c3.16 Adicionar regras personalizadas do AWS WAF

Além das regras gerenciadas

As regras gerenciadas do AWS WAF protegem rapidamente contra ameaças comuns, mas algumas proteções são específicas da aplicação. Crie regras personalizadas no console ou como JSON (exporte as regras do console para JSON para controle de versão) para cobrir:

Rate limiting

Configure limites de taxa de requisições dimensionados ao tráfego normal da sua aplicação para conter DDoS de camada 7 (HTTP floods), ataques de bots (credential stuffing) e reconhecimento. Inicie uma regra no modo Count, confirme que o uso normal permanece abaixo do limite e depois mude para Block. Você também pode aplicar rate limiting por geografia onde o tráfego não é esperado.

Patch virtual

Quando uma vulnerabilidade é encontrada e não pode ser corrigida no código imediatamente, implante uma regra personalizada como "patch virtual" temporário —por exemplo, bloquear envios de formulário que contenham caracteres usados em um caminho de injeção de SQL detectado— até a correção do código chegar.

Proteja o cadastro e o login

• O Account Creation Fraud Prevention (ACFP) protege o formulário de cadastro contra cadastros falsos ou abusivos (por exemplo, abusar dos níveis gratuitos).
• O Account Takeover Prevention (ATP) protege o formulário de login contra credential stuffing e password spraying.

Quando considerar um WAF de parceiro

Avalie se o AWS WAF atende às suas necessidades ou se um WAF de parceiro (Imperva, F5, Fortinet no AWS Marketplace) encaixa melhor, seja como SaaS (aponte os domínios para o provedor) ou como appliances virtuais em uma VPC de ingresso.

Exemplo: uma regra baseada em taxa

Esta regra de WAF limita as requisições por IP de origem em uma janela de 5 minutos. Comece com Count para confirmar o limite e depois mude a ação para Block:

{
  "Name": "rate-limit-per-ip",
  "Priority": 10,
  "Statement": {
    "RateBasedStatement": {
      "Limit": 2000,
      "AggregateKeyType": "IP"
    }
  },
  "Action": { "Count": {} },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "rate-limit-per-ip"
  }
}