Administrerte regler og hastighetsbegrensning

AWS Managed Rules er forhåndsbygde regelgrupper som vedlikeholdes av AWS-teamet for trusselforskning. De beskytter mot vanlige trusler i utvikling, slik at De slipper å skrive og oppdatere alle signaturene selv. De fleste WAF-distribusjoner starter med én eller to administrerte grupper som et solid grunnlag.

Core Rule Set (CRS) er den grunnleggende administrerte gruppen og dekker et bredt spekter av risikoer fra OWASP Top 10. Den blokkerer forespørsler med høyrisikomønstre og fungerer som standard utgangspunkt for generell beskyttelse av webapplikasjoner før De legger til mer målrettede grupper.

AWS tilbyr spesialiserte grupper som Known Bad Inputs, SQL Database (beskyttelse mot SQL-injection), regler for operativsystemene Linux og POSIX, samt PHP og WordPress. De legger til gruppene som passer teknologistakken Deres, slik at reglene er relevante og De unngår å bruke WCU-er på irrelevante signaturer.

AWS WAF Bot Control er en administrert gruppe som identifiserer og håndterer bottrafikk ved å merke forespørsler som bekreftede boter, mistenkte boter eller skrapere. Den lar Dem tillate gode boter, for eksempel søkemotorcrawlere, samtidig som ondsinnet automatisering blokkeres eller utfordres. Slik håndteres trusler som ser ut som vanlige forespørsler.

Spesialiserte administrerte grupper som Account Takeover Prevention (ATP) og Account Creation Fraud Prevention (ACFP) overvåker innloggings- og registreringsflyter for credential stuffing og misbruk gjennom falske kontoer. De kontrollerer innsendt legitimasjon mot kjente kompromitterte datasett for å stoppe svindel ved kanten.

Administrerte regler kan av og til blokkere legitime forespørsler. I stedet for å fjerne en hel gruppe kan De sette den aktuelle regelen til tell eller ekskludere den ved hjelp av en overstyring per regel. Kjør nye administrerte grupper i tell-modus først, gå gjennom loggene, og bytt deretter til blokker når De har bekreftet at antallet falske positiver er lavt.

En takstbasert regel teller forespørsler fra en kilde i et rullerende tidsvindu (standard fem minutter) og utløser handlingen sin når en terskel overskrides. Dette begrenser brute-force-innlogginger, skraping og flomangrep på applikasjonslaget som ellers kunne ha sluppet forbi regler som matcher innhold.

Takstbaserte regler kan aggregere etter IP-adresse, etter videresendt IP (for klienter bak proxyer) eller etter tilpassede nøkler som en header eller en spørringsparameter. Aggregering etter et sesjonstoken eller en API-nøkkel i stedet for IP-adresse kan begrense én enkelt misbrukende klient bak delt NAT mer presist.

De kan knytte en scope-down-setning til en ratebasert regel, slik at den bare teller forespørsler som samsvarer med en betingelse, for eksempel POST-forespørsler til påloggingsbanen. Dette retter hastighetsbegrensningen mot sensitive endepunkter i stedet for å begrense all trafikk, og reduserer belastningen for vanlige brukere.

Ratebaserte regler er et viktig forsvar mot DDoS-angrep på applikasjonslaget (lag 7), som Shield Standard ikke dekker fullt ut. Når flomangrep består av mange forespørsler som ser legitime ut, begrenser hastighetsbegrensning per kilde skadeomfanget. Dette kompletterer Shield Advanced, som også kan reagere på WAF-regler under angrep.

Et solid WAF-grunnlag kombinerer Core Rule Set, en stakkspesifikk gruppe som SQL Database, Bot Control ved behov og en ratebasert regel for påloggingsendepunkter. Alt finjusteres ved først å teste i count-modus. Dette gir bred dekning uten lammende falske positiver eller at WCU-ene tar slutt.

AWS Managed Rules gir vedlikeholdte grunnregler: Core Rule Set, målrettede grupper (SQL Database, Known Bad Inputs, WordPress), Bot Control og svindelgrupper som ATP og ACFP. Finjuster falske positiver med count-modus og overstyringer per regel. Ratebaserte regler begrenser kilder i et tidsvindu, aggregerer etter IP-adresse eller egendefinerte nøkler og bruker scope-down-setninger for å redusere DDoS-angrep på lag 7 og brute force-angrep.