Reguły, grupy reguł i Web ACL

AWS WAF organizuje ochronę na trzech poziomach: reguł, grup reguł i web ACL. Reguła to pojedynczy warunek i akcja; grupa reguł łączy powiązane reguły; web ACL to kontener możliwy do wdrożenia, który dołącza się do zasobu i który spaja wszystkie elementy.

Reguła łączy instrukcję dopasowania (na przykład dopasowanie ciągu znaków w URI) z akcją (zezwalanie, blokowanie, zliczanie, CAPTCHA). Reguły mogą także łączyć instrukcje za pomocą logiki AND, OR i NOT, umożliwiając wyrażenie warunków takich jak: blokuj tę ścieżkę, chyba że żądanie pochodzi z zaufanego zestawu adresów IP.

Grupa reguł to wielokrotnego użytku zbiór reguł, który można dołączyć do wielu web ACL. Grupy mogą być zarządzane przez AWS, oferowane przez dostawców w Marketplace lub zarządzane przez klienta. Ponowne użycie zapewnia spójność zasad w wielu aplikacjach bez konieczności duplikowania pojedynczych reguł.

web ACL (access control list) to obiekt najwyższego poziomu, który kojarzy się z dystrybucją CloudFront, ALB lub API Gateway. Zawiera uporządkowaną listę reguł i grup reguł oraz akcję domyślną. Tylko zasoby połączone z web ACL są faktycznie chronione przez WAF.

Reguły w web ACL są oceniane w kolejności priorytetów, zaczynając od najniższego numeru. Wygrywa pierwsza reguła, której akcja kończy ocenę (block lub allow). Akcja count nie kończy oceny, więc jest ona kontynuowana. Prawidłowe ustawienie priorytetów ma kluczowe znaczenie: szeroka reguła blokująca umieszczona na początku może przesłonić bardziej szczegółowe reguły.

Jeśli żadna reguła nie doprowadzi do wykonania akcji kończącej ocenę, web ACL stosuje swoją akcję domyślną (allow lub block). Każdy web ACL ma także budżet złożoności mierzony w WCU (WAF Capacity Units), którego domyślny maksymalny poziom wynosi 1500. Złożone reguły i duże grupy reguł zużywają więcej jednostek WCU. Przekroczenie budżetu oznacza konieczność uproszczenia reguł lub złożenia wniosku o zwiększenie limitu, dlatego podczas łączenia wielu zarządzanych grup należy zaplanować odpowiednią pojemność.

Web ACL ma określony zakres: CLOUDFRONT (globalny, tworzony w us-east-1) lub REGIONAL (dla ALB, API Gateway i AppSync w konkretnym Regionie). Regionalny web ACL nie może chronić CloudFront, dlatego należy od początku utworzyć web ACL z właściwym zakresem.

Reguły mogą dodawać do żądania etykiety, które analizują późniejsze reguły. Zarządzana grupa reguł może oznaczyć żądanie jako prawdopodobnie pochodzące od bota, a własna reguła może następnie zdecydować, czy je zablokować, czy poddać działaniu challenge. Etykiety umożliwiają współpracę logiki zarządzanej i własnej bez powielania mechanizmów wykrywania.

W zarządzanej grupie reguł można zastąpić działanie pojedynczych reguł, ustawiając dla nich zliczanie zamiast blokowania, albo całkowicie je wykluczyć. Pozwala to dostroić zarządzaną grupę powodującą fałszywe alarmy bez rezygnowania z całej grupy i przy zachowaniu pozostałych zabezpieczeń.

Zarządzane grupy reguł są wersjonowane przez AWS, dzięki czemu aktualizacje nie zmieniają po cichu ich działania. Można przypiąć konkretną wersję albo korzystać z najnowszej. Grupy reguł zarządzane przez klienta pozwalają zespołowi ds. bezpieczeństwa centralizować zasady i udostępniać je zespołom aplikacyjnym jako jedną utrzymywaną jednostkę.

Typowy web ACL łączy listę dozwolonych adresów IP, jedną lub dwie grupy zarządzane przez AWS (core rule set, znane złośliwe dane wejściowe), regułę opartą na limicie żądań oraz kilka reguł własnych, a na końcu domyślnie zezwala na ruch. Zrozumienie wzajemnego wpływu tych warstw i priorytetów jest kluczowe dla skutecznego wdrażania WAF.

Sprawdź swoją znajomość struktury WAF.

WAF umieszcza reguły w grupach reguł, a te w web ACL, który dołącza się do zasobu. Reguły łączą instrukcje dopasowania i akcje; grupy reguł można ponownie wykorzystywać, a ich obsługą może zajmować się AWS, Marketplace lub klient. Web ACL ocenia reguły w kolejności priorytetów i stosuje akcję domyślną, podlega ograniczeniu WCU oraz ma zakres CLOUDFRONT lub REGIONAL. Etykiety i zastępowanie poszczególnych reguł umożliwiają współpracę logiki zarządzanej i własnej.