Правила, группы правил и веб-ACL

AWS WAF организует защиту на трёх уровнях: правила, группы правил и веб-ACL. Правило содержит одно условие и одно действие; группа правил объединяет связанные правила; веб-ACL — это развёртываемый контейнер, который подключается к ресурсу и объединяет всё вместе.

Правило объединяет условие сопоставления (например, сопоставление строки в URI) с действием (разрешить, заблокировать, подсчитать, CAPTCHA). Правила также могут объединять условия с помощью логики AND, OR и NOT, что позволяет выразить условие вроде «заблокировать этот путь, если запрос поступил не из доверенного набора IP-адресов».

Группа правил — это повторно используемая совокупность правил, которую можно подключить к нескольким веб-ACL. Группы могут быть управляемыми AWS, предлагаться поставщиками в Marketplace или быть управляемыми клиентом. Повторное использование поддерживает единообразие политики во многих приложениях без дублирования отдельных правил.

веб-ACL (список контроля доступа) — это объект верхнего уровня, который связывается с дистрибутивом CloudFront, ALB или API Gateway. Он содержит упорядоченный список правил и групп правил, а также действие по умолчанию. WAF защищает только ресурсы, связанные с веб-ACL.

Правила в веб-ACL проверяются в порядке приоритета, начиная с наименьшего номера. Побеждает первое правило, действие которого завершает проверку (блокировка или разрешение). Действие подсчёта проверку не завершает, поэтому она продолжается. Правильная настройка приоритетов критически важна: широкое правило блокировки в начале может скрыть более специфичные правила.

Если ни одно правило не приводит к завершающему действию, веб-ACL применяет своё действие по умолчанию (разрешить или заблокировать). Каждый веб-ACL также имеет бюджет сложности, измеряемый в WCU (единицах ёмкости WAF); максимальное значение по умолчанию — 1 500. Сложные правила и большие группы правил расходуют больше WCU. При превышении бюджета потребуется упростить правила или запросить увеличение, поэтому планируйте ёмкость при объединении множества управляемых групп.

У веб-ACL есть область действия: CLOUDFRONT (глобальная, создаётся в us-east-1) или REGIONAL (для ALB, API Gateway и AppSync в определённом регионе). Региональный веб-ACL не может защищать CloudFront, поэтому с самого начала необходимо создать веб-ACL в правильной области действия.

Правила могут добавлять к запросу метки, которые проверяются последующими правилами. Управляемая группа правил может пометить запрос как вероятно исходящий от бота, после чего пользовательское правило решит, заблокировать его или запросить проверку. Метки позволяют управляемой и пользовательской логике взаимодействовать без дублирования обнаружения.

В управляемой группе правил можно переопределить отдельные правила, чтобы они подсчитывали совпадения вместо блокировки, или полностью исключить их. Так можно настроить управляемую группу, вызывающую ложные срабатывания, не отказываясь от всей группы и сохраняя остальные механизмы защиты.

Управляемые группы правил версионируются AWS, поэтому обновления не изменяют поведение незаметно. Можно зафиксировать определённую версию или использовать последнюю. Группы правил, управляемые клиентом, позволяют команде безопасности централизовать политику и предоставлять её командам приложений как единый обслуживаемый компонент.

Типичный веб-ACL объединяет список разрешённых IP-адресов, одну или две управляемые AWS-группы (базовый набор правил и известные вредоносные данные), правило на основе частоты запросов и несколько пользовательских правил, завершаясь разрешением по умолчанию. Понимание взаимодействия этих уровней и приоритетов — основа эффективного развёртывания WAF.

Проверьте, насколько хорошо Вы понимаете структуру WAF.

WAF помещает правила в группы правил, а группы правил — в веб-ACL, который подключается к ресурсу. Правила объединяют условия сопоставления и действия; группы правил можно повторно использовать, и они могут быть управляемыми AWS, из Marketplace или пользовательскими. Веб-ACL проверяют правила в порядке приоритета, имеют действие по умолчанию, ограничены WCU и используют область действия CLOUDFRONT или REGIONAL. Метки и переопределения отдельных правил позволяют управляемой и пользовательской логике взаимодействовать.