c3.16 Agregar reglas personalizadas de AWS WAF

Más allá de las reglas administradas

Las reglas administradas de AWS WAF protegen rápidamente contra amenazas comunes, pero algunas protecciones son específicas de la aplicación. Cree reglas personalizadas en la consola o como JSON (exporte las reglas de la consola a JSON para control de versiones) para cubrir:

Rate limiting

Configure límites de tasa de solicitudes dimensionados al tráfico normal de su aplicación para mitigar DDoS de capa 7 (HTTP floods), ataques de bots (credential stuffing) y reconocimiento. Inicie una regla en modo Count, confirme que el uso normal se mantiene bajo el umbral y luego cámbiela a Block. También puede aplicar rate limiting por geografía donde el tráfico no es esperado.

Parcheo virtual

Cuando se encuentra una vulnerabilidad y no puede corregirse en el código de inmediato, despliegue una regla personalizada como "parche virtual" temporal —por ejemplo, bloquear envíos de formulario que contengan caracteres usados en un camino de inyección SQL detectado— hasta que llegue la corrección del código.

Proteja el registro y el inicio de sesión

• Account Creation Fraud Prevention (ACFP) protege el formulario de registro contra registros falsos o abusivos (por ejemplo, abusar de las capas gratuitas).
• Account Takeover Prevention (ATP) protege el formulario de login contra credential stuffing y password spraying.

Cuándo considerar un WAF de socio

Evalúe si AWS WAF cubre sus necesidades o si un WAF de socio (Imperva, F5, Fortinet en el AWS Marketplace) encaja mejor, ya sea como SaaS (apunte los dominios al proveedor) o como appliances virtuales en una VPC de ingreso.

Ejemplo: una regla basada en tasa

Esta regla de WAF limita las solicitudes por IP de origen en una ventana de 5 minutos. Empieza con Count para confirmar el umbral y luego cambia la acción a Block:

{
  "Name": "rate-limit-per-ip",
  "Priority": 10,
  "Statement": {
    "RateBasedStatement": {
      "Limit": 2000,
      "AggregateKeyType": "IP"
    }
  },
  "Action": { "Count": {} },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "rate-limit-per-ip"
  }
}