Regole gestite e limitazione della velocità

Le AWS Managed Rules sono gruppi di regole predefiniti gestiti dal team di ricerca sulle minacce di AWS. Proteggono dalle minacce comuni e in continua evoluzione, evitando che debba scrivere e aggiornare personalmente ogni firma. La maggior parte delle distribuzioni WAF inizia con uno o due gruppi gestiti come solida base di protezione.

Il Core Rule Set (CRS) è il gruppo gestito fondamentale e affronta un’ampia gamma di rischi dell’OWASP Top 10. Blocca i pattern di richieste ad alto rischio e costituisce il punto di partenza predefinito per la protezione generale delle applicazioni web, prima dell’aggiunta di gruppi più mirati.

AWS offre gruppi specializzati come Known Bad Inputs, SQL Database (contro l’iniezione SQL), regole per i sistemi operativi Linux e POSIX, oltre a gruppi per PHP e WordPress. Aggiunga quelli corrispondenti al Suo stack, in modo che le regole siano pertinenti ed evitare di sprecare WCU per firme non rilevanti.

AWS WAF Bot Control è un gruppo gestito che identifica e gestisce il traffico dei bot, etichettando le richieste come provenienti da bot verificati, bot sospetti o scraper. Consente di autorizzare bot legittimi, come i crawler dei motori di ricerca, bloccando o sottoponendo a challenge l’automazione dannosa e contrastando minacce che sembrano richieste ordinarie.

Gruppi gestiti specializzati come Account Takeover Prevention (ATP) e Account Creation Fraud Prevention (ACFP) monitorano i flussi di accesso e registrazione per rilevare il credential stuffing e l’abuso tramite account falsi. Confrontano le credenziali inviate con elenchi noti di credenziali compromesse per bloccare le frodi al margine.

Talvolta le regole gestite bloccano richieste legittime. Invece di rimuovere un intero gruppo, imposti la regola responsabile su count oppure la escluda utilizzando un override per singola regola. Esegua inizialmente i nuovi gruppi gestiti in modalità count, esamini i log e passi a block solo dopo aver confermato una bassa percentuale di falsi positivi.

Una regola basata sulla frequenza conta le richieste provenienti da una sorgente durante una finestra temporale mobile (cinque minuti per impostazione predefinita) ed esegue la propria azione quando viene superata una soglia. In questo modo limita i tentativi di accesso con forza bruta, lo scraping e le ondate a livello applicativo che potrebbero sfuggire alle regole basate sulla corrispondenza del contenuto.

Le regole basate sulla frequenza possono aggregare per indirizzo IP, per IP inoltrato (per i client che si trovano dietro proxy) oppure per chiavi personalizzate, come un’intestazione o un parametro di query. Aggregare per token di sessione o chiave API, anziché per IP, può limitare con maggiore precisione un singolo client responsabile di abusi dietro un NAT condiviso.

È possibile associare una scope-down statement a una regola basata sulla frequenza, in modo che conteggi solo le richieste che corrispondono a una condizione, ad esempio le richieste POST al percorso di accesso. In questo modo il controllo della frequenza si concentra sugli endpoint sensibili invece di limitare tutto il traffico, riducendo l'impatto sugli utenti normali.

Le regole basate sulla frequenza sono una difesa primaria contro gli attacchi DDoS a livello applicativo (livello 7), che Shield Standard non copre completamente. Quando le ondate di traffico sono costituite da molte richieste dall'aspetto valido, limitare la frequenza per origine ne riduce i danni. Questo completa Shield Advanced, che durante gli attacchi può intervenire anche sulle regole WAF.

Una solida configurazione di base di WAF combina il Core Rule Set, un gruppo specifico per lo stack, come SQL Database, Bot Control quando necessario e una regola basata sulla frequenza sugli endpoint di accesso, il tutto ottimizzato con test iniziali in modalità count. In questo modo si ottiene un'ampia copertura senza generare falsi positivi eccessivi o esaurire le WCU.

Applichi le conoscenze sul controllo della frequenza.

AWS Managed Rules fornisce configurazioni di base gestite: il Core Rule Set, gruppi mirati (SQL Database, Known Bad Inputs, WordPress), Bot Control e gruppi antifrode come ATP e ACFP. I falsi positivi si ottimizzano con la modalità count e le sostituzioni per singola regola. Le regole basate sulla frequenza limitano le origini in una finestra temporale, aggregano per indirizzo IP o chiavi personalizzate e usano scope-down statement per mitigare DDoS di livello 7 e attacchi brute force.