Kurallar, Kural Grupları ve Web ACL'leri

AWS WAF korumayı üç katmanda düzenler: kurallar, kural grupları ve bir web ACL. Kural, tek bir koşul ve eylemdir; kural grubu, ilgili kuralları bir araya getirir; web ACL ise bir kaynağa bağladığınız ve her şeyi bir araya getiren dağıtılabilir kapsayıcıdır.

Bir kural, bir eşleşme ifadesini (URI üzerinde dize eşleşmesi gibi) bir eylemle (allow, block, count, CAPTCHA) birleştirir. Kurallar ifadeleri AND, OR ve NOT mantığıyla da birleştirebilir; böylece istek güvenilir bir IP kümesinden gelmediği sürece bu yolu engelle gibi koşulları ifade edebilirsiniz.

Bir kural grubu, birden fazla web ACL'ye bağlayabileceğiniz yeniden kullanılabilir bir kural koleksiyonudur. Gruplar AWS tarafından yönetilen, Marketplace'te satıcılar tarafından sunulan veya müşteri tarafından yönetilen gruplar olabilir. Yeniden kullanım, tek tek kuralları çoğaltmadan birçok uygulamada ilkenin tutarlı kalmasını sağlar.

Bir web ACL (erişim denetim listesi), CloudFront dağıtımı, ALB veya API Gateway ile ilişkilendirdiğiniz en üst düzey nesnedir. Sıralı bir kural ve kural grubu listesiyle birlikte varsayılan bir eylem içerir. WAF tarafından yalnızca bir web ACL'ye bağlanan kaynaklar gerçekten korunur.

Bir web ACL'deki kurallar öncelik sırasına göre, en düşük numaradan başlayarak değerlendirilir. Değerlendirmeyi sonlandıran eyleme (block veya allow) sahip ilk kural kazanır. Count eylemleri değerlendirmeyi sonlandırmadığından değerlendirme devam eder. Önceliği doğru belirlemek kritik önem taşır: başta yer alan geniş kapsamlı bir engelleme, daha özel kuralların etkisini gölgeleyebilir.

Hiçbir kural sonlandırıcı bir eyleme ulaşmazsa web ACL kendi varsayılan eylemini (allow veya block) uygular. Her web ACL'nin ayrıca WCU'larla (WAF Kapasite Birimleri) ölçülen bir karmaşıklık bütçesi vardır; varsayılan üst sınır 1.500'dür. Karmaşık kurallar ve büyük kural grupları daha fazla WCU tüketir. Bütçeyi aşmak, kuralları basitleştirmeniz veya artış istemeniz anlamına gelir; bu nedenle çok sayıda yönetilen grubu birleştirirken kapasiteyi planlayın.

Bir web ACL'nin bir kapsamı vardır: CLOUDFRONT (genel, us-east-1'de oluşturulur) veya REGIONAL (belirli bir Region'daki ALB, API Gateway ve AppSync için). Bölgesel bir web ACL CloudFront'u koruyamaz; bu nedenle web ACL'yi en baştan doğru kapsamda oluşturmanız gerekir.

Kurallar, daha sonra gelen kuralların inceleyebileceği etiketleri bir isteğe ekleyebilir. Yönetilen bir kural grubu, bir isteği olası bot olarak etiketleyebilir; özel kuralınız da isteği engelleyip engellemeyeceğine veya challenge uygulayıp uygulamayacağına karar verebilir. Etiketler, algılamayı yinelemeden yönetilen ve özel mantığın birlikte çalışmasını sağlar.

Yönetilen bir kural grubunda tek tek kuralları geçersiz kılarak block yerine count uygulanmasını sağlayabilir veya bu kuralları tamamen hariç tutabilirsiniz. Bu yöntem, tüm grubu bırakmadan yanlış pozitiflere neden olan yönetilen grubu ayarlamanızı ve korumanın geri kalanını sürdürmenizi sağlar.

Yönetilen kural grupları, davranışın sessizce değişmemesi için AWS tarafından sürüm numaralarıyla yönetilir. Belirli bir sürüme sabitleyebilir veya en yeni sürümü takip edebilirsiniz. Müşteri tarafından yönetilen kural grupları, güvenlik ekibinizin ilkeyi merkezileştirmesine ve tek bir bakımı yapılan birim olarak uygulama ekipleriyle paylaşmasına olanak tanır.

Tipik bir web ACL; bir IP izin listesini, bir veya iki AWS tarafından yönetilen grubu (temel kural kümesi, bilinen kötü girdiler), hıza dayalı bir kuralı ve birkaç özel kuralı zincirler ve varsayılan allow ile sona erer. Bu katmanların ve önceliklerin nasıl etkileştiğini anlamak, WAF'ı etkili biçimde dağıtmanın temelidir.

WAF yapısını ne kadar kavradığınızı test edin.

WAF, kuralları kural grupları içinde, kural gruplarını da bir kaynağa bağladığınız web ACL içinde barındırır. Kurallar eşleşme ifadelerini ve eylemleri birleştirir; kural grupları yeniden kullanılabilir ve AWS tarafından yönetilen, Marketplace'ten alınan veya özel olabilir. Web ACL'ler kuralları öncelik sırasına göre varsayılan bir eylemle değerlendirir, WCU'larla sınırlıdır ve CLOUDFRONT veya REGIONAL kapsamına sahiptir. Etiketler ve kural başına geçersiz kılmalar, yönetilen ve özel mantığın birlikte çalışmasını sağlar.