Peraturan, Kumpulan Peraturan dan ACL Web

AWS WAF menyusun perlindungan kepada tiga lapisan: peraturan, kumpulan peraturan dan ACL web. Peraturan ialah satu syarat dan tindakan; kumpulan peraturan menghimpunkan peraturan berkaitan; ACL web ialah bekas yang boleh digunakan, dilampirkan pada sumber dan menggabungkan semuanya.

Peraturan menggabungkan pernyataan padanan (seperti padanan rentetan pada URI) dengan tindakan (benarkan, sekat, kira atau CAPTCHA). Peraturan juga boleh menggabungkan pernyataan menggunakan logik AND, OR dan NOT, membolehkan anda menyatakan syarat seperti menyekat laluan ini kecuali permintaan datang daripada set IP yang dipercayai.

Kumpulan peraturan ialah koleksi peraturan boleh guna semula yang boleh dilampirkan pada beberapa ACL web. Kumpulan boleh diuruskan oleh AWS, dijual oleh vendor dalam Marketplace atau diuruskan pelanggan. Penggunaan semula memastikan dasar konsisten merentasi banyak aplikasi tanpa menduplikasi peraturan individu.

ACL web (senarai kawalan akses) ialah objek peringkat tertinggi yang anda kaitkan dengan pengedaran CloudFront, ALB atau API Gateway. Ia mengandungi senarai peraturan dan kumpulan peraturan tersusun serta tindakan lalai. Hanya sumber yang dipautkan kepada ACL web dilindungi oleh WAF.

Peraturan dalam ACL web dinilai mengikut turutan keutamaan, bermula dengan nombor paling rendah. Peraturan pertama yang tindakannya menamatkan penilaian (sekat atau benarkan) akan berkuat kuasa. Tindakan kira tidak menamatkan penilaian, jadi penilaian diteruskan. Menetapkan keutamaan dengan betul amat penting: sekatan luas pada peringkat awal boleh menenggelamkan peraturan yang lebih khusus.

Jika tiada peraturan mencapai tindakan penamat, ACL web menggunakan tindakan lalainya (benarkan atau sekat). Setiap ACL web juga mempunyai belanjawan kerumitan yang diukur dalam WCU (Unit Kapasiti WAF), dengan maksimum lalai 1,500. Peraturan kompleks dan kumpulan peraturan besar menggunakan lebih banyak WCU; melebihi belanjawan bermaksud peraturan perlu diringkaskan atau peningkatan perlu diminta. Oleh itu, rancang kapasiti apabila menggabungkan banyak kumpulan terurus.

ACL web mempunyai skop: CLOUDFRONT (global, dicipta di us-east-1) atau REGIONAL (untuk ALB, API Gateway dan AppSync dalam Region tertentu). ACL web serantau tidak boleh melindungi CloudFront, jadi anda mesti mencipta ACL web dalam skop yang betul sejak awal.

Peraturan boleh menambahkan label pada permintaan untuk diperiksa oleh peraturan kemudian. Kumpulan peraturan terurus mungkin melabelkan permintaan sebagai berkemungkinan bot, lalu peraturan tersuai anda boleh menentukan sama ada hendak menyekat atau mencabarnya. Label membolehkan logik terurus dan tersuai bekerjasama tanpa menduplikasi pengesanan.

Dalam kumpulan peraturan terurus, anda boleh mengatasi peraturan individu supaya dikira dan bukannya disekat, atau mengecualikannya sepenuhnya. Dengan cara ini, anda boleh melaraskan kumpulan terurus yang menghasilkan positif palsu tanpa meninggalkan keseluruhan kumpulan, sambil mengekalkan perlindungan yang lain.

Kumpulan peraturan terurus mempunyai versi yang ditetapkan oleh AWS supaya kemas kini tidak mengubah tingkah laku secara senyap. Anda boleh mengunci versi tertentu atau mengikuti versi terkini. Kumpulan peraturan yang diuruskan pelanggan membolehkan pasukan keselamatan anda memusatkan dasar dan berkongsinya merentasi pasukan aplikasi sebagai satu unit yang diselenggara.

ACL web biasa merangkaikan senarai benarkan IP, satu atau dua kumpulan terurus AWS (set peraturan teras, input buruk yang diketahui), peraturan berasaskan kadar dan beberapa peraturan tersuai, kemudian berakhir dengan tindakan benarkan lalai. Memahami cara lapisan dan keutamaan ini saling berinteraksi merupakan asas untuk menggunakan WAF dengan berkesan.

WAF menyarangkan peraturan di dalam kumpulan peraturan, yang pula berada di dalam ACL web yang anda lampirkan pada sumber. Peraturan menggabungkan pernyataan padanan dan tindakan; kumpulan peraturan boleh diguna semula serta boleh diuruskan oleh AWS, Marketplace atau pelanggan. ACL web menilai peraturan mengikut turutan keutamaan dengan tindakan lalai, dihadkan oleh WCU dan mempunyai skop CLOUDFRONT atau REGIONAL. Label dan pengatasan setiap peraturan membolehkan logik terurus dan tersuai bekerjasama.