AI实践哪家强?来 AICon, 解锁技术前沿,探寻产业新机! 了解详情
写点什么

使用基于速率的 AWS WAF 规则保护网站和服务

  • 2019-11-13
  • 本文字数:1258 字

    阅读完需:约 4 分钟

使用基于速率的 AWS WAF 规则保护网站和服务

AWS WAF (Web 应用程序防火墙) 可帮助您的应用程序防御涉及恶意或错误格式请求的很多种应用程序层攻击。我在介绍此服务的第一篇文章 (New – AWS WAF) 中讲过,您可以定义与跨站点脚本、IP 地址、SQL 注入、大小或内容限制匹配的规则:



当传入请求符合规则时,将调用操作。操作可以是允许、阻止或只是对匹配项计数。现有规则模型非常强大,让您能够检测许多不同类型的攻击并予以响应。但是,对于只是包含大量来自某特定 IP 地址的有效请求的攻击,该规则模型无法作出响应。这些请求可能是 Web 层的 DDoS 攻击、暴力登录尝试,甚至是合作伙伴集成出错。


基于速率的新规则


现在我们将在 WAF 中增加基于速率的规则,这样您就能控制何时对黑名单添加或删除 IP 地址,并可以灵活处理异常和特殊情形:


将 IP 地址加入黑名单 – 您可以将发出请求的、速率超出所配置的速率阈值的 IP 地址加入黑名单。


IP 地址跟踪 – 您可以看到哪些 IP 地址当前被加入了黑名单。


删除 IP 地址 – 已加入黑名单的 IP 地址如果不再以高出所配置阈值的速率发出请求,则将自动从黑名单中删除。


IP 地址免审核 – 您可以在基于速率的规则中使用 IP 地址白名单免于将特定 IP 地址加入黑名单。例如,您可能希望允许可信赖的合作伙伴以较高的速率访问您的站点。


监控和报警 – 您可以通过针对每条规则发布的 CloudWatch 指标进行监控和发出警报。您可以结合基于速率的新规则和 WAF 条件实施精细的速率限制策略。例如,您可以使用基于速率的规则和与您的登录页面匹配的 WAF 条件。这样,您可以对登录页面设置较为严格的阈值 (以避免暴力密码攻击),而对于市场推广或系统状态页面设置较为宽松的阈值。阈值按照 5 分钟内来自单个 IP 地址的传入请求数定义。一旦超出此阈值,来自该 IP 地址的额外请求就会被阻止,直至请求速率降至阈值之下。


使用基于速率的规则 下面演示如何定义基于速率的规则来保护您网站的 /login 部分。首先在网页 URI 中定义一个与期望的字符串匹配的 WAF 条件:



然后,使用此条件来定义基于速率的规则 (该速率限制以 5 分钟时间段内的请求数表示,但一旦突破此限制,黑名单机制立即启动):



在定义好条件和规则之后,创建一个 Web ACL (ProtectLoginACL) 将这些都整合起来并与 AWS 资源 (在本例中为 CloudFront 分配) 关联:



然后将规则 (ProtectLogin) 与该 Web ACL 连接:



现在,将根据该规则和 Web ACL 保护该资源。您可以监控相关联的 CloudWatch 指标 (在本例中为 ProtectLoginProtectLoginACL)。您甚至可以创建 CloudWatch 警报,并使用这些警报在突破保护阈值时触发 Lambda 函数。此代码可以检查违反规则的 IP 地址,并作出业务驱动的复杂决策,比如添加一条白名单规则,对可信赖的合作伙伴或具有特殊付款计划的用户提供格外宽松的政策。


现已推出 基于速率的新规则现已提供,您可以立即开始使用!基于速率的规则与常规的规则同样定价;请参阅 WAF 定价页面了解更多信息。


本文转载自 AWS 技术博客。


原文链接:


https://amazonaws-china.com/cn/blogs/china/protect-web-sites-services-using-rate-based-rules-for-aws-waf/


2019-11-13 08:00990

评论

发布
暂无评论
发现更多内容

深入浅出:微店商品详情API接口Python攻略

tbapi

微店商品数据接口 微店商品采集 微店商品详情API

九号电动车重磅新品 Mz MAX 全面开售,实力出圈,618钜惠不容错过

科技热闻

Guitar Pro为什么被称为吉他编曲的绝佳软件?Guitar Pro编曲教程

阿拉灯神丁

吉他学习 吉他谱 编曲软件 Guitar Pro8 音乐创作

HarmonyOSNext全栈数据存储双星解析:轻量级VS关系型存储终极指南

Turing_010

AutoCAD LT 2026(cad2026简化版)中文详细安装教程-Mac/win

Rose

TG Pro:有效保护您的Mac电脑避免过热或损坏

Rose

低代码不是炫技,而是回归需求的必然答案

伤感汤姆布利柏

苹果电脑实用工具:小历TinyCal 精美的Mac日历软件

Rose

苹果Mac电脑五款实用思维导图软件分享

Rose

透明LED广告屏租赁价格:探究成本

Dylan

广告 LED LED display LED显示屏 LED屏幕

【重磅】JimuReport 积木报表 v2.0 版本发布

JEECG低代码

GitHub 数据可视化 免费报表 开源版本

HarmonyOSNEXT网络连接管理全攻略

Turing_010

为什么余承东说L3定义不合理?

脑洞汽车

AI

基于YOLOv8的PCB缺陷检测识别项目|完整源码数据集+PyQt5界面+完整训练流程+开箱即用!

申公豹

yolov8

鸿蒙仓颉语言开发实战教程:商城应用个人中心页面

幽蓝计划

AI大战,谷歌仍未扳回一局

脑极体

AI

哪款文件比较工具好用?试试 UltraCompare 吧,支持MacOS和Windows

Rose

Zerto 10.0 Update 7 - 适用于本地、混合和多云环境的灾难恢复和数据保护

sysin

Zerto

VMware VeloCloud SD-WAN 6.4 - 领先的 SD-WAN 解决方案

sysin

velocloud

Text Workflow for mac 文本格式转换工具

Rose

实用的预设管理器和编辑器 JU-106 Editor for mac

Rose

不是拿着源码过来,就能二开,还需要注意这些

程序员郭顺发

《HarmonyOSNext终极UIAbility手册:从启动模式到页面跳转,一网打尽!》

Turing_010

JNPF 低代码玩出花,协作效率干到飞起!

引迈信息

Pixologic ZBrush:角色建模、场景建模、特效制作

Rose

DaisyDisk for mac 磁盘健康及深度清理工具

Rose

用 10 个 AI 工具创建独立开发团队

俞凡

人工智能

《HarmonyOSNext 全场景网络通信能力进阶实战:从多网管理到RCP高阶开发》

Turing_010

什么是低代码?低代码开发的意义在哪?

秃头小帅oi

专为开发者和AI爱好者设计的工具 LM Studio for Mac您的本地 AI 工具包

Rose

AI编码工具:面向现代开发者的分层指南

俞凡

人工智能

使用基于速率的 AWS WAF 规则保护网站和服务_语言 & 开发_亚马逊云科技 (Amazon Web Services)_InfoQ精选文章