 1.500. Le regole complesse e i gruppi di regole estesi consumano più WCU; superare il budget significa semplificare le regole o richiedere un aumento. Pianifichi quindi la capacità quando combina molti gruppi gestiti.

Una web ACL ha un ambito: CLOUDFRONT (globale, creata in us-east-1) oppure REGIONAL (per ALB, API Gateway e AppSync in una Regione specifica). Una web ACL regionale non può proteggere CloudFront, quindi deve creare la web ACL nell’ambito corretto fin dall’inizio.

Le regole possono aggiungere etichette a una richiesta, che le regole successive possono esaminare. Un gruppo di regole gestito può etichettare una richiesta come probabilmente proveniente da un bot, dopodiché una regola personalizzata può decidere se bloccarla o sottoporla a challenge. Le etichette consentono alla logica gestita e a quella personalizzata di collaborare senza duplicare il rilevamento.

All’interno di un gruppo di regole gestito può sostituire il comportamento delle singole regole impostandole su count anziché block, oppure escluderle completamente. In questo modo può ottimizzare un gruppo gestito che genera falsi positivi senza rinunciare all’intero gruppo, mantenendo il resto della sua protezione.

I gruppi di regole gestiti sono versionati da AWS, così gli aggiornamenti non ne modificano il comportamento senza preavviso. Può fissare una versione specifica oppure seguire quella più recente. I gruppi di regole gestiti dal cliente consentono al team di sicurezza di centralizzare la policy e condividerla tra i team applicativi come un’unica unità gestita.

Una web ACL tipica combina una lista di autorizzazione IP, uno o due gruppi gestiti da AWS (core rule set, input dannosi noti), una regola basata sulla frequenza e alcune regole personalizzate, terminando con un’azione predefinita allow. Comprendere l’interazione tra questi livelli e le relative priorità è fondamentale per distribuire WAF in modo efficace.

Verifichi la Sua comprensione della struttura di WAF.

WAF annida le regole nei gruppi di regole, che a loro volta sono contenuti in una web ACL associata a una risorsa. Le regole combinano istruzioni di corrispondenza e azioni; i gruppi di regole sono riutilizzabili e possono essere gestiti da AWS, provenire dal Marketplace o essere personalizzati. Le web ACL valutano le regole in ordine di priorità con un’azione predefinita, sono vincolate dalle WCU e hanno un ambito CLOUDFRONT o REGIONAL. Le etichette e gli override per singola regola consentono alla logica gestita e a quella personalizzata di collaborare.