Regras, Grupos de Regras e ACLs Web

O AWS WAF organiza a proteção em três camadas: regras, grupos de regras e uma Web ACL. Uma regra é uma única condição e ação; um grupo de regras reúne regras relacionadas; uma Web ACL é o contêiner implantável que você associa a um recurso e que conecta tudo.

Uma regra combina uma instrução de correspondência (como uma correspondência de texto no URI) com uma ação (Allow, Block, Count, CAPTCHA). As regras também podem combinar instruções usando a lógica AND, OR e NOT, permitindo expressar condições como bloquear este caminho, a menos que a solicitação venha de um conjunto de IPs confiável.

Um grupo de regras é uma coleção reutilizável de regras que você pode associar a várias Web ACLs. Os grupos podem ser gerenciados pela AWS, vendidos por fornecedores no Marketplace ou gerenciados pelo cliente. A reutilização mantém a política consistente em várias aplicações, sem duplicar regras individuais.

Uma Web ACL (lista de controle de acesso) é o objeto de nível mais alto que você associa a uma distribuição do CloudFront, a um ALB ou ao API Gateway. Ela contém uma lista ordenada de regras e grupos de regras, além de uma ação padrão. Somente os recursos associados a uma Web ACL são realmente protegidos pelo WAF.

As regras de uma Web ACL são avaliadas em ordem de prioridade, começando pelo número mais baixo. A primeira regra cuja ação encerra a avaliação (Block ou Allow) prevalece. As ações Count não encerram a avaliação, portanto ela continua. Definir a prioridade corretamente é essencial: um bloqueio abrangente no início pode ocultar regras mais específicas.

Se nenhuma regra chegar a uma ação de encerramento, a Web ACL aplicará sua ação padrão (Allow ou Block). Cada Web ACL também tem um orçamento de complexidade medido em WCUs (WAF Capacity Units), com máximo padrão de 1.500. Regras complexas e grupos de regras grandes consomem mais WCUs; ultrapassar o orçamento significa simplificar as regras ou solicitar um aumento. Portanto, planeje a capacidade ao combinar muitos grupos gerenciados.

Uma Web ACL tem um escopo: CLOUDFRONT (global, criado em us-east-1) ou REGIONAL (para ALB, API Gateway e AppSync em uma Região específica). Uma Web ACL regional não pode proteger o CloudFront, portanto você deve criar a Web ACL com o escopo correto desde o início.

As regras podem adicionar rótulos a uma solicitação, que serão analisados por regras posteriores. Um grupo de regras gerenciado pode rotular uma solicitação como provavelmente proveniente de um bot, e sua regra personalizada pode então decidir se deve bloqueá-la ou aplicar um desafio. Os rótulos permitem que a lógica gerenciada e a personalizada cooperem sem duplicar a detecção.

Dentro de um grupo de regras gerenciado, você pode substituir regras individuais para que executem Count em vez de Block, ou excluí-las completamente. É assim que você ajusta um grupo gerenciado que causa falsos positivos sem abandonar o grupo inteiro, preservando o restante da proteção.

Os grupos de regras gerenciados são versionados pela AWS para que as atualizações não alterem o comportamento silenciosamente. Você pode fixar uma versão ou acompanhar a mais recente. Os grupos de regras gerenciados pelo cliente permitem que sua equipe de segurança centralize a política e a compartilhe com as equipes de aplicação como uma única unidade mantida de forma centralizada.

Uma Web ACL típica encadeia uma lista de permissões de IP, um ou dois grupos gerenciados pela AWS (conjunto de regras principais e entradas reconhecidamente maliciosas), uma regra baseada em taxa e algumas regras personalizadas, terminando com Allow como ação padrão. Entender como essas camadas e prioridades interagem é essencial para implantar o WAF de forma eficaz.

Teste sua compreensão da estrutura do WAF.

O WAF aninha regras em grupos de regras, que ficam dentro de uma Web ACL associada a um recurso. As regras combinam instruções de correspondência e ações; os grupos de regras são reutilizáveis e podem ser gerenciados pela AWS, estar no Marketplace ou ser personalizados. As Web ACLs avaliam as regras em ordem de prioridade, têm uma ação padrão, são limitadas por WCUs e possuem um escopo CLOUDFRONT ou REGIONAL. Os rótulos e as substituições por regra permitem que a lógica gerenciada e a personalizada cooperem.