Domande frequenti di AWS WAF

Le regole gestite (Managed Rules) sono un modo semplice per distribuire regole preconfigurate per proteggere le tue applicazioni da minacce comuni come vulnerabilità quali OWASP, bot o vulnerabilità ed esposizioni comuni (CVE). Le AWS Managed Rules per AWS WAF sono gestite da AWS, mentre le Managed Rules di AWS Marketplace vengono gestite dai fornitori di servizi di sicurezza di terze parti.

Puoi abbonarti a una Managed Rule fornita da un venditore di sicurezza di Marketplace dalla console AWS WAF o da AWS Marketplace. Tutte le Managed Rules cui ti abboni saranno disponibili per l'aggiunta a un ACL Web AWS WAF.

Sì, puoi utilizzare le Managed Rules insieme alle tue personali regole AWS WAF. Puoi aggiungere le Managed Rules alla tua ACL Web AWS WAF esistente cui potresti aver già aggiunto le tue regole personali.

Il numero di regole all'interno di una Managed Rule non influisce sui tuoi limiti. Tuttavia, ciascuna Managed Rule aggiunta al tuo ACL Web conterà come una regola.

Puoi aggiungere una Managed Rule a un ACL Web o rimuoverla dall'ACL Web in qualsiasi momento. Le Managed Rules vengono disattivate una volta che una Managed Rule viene disassociata da qualsiasi ACL Web.

AWS WAF consente di configurare un'azione "count" per una Managed Rule, che conta il numero di richieste Web che corrispondono alle regole all'interno della Managed Rule. In questo modo potrai vedere il numero di richieste Web conteggiate e fare una stima di quante di esse verrebbero bloccate in caso di attivazione della Managed Rule.

Sì, puoi configurare CloudFront in modo che visualizzi pagine di errore personalizzate quando le richieste vengono bloccate. Per ulteriori informazioni, consulta la Guida per gli sviluppatori di CloudFront

Dopo l'impostazione iniziale, propagare globalmente una nuova regola o una modifica a una regola esistente richiede circa un minuto.

AWS WAF consente due metodi per vedere gli effetti della protezione applicata a un sito Web: in CloudWatch sono disponibili parametri con scadenza a un minuto; oppure tramite le API e la console di gestione di AWS WAF sono disponibili richieste Web di esempio. Grazie a queste risorse, è possibile vedere quali richieste vengono bloccate, quali consentite e quali conteggiate, nonché quali regole si applicano alle diverse richieste (ad esempio, una determinata richiesta viene bloccata a causa di una condizione posta sull'indirizzo IP e così via). Per ulteriori informazioni, consulta la AWS WAF Developer Guide.

AWS WAF consente di configurare un'azione "count" per le regole, che conta il numero di richieste Web che soddisfano le condizioni delle regole. In questo modo potrai vedere il numero di richieste Web conteggiate e fare una stima di quante di esse verrebbero bloccate o consentite in caso di attivazione della regola.

I parametri in tempo reale vengono memorizzati in Amazon CloudWatch. Amazon CloudWatch ti consente di configurare il periodo di scadenza degli eventi. Le richieste Web di esempio vengono memorizzate per un massimo di 3 ore.

Sì. AWS WAF aiuta a proteggere le applicazioni ed è in grado di ispezionare le richieste Web trasmesse tramite HTTP e HTTPS.

La prevenzione dell'acquisizione account (ATP) è un gruppo di regole gestite che monitora il traffico verso la pagina di login della vostra applicazione per rilevare l'accesso non autorizzato agli account degli utenti utilizzando credenziali compromesse. Puoi usare ATP per prevenire attacchi di credenziali, tentativi di login di forza bruta e altre attività di login anomale. Man mano che vengono effettuati dei tentativi di accesso alla tua applicazione, ATP controlla in tempo reale se i nomi utente e le password inviate sono state compromesse altrove sul web. Nel controllare i tentativi di login anomali provenienti da attori cattivi, ATP correla le richieste viste nel corso tempo per aiutarti a rilevare e mitigare i tentativi di forza bruta e gli attacchi di credenziali. ATP offre anche SDK opzionali per JavaScript e iOS/Android che possono essere integrati nella vostra applicazione per fornirvi una telemetria aggiuntiva sui dispositivi degli utenti che tentano di accedere alla vostra applicazione per proteggere meglio la vostra applicazione dai tentativi di accesso automatizzati da parte dei bot.

Il traffico tra i dispositivi degli utenti e la tua applicazione è protetto dal protocollo SSL/TLS che configuri per il servizio AWS che usi per la tua applicazione, come Amazon CloudFront, Application Load Balancer, Amazon API Gateway o AWS AppSync. Quando la credenziale di un utente raggiunge AWS, AWS WAF ispeziona la credenziale e poi effettua l’hashing immediatamente e la scarta, e la credenziale non lascia mai la rete AWS. Qualsiasi comunicazione tra i servizi AWS che usi nella tua applicazione e AWS WAF è criptata in transito e a riposo.

Bot Control ti permette di avere visibilità e controllo del traffico comune e intenso dei bot che può consumare risorse, alterare i parametri, causare tempo di inattività o altre attività indesiderate. Bot Control controlla vari campi di intestazione e proprietà di richiesta con le firme bot conosciute per rilevare e classificare i bot automatizzati, come scraper, scanner e crawler.

Account Takeover Prevention (ATP) ti fornisce visibilità e controllo su tentativi di accesso anomali da parte di cattivi attori con credenziali compromesse, e ti aiuta a prevenire accessi non autorizzati che potrebbero portare ad attività fraudolente. APT viene utilizzato per proteggere la pagina di login della tua applicazione.

Bot Control e ATP possono essere utilizzati in maniera indipendente l’uno dall’altro o assieme. Come con i gruppi di regole gestite da Bot Control, è possibile utilizzare l'azione predefinita di ATP per bloccare le richieste corrispondenti, oppure è possibile personalizzare il comportamento di ATP utilizzando la funzionalità di mitigazione di AWS WAF.

Sulla console di AWS WAF, crea una nuova ACL Web, o modifica una ACL Web esistente se utilizzi già AWS WAF. Puoi usare la procedura guidata per aiutarti a configurare le impostazioni di base, come la risorsa che desideri proteggere e le regole da aggiungere. Quando viene richiesto di aggiungere le regole, seleziona Aggiungi regole gestite e poi seleziona Prevenzioni delle frodi legate alla creazione di account dall'elenco delle regole gestite. Per configurare ATP, inserisci l'URL della pagina di accesso della tua applicazione e indica dove si trovano i campi nome utente e password del modulo all'interno del corpo della richiesta.

Gli SDK JavaScript e Mobile forniscono una telemetria aggiuntiva sui dispositivi degli utenti che tentano di accedere alla tua applicazione per proteggere meglio la tua applicazione dai tentativi di accesso automatizzati da parte dei bot. Non è necessario che utilizzi una della SDK, ma raccomandiamo di farlo per protezione aggiuntiva.

Quando ATP stabilisce che le credenziali utente sono state compromesse, genera un'etichetta per indicare una corrispondenza. Per impostazione predefinita, AWS WAF blocca automaticamente i tentativi di accesso che sono determinati come dannosi o anomali (ad esempio, livelli anormali di tentativi di accesso falliti, trasgressori ripetuti e tentativi di accesso da bot). Puoi modificare come AWS WAF risponde alle corrispondenze scrivendo le regole AWS WAF che agiscono sull'etichetta.

Prevenzione delle frodi legate alla creazione di account (ACFP) è un gruppo di regole gestito a pagamento che consente di rilevare e mitigare gli attacchi di creazione di account falsi nella pagina di accesso o registrazione. Puoi utilizzare ACFP per prevenire l'uso illecito di promozioni, iscrizioni, programmi fedeltà, ricompense e il phishing. Quando si registrano nuovi account, ACFP verifica in tempo reale ogni credenziale (ad esempio, nome utente e password) inviata, i domini e-mail utilizzati e altre informazioni come numeri di telefono e campi di indirizzo inseriti in tempo reale e blocca il tentativo di registrazione se una di queste informazioni è considerata rubata o ha una cattiva reputazione. Inoltre, ACFP include previsioni del rischio di frode che puoi utilizzare anche senza avere alcuna conoscenza approfondita dei modelli di rilevamento basati sul machine learning. ACFP offre anche SDK JavaScript e iOS/Android consigliati che possono essere integrati nell'applicazione per fornire una telemetria aggiuntiva sull'utente e proteggere meglio l'applicazione dai tentativi di accesso automatici da parte dei bot.

L'acquisizione account attacca la pagina di accesso di un'applicazione con l'obiettivo di ottenere l'accesso non autorizzato a un account esistente, mentre la frode legata alla creazione di account prende di mira la pagina di registrazione dell'applicazione con l'obiettivo di commettere frodi attraverso account falsi. ATP si concentra sulla prevenzione del credential stuffing e degli attacchi di forza bruta, in cui gli autori degli attacchi automatizzano centinaia di tentativi di accesso, testando le credenziali rubate su più siti. Invece, ACFP si concentra sulla prevenzione di frodi automatiche come l'uso illecito di promozioni, iscrizioni, programmi fedeltà, ricompense e il phishing. ACFP e ATP possono essere utilizzati in modo indipendente l'uno dall'altro o insieme.

Sulla console di AWS WAF, crea una nuova ACL Web, o modifica una ACL Web esistente se utilizzi già AWS WAF. Puoi usare la procedura guidata per aiutarti a configurare le impostazioni di base, come la risorsa che vuoi proteggere e le regole da aggiungere. Quando viene richiesto di aggiungere delle regole, seleziona Aggiungi regole gestite e poi seleziona Prevenzione dell'acquisizione account dall'elenco delle regole gestite. Per configurare ACFP, inserisci l'URL della pagina di creazione e registrazione dell'account dell'applicazione. Inoltre, puoi anche indicare dove si trovano i campi nome utente, password, indirizzo e numero di telefono del modulo all'interno del corpo della richiesta.

Facoltativo ma altamente consigliato. L'integrazione dell'SDK fornisce informazioni aggiuntive come versioni del browser, plugin e dati canvas che aumentano l'efficacia delle regole ACP. Se non viene utilizzata l'integrazione dell'SDK, la applichiamo utilizzando l'azione Challenge. L'azione Challenge non funziona correttamente con le applicazioni a pagina singola (SPA) e le app native per dispositivi mobili, quindi per queste applicazioni l'integrazione dell'SDK è obbligatoria. Per altre app in grado di resistere all'aggiornamento della pagina, come le pagine HTML, l'integrazione dell'SDK è facoltativa. Supportiamo l'SDK JS per applicazioni Web e Android e l'SDK iOS per applicazioni native per dispositivi mobili.

Puoi verificare in che modo ACFP protegge la tua applicazione esaminando il Pannello di controllo delle frodi sulla console, la registrazione completa del WAF e i parametri di CloudWatch.

Dashboard: una dashboard centralizzata per il monitoraggio delle richieste analizzate da ACFP e i parametri di CloudWatch di ATP. Tutte le azioni delle regole con il gruppo di regole ACFP emettono i parametri di CloudWatch che i clienti possono utilizzare per creare avvisi e notifiche.

Registrazione WAF: tutte le richieste analizzate da ACFP vengono registrate nei log WAF, quindi puoi utilizzare le soluzioni di registrazione esistenti per eseguire query e analizzare i log per le regole gestite da ACFP. ACFP registra dettagli come le azioni sulle regole, le informazioni sull'etichetta e il punteggio di rischio, che possono essere utilizzati per monitorare l'efficacia di ACFP.