托管规则与速率限制

AWS 托管规则是由 AWS 威胁研究团队维护的预构建规则组。它们可以防御常见且不断演变的威胁，因此您不必亲自编写和更新每个特征。大多数 WAF 部署都会先使用一到两个托管规则组，建立坚实的基础防护。

核心规则集（CRS）是基础托管规则组，用于应对广泛的 OWASP Top 10 风险。它会阻止高风险请求模式，是一般 Web 应用防护在添加更具针对性的规则组之前的默认起点。

AWS 提供多种专用规则组，例如已知恶意输入、SQL 数据库（防 SQL 注入）、Linux 和 POSIX 操作系统规则、PHP 以及 WordPress。请添加与您的技术栈匹配的规则组，使规则保持相关性，并避免将 WCU 浪费在无关特征上。

AWS WAF 机器人控制是一个用于识别和管理机器人流量的托管规则组，会将请求标记为已验证机器人、疑似机器人或抓取器。它可以允许搜索爬虫等良性机器人，同时阻止或质询恶意自动化程序，从而应对那些看起来像普通请求的威胁。

像账户接管防护（ATP）和账户创建欺诈防护（ACFP）这样的专用托管规则组，会监控登录和注册流程，以应对凭证填充和创建虚假账户的滥用行为。它们会将提交的凭证与已知泄露凭证集合进行比对，在边缘位置阻止欺诈。

托管规则有时会阻止正常请求。与其删除整个规则组，不如将有问题的规则设置为Count，或使用逐条规则覆盖将其排除。请先以 Count 模式运行新的托管规则组，查看日志，然后在确认误报率较低后切换为阻止模式。

基于速率的规则会在滚动时间窗口内（默认五分钟）统计来自某个来源的请求，并在超过阈值后触发其操作。它可以限制暴力破解登录、抓取以及可能绕过内容匹配规则的应用层洪泛攻击。

基于速率的规则可以按IP 地址、按转发的 IP（适用于代理后的客户端）或按标头、查询参数等自定义键进行聚合。与按 IP 聚合相比，按会话令牌或 API 密钥聚合，可以更精确地限制共享 NAT 后某个单独滥用客户端的流量。

您可以将范围缩小声明附加到基于速率的规则，以便仅统计符合某个条件的请求，例如发往登录路径的 POST 请求。这样可以将速率限制集中应用于敏感端点，而不是限制所有流量，从而减少对普通用户的影响。

基于速率的规则是防御应用层（第 7 层）DDoS的主要手段之一，而 Shield Standard 无法完全覆盖此类攻击。当攻击流由大量看似有效的请求组成时，按来源实施速率限制可以限制损害范围。这与 Shield Advanced 互为补充，后者还可以在攻击期间对 WAF 规则采取操作。

稳健的 WAF 基线应结合核心规则集、特定于技术栈的规则组（例如 SQL 数据库）、按需启用的机器人控制，以及针对登录端点的基于速率的规则，并全部通过先计数模式进行调优。这样既能提供广泛覆盖，又不会因误报过多而影响正常请求，也不会耗尽 WCU。

应用速率限制知识。

AWS 托管规则提供经过维护的基线：核心规则集、有针对性的规则组（SQL 数据库、已知恶意输入、WordPress）、机器人控制，以及 ATP 和 ACFP 等欺诈防护规则组。使用计数模式和逐规则覆盖设置来调优误报。基于速率的规则会在时间窗口内限制来源的请求速率，按 IP 或自定义键聚合请求，并使用范围缩小声明来缓解第 7 层 DDoS 和暴力破解。