Reguły zarządzane i ograniczanie liczby żądań

AWS Managed Rules to gotowe grupy reguł utrzymywane przez zespół AWS zajmujący się badaniem zagrożeń. Chronią przed typowymi i zmieniającymi się zagrożeniami, dzięki czemu nie trzeba samodzielnie tworzyć i aktualizować każdej sygnatury. Większość wdrożeń WAF zaczyna się od jednej lub dwóch zarządzanych grup, które stanowią solidną bazę.

Core Rule Set (CRS) to podstawowa zarządzana grupa reguł obejmująca szeroki zakres zagrożeń z listy OWASP Top 10. Blokuje żądania o wzorcach wysokiego ryzyka i stanowi domyślny punkt wyjścia do ogólnej ochrony aplikacji internetowych przed dodaniem bardziej ukierunkowanych grup.

AWS oferuje wyspecjalizowane grupy, takie jak Known Bad Inputs, SQL Database (ochrona przed SQL injection), reguły dla systemów operacyjnych Linux i POSIX, a także PHP i WordPress. Należy dodawać grupy odpowiadające używanemu stosowi, aby reguły były istotne i aby nie marnować jednostek WCU na niepotrzebne sygnatury.

AWS WAF Bot Control to zarządzana grupa identyfikująca ruch botów i zarządzająca nim; oznacza żądania jako pochodzące od zweryfikowanych botów, podejrzanych botów lub scraperów. Umożliwia przepuszczanie dobrych botów, takich jak roboty wyszukiwarek, oraz blokowanie lub poddawanie działaniu challenge złośliwej automatyzacji, która przypomina zwykłe żądania.

Wyspecjalizowane grupy zarządzane, takie jak Account Takeover Prevention (ATP) i Account Creation Fraud Prevention (ACFP), monitorują procesy logowania i rejestracji pod kątem używania skradzionych danych uwierzytelniających oraz nadużyć związanych z fałszywymi kontami. Analizują przesyłane dane uwierzytelniające i porównują je ze znanymi zbiorami przejętych danych, aby powstrzymywać oszustwa na brzegu sieci.

Reguły zarządzane czasami blokują prawidłowe żądania. Zamiast usuwać całą grupę, należy ustawić dla problematycznej reguły tryb count albo wykluczyć ją za pomocą zastąpienia dotyczącego pojedynczej reguły. Nowe zarządzane grupy należy najpierw uruchamiać w trybie count, przejrzeć dzienniki, a następnie przełączyć je w tryb block po potwierdzeniu niskiego poziomu fałszywych alarmów.

Reguła oparta na limicie żądań zlicza żądania ze źródła w ruchomym oknie czasowym (domyślnie pięć minut) i wykonuje swoją akcję po przekroczeniu ustalonego progu. Ogranicza to próby logowania metodą brute force, skrobanie danych i przeciążenia w warstwie aplikacji, które mogłyby ominąć reguły dopasowujące zawartość.

Reguły oparte na limicie żądań mogą agregować dane według adresu IP, przekazanego adresu IP (w przypadku klientów korzystających z serwerów proxy) albo niestandardowych kluczy, takich jak nagłówek lub parametr zapytania. Agregowanie według tokenu sesji lub klucza API zamiast adresu IP może dokładniej ograniczać pojedynczego nadużywającego klienta korzystającego ze współdzielonego NAT.

Do reguły opartej na limicie szybkości można dołączyć wyrażenie scope-down, aby zliczała tylko żądania spełniające określony warunek, na przykład żądania POST do ścieżki logowania. Dzięki temu ograniczanie szybkości koncentruje się na wrażliwych punktach końcowych zamiast obejmować cały ruch, co zmniejsza wpływ na zwykłych użytkowników.

Reguły oparte na limicie szybkości stanowią podstawową ochronę przed atakami DDoS w warstwie aplikacji (warstwie 7), których Shield Standard nie obejmuje w pełni. Gdy zalew ruchu składa się z wielu żądań wyglądających na prawidłowe, ograniczanie szybkości dla poszczególnych źródeł zmniejsza skalę szkód. Rozwiązanie to uzupełnia Shield Advanced, który podczas ataków może również reagować na reguły WAF.

Solidna konfiguracja bazowa WAF łączy Core Rule Set, grupę dopasowaną do stosu, taką jak SQL Database, w razie potrzeby Bot Control oraz regułę opartą na limicie szybkości dla punktów końcowych logowania — wszystkie te elementy należy dostroić, zaczynając od testów w trybie zliczania. Zapewnia to szeroki zakres ochrony bez paraliżujących wyników fałszywie dodatnich i bez wyczerpywania limitu WCU.

Zastosuj wiedzę o ograniczaniu szybkości.

AWS Managed Rules zapewniają utrzymywane przez AWS konfiguracje bazowe: Core Rule Set, ukierunkowane grupy (SQL Database, Known Bad Inputs, WordPress), Bot Control oraz grupy związane z oszustwami, takie jak ATP i ACFP. Wyniki fałszywie dodatnie można dostrajać za pomocą trybu zliczania i zastąpień ustawień poszczególnych reguł. Reguły oparte na limicie szybkości ograniczają źródła w określonym przedziale czasu, agregują żądania według adresu IP lub kluczy niestandardowych i używają wyrażeń scope-down do ograniczania ataków DDoS w warstwie 7 oraz ataków brute force.