Управляемые правила и ограничение частоты

Управляемые правила AWS — это заранее созданные группы правил, которые поддерживает команда AWS по исследованию угроз. Они защищают от распространённых и меняющихся угроз, поэтому Вам не нужно самостоятельно создавать и обновлять каждую сигнатуру. Большинство развёртываний WAF начинается с одной или двух управляемых групп в качестве надёжной основы.

Основной набор правил (CRS) — это базовая управляемая группа, охватывающая широкий спектр рисков OWASP Top 10. Она блокирует запросы с высокорисковыми шаблонами и служит отправной точкой для общей защиты веб-приложений, прежде чем Вы добавите более специализированные группы.

AWS предлагает специализированные группы, такие как Known Bad Inputs, SQL Database (защита от SQL-инъекций), правила для операционных систем Linux и POSIX, а также правила для PHP и WordPress. Добавляйте группы, соответствующие Вашему стеку, чтобы правила были релевантными и WCU не расходовались на ненужные сигнатуры.

AWS WAF Bot Control — это управляемая группа, которая выявляет ботов и управляет трафиком от них, помечая запросы как проверенные боты, подозрительные боты или скрейперы. Она позволяет разрешать полезных ботов, например поисковых роботов, одновременно блокируя или проверяя вредоносную автоматизацию и противодействуя угрозам, похожим на обычные запросы.

Специализированные управляемые группы, такие как Account Takeover Prevention (ATP) и Account Creation Fraud Prevention (ACFP), отслеживают процессы входа и регистрации, выявляя подбор украденных учётных данных и злоупотребления с поддельными учётными записями. Они проверяют отправленные учётные данные по известным наборам скомпрометированных данных, чтобы остановить мошенничество на границе сети.

Управляемые правила иногда блокируют легитимные запросы. Вместо удаления всей группы переведите проблемное правило в режим подсчёта или исключите его с помощью переопределения отдельного правила. Сначала запускайте новые управляемые группы в режиме подсчёта, изучайте журналы, а затем переходите к блокировке, убедившись в небольшом количестве ложных срабатываний.

Правило на основе частоты запросов подсчитывает запросы от источника за скользящий временной интервал (по умолчанию пять минут) и выполняет своё действие после превышения порога. Это ограничивает подбор паролей методом перебора, скрейпинг и атаки на уровень приложений, которые могли бы обойти правила сопоставления содержимого.

Правила на основе частоты запросов могут агрегировать данные по IP-адресу, по пересылаемому IP-адресу (для клиентов за прокси) или по пользовательским ключам, таким как заголовок или параметр запроса. Агрегация по маркеру сеанса или ключу API, а не по IP-адресу, позволяет точнее ограничивать одного злоупотребляющего клиента за общим NAT.

К правилу с ограничением частоты можно добавить условие ограничения области действия, чтобы оно учитывало только запросы, соответствующие определённому условию, например POST-запросы к пути входа. Это позволяет сосредоточить ограничение частоты на уязвимых конечных точках, а не замедлять весь трафик, уменьшая влияние на обычных пользователей.

Правила с ограничением частоты — это основная защита от DDoS-атак на уровне приложения (уровень 7), которые Shield Standard не блокирует полностью. Если атака состоит из множества запросов, похожих на обычные, ограничение частоты для каждого источника уменьшает ущерб. Это дополняет Shield Advanced, который во время атак также может применять правила WAF.

Надёжная базовая конфигурация WAF объединяет базовый набор правил, специфичную для стека группу, например SQL Database, при необходимости — Bot Control, а также правило с ограничением частоты для конечных точек входа; все правила сначала проверяются в режиме подсчёта. Это обеспечивает широкое покрытие без критического количества ложных срабатываний и исчерпания единиц WCU.

Примените знания об ограничении частоты.

Управляемые правила AWS предоставляют поддерживаемые базовые конфигурации: базовый набор правил, целевые группы (SQL Database, Known Bad Inputs, WordPress), Bot Control и группы для защиты от мошенничества, такие как ATP и ACFP. Настраивайте ложные срабатывания с помощью режима подсчёта и переопределений для отдельных правил. Правила с ограничением частоты ограничивают источники в течение заданного временного окна, объединяют запросы по IP-адресу или пользовательским ключам и используют условия ограничения области действия для снижения риска DDoS на уровне 7 и атак методом перебора.