**Wir stellen vor: ein neues Konsolenerlebnis für AWS WAF** Sie können das aktualisierte Erlebnis jetzt verwenden, um überall in der Konsole auf AWS WAF Funktionen zuzugreifen. Weitere Informationen finden Sie unter [Arbeiten mit der Konsole](https://docs.aws.amazon.com/waf/latest/developerguide/working-with-console.html). Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # AWS WAF Regelgruppe zur Verhinderung von Kontoübernahmen (ATP) zur Betrugsbekämpfung In diesem Abschnitt wird erklärt, was die verwaltete Regelgruppe zur Verhinderung von Kontoübernahmen ( AWS WAF Fraud Control Account Takeover Prevention, ATP) bewirkt. VendorName:`AWS`, Name:`AWSManagedRulesATPRuleSet`, WCU: 50 **Anmerkung** Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html). Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen alles bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, um die Regeln zu umgehen. Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/). Die verwaltete Regelgruppe zur Verhinderung von Kontoübernahmen ( AWS WAF Fraud Control Account Takeover Prevention, ATP) kennzeichnet und verwaltet Anfragen, die Teil böswilliger Kontoübernahmeversuche sein könnten. Zu diesem Zweck untersucht die Regelgruppe Anmeldeversuche, die Clients an den Anmeldeendpunkt Ihrer Anwendung senden. + **Überprüfung von Anfragen** — ATP bietet Ihnen Transparenz und Kontrolle über ungewöhnliche Anmeldeversuche und Anmeldeversuche, bei denen gestohlene Anmeldeinformationen verwendet werden, um Kontoübernahmen zu verhindern, die zu betrügerischen Aktivitäten führen könnten. ATP überprüft E-Mail- und Passwortkombinationen anhand seiner Datenbank mit gestohlenen Anmeldeinformationen, die regelmäßig aktualisiert wird, sobald neue durchgesickerte Anmeldeinformationen im Dark Web gefunden werden. ATP aggregiert Daten nach IP-Adresse und Clientsitzung, um Clients zu erkennen und zu blockieren, die zu viele Anfragen verdächtiger Art senden. + **Überprüfung der Antworten** — Bei CloudFront Verteilungen untersucht die ATP-Regelgruppe nicht nur eingehende Anmeldeanfragen, sondern auch die Antworten Ihrer Anwendung auf Anmeldeversuche, um Erfolgs- und Fehlschlagquoten nachzuverfolgen. Mithilfe dieser Informationen kann ATP vorübergehend Clientsitzungen oder IP-Adressen blockieren, bei denen zu viele Anmeldefehler aufgetreten sind. AWS WAF führt die Antwortprüfung asynchron durch, sodass die Latenz Ihres Webverkehrs dadurch nicht erhöht wird. ## Überlegungen zur Verwendung dieser Regelgruppe Für diese Regelgruppe ist eine spezielle Konfiguration erforderlich. Anleitungen zur Konfiguration und Implementierung dieser Regelgruppe finden Sie unter [AWS WAF Verhinderung von Kontoübernahmen bei der Betrugsbekämpfung (ATP)](waf-atp.md). Diese Regelgruppe ist Teil der intelligenten Schutzmaßnahmen zur Abwehr von Bedrohungen in. AWS WAF Weitere Informationen finden Sie unter [Intelligente Bedrohungsabwehr in AWS WAF](waf-managed-protections.md). **Anmerkung** Wenn Sie diese verwaltete Regelgruppe verwenden, werden Ihnen zusätzliche Gebühren berechnet. Weitere Informationen finden Sie unter [AWS WAF  – Preise](https://aws.amazon.com/waf/pricing/). Um Ihre Kosten niedrig zu halten und sicherzustellen, dass Sie Ihren Web-Traffic nach Ihren Wünschen verwalten, verwenden Sie diese Regelgruppe gemäß den Anweisungen unter[Bewährte Methoden für intelligente Bedrohungsabwehr in AWS WAF](waf-managed-protections-best-practices.md). Diese Regelgruppe ist nicht für die Verwendung mit Amazon Cognito Cognito-Benutzerpools verfügbar. Sie können ein Schutzpaket (Web-ACL), das diese Regelgruppe verwendet, keinem Benutzerpool zuordnen, und Sie können diese Regelgruppe nicht zu einem Schutzpaket (Web-ACL) hinzufügen, das bereits einem Benutzerpool zugeordnet ist. ## Von dieser Regelgruppe hinzugefügte Bezeichnungen Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die für Regeln verfügbar sind, die nach dieser Regelgruppe in Ihrem Schutzpaket (Web-ACL) ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label). ### Token-Labels Diese Regelgruppe verwendet AWS WAF Tokenverwaltung, um Webanfragen anhand des Status ihrer AWS WAF Token zu überprüfen und zu kennzeichnen. AWS WAF verwendet Token für die Nachverfolgung und Überprüfung von Clientsitzungen. Hinweise zu Token und Tokenverwaltung finden Sie unter[Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Informationen zu den hier beschriebenen Label-Komponenten finden Sie unter[Anforderungen an Labelsyntax und Benennung in AWS WAF](waf-rule-label-requirements.md). **Bezeichnung der Clientsitzung** Das Label `awswaf:managed:token:id:identifier` enthält eine eindeutige Kennung, anhand derer die AWS WAF Tokenverwaltung die Clientsitzung identifiziert. Die Kennung kann sich ändern, wenn der Client ein neues Token erwirbt, beispielsweise nachdem er das Token, das er verwendet hat, verworfen hat. **Anmerkung** AWS WAF meldet keine CloudWatch Amazon-Metriken für dieses Label. **Fingerabdruck-Label des Browsers** Das Etikett `awswaf:managed:token:fingerprint:fingerprint-identifier` enthält eine robuste Browser-Fingerabdruck-ID, die das AWS WAF Token-Management aus verschiedenen Client-Browsersignalen berechnet. Diese Kennung bleibt auch bei mehreren Token-Akquisitionsversuchen gleich. Die Fingerabdruck-ID ist nicht eindeutig für einen einzelnen Client. **Anmerkung** AWS WAF meldet keine CloudWatch Amazon-Metriken für dieses Label. **Token-Statusbezeichnungen: Namespace-Präfixe für Labels** Token-Statusbezeichnungen geben Auskunft über den Status des Tokens und der darin enthaltenen Challenge- und CAPTCHA-Informationen. Jedes Token-Statuslabel beginnt mit einem der folgenden Namespace-Präfixe: + `awswaf:managed:token:`— Wird verwendet, um den allgemeinen Status des Tokens und den Status der Challenge-Informationen des Tokens zu melden. + `awswaf:managed:captcha:`— Wird verwendet, um über den Status der CAPTCHA-Informationen des Tokens zu berichten. **Token-Statusbezeichnungen: Labelnamen** Nach dem Präfix enthält der Rest des Labels detaillierte Informationen zum Token-Status: + `accepted`— Das Anforderungstoken ist vorhanden und enthält Folgendes: + Eine gültige Challenge oder CAPTCHA-Lösung. + Eine noch nicht abgelaufene Herausforderung oder ein CAPTCHA-Zeitstempel. + Eine Domainspezifikation, die für das Protection Pack (Web-ACL) gültig ist. Beispiel: Das Label `awswaf:managed:token:accepted` gibt an, dass das Token der Webanfragen eine gültige Challenge-Lösung, einen noch nicht abgelaufenen Challenge-Zeitstempel und eine gültige Domain enthält. + `rejected`— Das Anforderungstoken ist vorhanden, erfüllt aber nicht die Akzeptanzkriterien. Zusammen mit dem abgelehnten Label fügt die Tokenverwaltung einen benutzerdefinierten Label-Namespace und einen Namen hinzu, um den Grund anzugeben. + `rejected:not_solved`— Dem Token fehlt die Challenge- oder CAPTCHA-Lösung. + `rejected:expired`— Der Challenge- oder CAPTCHA-Zeitstempel des Tokens ist gemäß den konfigurierten Token-Immunitätszeiten Ihres Schutzpakets (Web-ACL) abgelaufen. + `rejected:domain_mismatch`— Die Domain des Tokens entspricht nicht der Token-Domain-Konfiguration Ihres Schutzpakets (Web-ACL). + `rejected:invalid`— Das angegebene Token AWS WAF konnte nicht gelesen werden. Beispiel: Die beiden Bezeichnungen `awswaf:managed:captcha:rejected` deuten `awswaf:managed:captcha:rejected:expired` zusammen darauf hin, dass für die Anfrage keine gültige CAPTCHA-Lösung gefunden wurde, da der CAPTCHA-Zeitstempel im Token die Immunitätszeit des CAPTCHA-Tokens überschritten hat, die im Schutzpaket (Web-ACL) konfiguriert ist. + `absent`— Die Anfrage enthält das Token nicht oder der Token-Manager konnte es nicht lesen. Beispiel: Das Label `awswaf:managed:captcha:absent` gibt an, dass die Anfrage das Token nicht enthält. ### ATP-Etiketten Die von ATP verwaltete Regelgruppe generiert Labels mit dem Namespace-Präfix, `awswaf:managed:aws:atp:` gefolgt vom benutzerdefinierten Namespace und dem Labelnamen. Die Regelgruppe kann zusätzlich zu den Bezeichnungen, die in der Regelliste aufgeführt sind, eines der folgenden Labels hinzufügen: + `awswaf:managed:aws:atp:signal:credential_compromised`— Zeigt an, dass sich die Anmeldeinformationen, die in der Anfrage übermittelt wurden, in der Datenbank mit gestohlenen Anmeldeinformationen befinden. + `awswaf:managed:aws:atp:aggregate:attribute:suspicious_tls_fingerprint`— Nur für geschützte CloudFront Amazon-Distributionen verfügbar. Zeigt an, dass eine Clientsitzung mehrere Anfragen gesendet hat, bei denen ein verdächtiger TLS-Fingerabdruck verwendet wurde. + `awswaf:managed:aws:atp:aggregate:volumetric:session:token_reuse:ip`— Weist auf die Verwendung eines einzelnen Tokens unter mehr als 5 verschiedenen IP-Adressen hin. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor das Etikett angewendet wird. Sie können alle Labels für eine Regelgruppe über die API abrufen, indem Sie aufrufen`DescribeManagedRuleGroup`. Die Kennzeichnungen werden in der Eigenschaft `AvailableLabels` in der Antwort aufgeführt. ## Liste der Regeln zur Verhinderung von Kontoübernahmen In diesem Abschnitt sind die ATP-Regeln `AWSManagedRulesATPRuleSet` und die Bezeichnungen aufgeführt, die die Regeln der Regelgruppe Webanfragen hinzufügen. **Anmerkung** Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html). Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen alles bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, um die Regeln zu umgehen. Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/). | Regelname | Beschreibung und Kennzeichnung | | --- | --- | | UnsupportedCognitoIDP | Prüft, ob Web-Traffic an einen Amazon Cognito Cognito-Benutzerpool gesendet wird. ATP ist nicht für die Verwendung mit Amazon Cognito Cognito-Benutzerpools verfügbar, und diese Regel trägt dazu bei, dass die anderen ATP-Regelgruppenregeln nicht zur Auswertung des Benutzerpool-Datenverkehrs verwendet werden. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:unsupported:cognito_idp` und `awswaf:managed:aws:atp:UnsupportedCognitoIDP` | | VolumetricIpHigh | Prüft auf eine hohe Anzahl von Anforderungen, die von einzelnen IP-Adressen gesendet werden. Ein hohes Volumen bedeutet mehr als 20 Anfragen in einem 10-Minuten-Fenster. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Bei einem hohen Volumen können einige Anfragen das Limit überschreiten, bevor die Regelaktion angewendet wird. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:aggregate:volumetric:ip:high` und `awswaf:managed:aws:atp:VolumetricIpHigh` Die Regelgruppe wendet die folgenden Bezeichnungen auf Anfragen mit mittlerem Volumen (mehr als 15 Anfragen pro 10-Minuten-Fenster) und geringem Volumen (mehr als 10 Anfragen pro 10-Minuten-Fenster) an, ergreift jedoch keine Maßnahmen dafür: `awswaf:managed:aws:atp:aggregate:volumetric:ip:medium` und`awswaf:managed:aws:atp:aggregate:volumetric:ip:low`. | | VolumetricSession | Prüft, ob große Mengen von Anfragen aus einzelnen Clientsitzungen gesendet wurden. Der Schwellenwert liegt bei mehr als 20 Anfragen pro 30-Minuten-Fenster. Diese Inspektion gilt nur, wenn die Webanforderung über ein Token verfügt. Token werden Anfragen durch die Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Weitere Informationen finden Sie unter [Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor die Regelaktion angewendet wird. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:aggregate:volumetric:session` und `awswaf:managed:aws:atp:VolumetricSession` | | AttributeCompromisedCredentials | Prüft, ob mehrere Anfragen aus derselben Clientsitzung stammen und für die gestohlene Anmeldeinformationen verwendet wurden. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:aggregate:attribute:compromised_credentials` und `awswaf:managed:aws:atp:AttributeCompromisedCredentials` | | AttributeUsernameTraversal | Prüft, ob mehrere Anfragen aus derselben Clientsitzung stammen und die Benutzernamendurchquerung verwenden. Regelaktion: Block Labels: und `awswaf:managed:aws:atp:aggregate:attribute:username_traversal` `awswaf:managed:aws:atp:AttributeUsernameTraversal` | | AttributePasswordTraversal | Prüft, ob mehrere Anfragen mit demselben Benutzernamen vorhanden sind, die das Durchqueren von Passwörtern verwenden. Regelaktion: Block Labels: und `awswaf:managed:aws:atp:aggregate:attribute:password_traversal` `awswaf:managed:aws:atp:AttributePasswordTraversal` | | AttributeLongSession | Prüft, ob mehrere Anfragen aus derselben Clientsitzung stammen, für die lang andauernde Sitzungen verwendet werden. Der Schwellenwert liegt bei mehr als 6 Stunden Traffic, bei dem alle 30 Minuten mindestens eine Anmeldeanfrage gestellt wird. Diese Prüfung gilt nur, wenn die Webanforderung ein Token enthält. Token werden Anfragen durch die Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Weitere Informationen finden Sie unter [Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:aggregate:attribute:long_session` und `awswaf:managed:aws:atp:AttributeLongSession` | | TokenRejected | Prüft auf Anfragen mit Tokens, die von der AWS WAF Tokenverwaltung abgelehnt wurden. Diese Inspektion gilt nur, wenn die Webanforderung ein Token enthält. Token werden Anfragen durch die Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Weitere Informationen finden Sie unter [Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Regelaktion: Block Beschriftungen: Keine. Um zu überprüfen, ob das Token abgelehnt wurde, verwenden Sie eine Label-Abgleichsregel für den Abgleich auf dem Etikett:`awswaf:managed:token:rejected`. | | SignalMissingCredential | Prüft auf Anfragen mit Anmeldeinformationen, bei denen der Benutzername oder das Passwort fehlen. Regelaktion: Block Labels: `awswaf:managed:aws:atp:signal:missing_credential` und `awswaf:managed:aws:atp:SignalMissingCredential` | | VolumetricIpFailedLoginResponseHigh | Prüft nach IP-Adressen, auf die in letzter Zeit eine zu hohe Anzahl fehlgeschlagener Anmeldeversuche zurückzuführen ist. Ein hohes Volumen besteht aus mehr als 10 fehlgeschlagenen Anmeldeanfragen von einer IP-Adresse innerhalb eines Zeitfensters von 10 Minuten. Wenn Sie die Regelgruppe so konfiguriert haben, dass sie den Antworttext oder die JSON-Komponenten überprüft, AWS WAF können Sie die ersten 65.536 Byte (64 KB) dieser Komponententypen auf Erfolgs- oder Fehlerindikatoren überprüfen. Diese Regel wendet die Regelaktion und -kennzeichnung auf neue Webanfragen von einer IP-Adresse an und basiert auf den Erfolgs- und Fehlschlagantworten der geschützten Ressource auf die letzten Anmeldeversuche von derselben IP-Adresse. Bei der Konfiguration der Regelgruppe legen Sie fest, wie Erfolge und Misserfolge gezählt werden. AWS WAF wertet diese Regel nur in Schutzpaketen (Web ACLs) aus, die CloudFront Amazon-Distributionen schützen. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Es ist möglich, dass der Client mehr fehlgeschlagene Anmeldeversuche sendet, als zulässig sind, bevor die Regel bei nachfolgenden Versuchen mit dem Abgleich beginnt. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:aggregate:volumetric:ip:failed_login_response:high` und `awswaf:managed:aws:atp:VolumetricIpFailedLoginResponseHigh` Die Regelgruppe wendet außerdem die folgenden verwandten Bezeichnungen auf Anfragen an, ohne dass eine Aktion damit verknüpft ist. Alle Zählungen beziehen sich auf ein Zeitfenster von 10 Minuten. `awswaf:managed:aws:atp:aggregate:volumetric:ip:failed_login_response:medium`für mehr als 5 fehlgeschlagene Anfragen, `awswaf:managed:aws:atp:aggregate:volumetric:ip:failed_login_response:low` für mehr als 1 fehlgeschlagene Anfrage, `awswaf:managed:aws:atp:aggregate:volumetric:ip:successful_login_response:high` für mehr als 10 erfolgreiche Anfragen, `awswaf:managed:aws:atp:aggregate:volumetric:ip:successful_login_response:medium` für mehr als 5 erfolgreiche Anfragen und `awswaf:managed:aws:atp:aggregate:volumetric:ip:successful_login_response:low` für mehr als 1 erfolgreiche Anfrage. | | VolumetricSessionFailedLoginResponseHigh | Sucht nach Clientsitzungen, die in letzter Zeit zu viele fehlgeschlagene Anmeldeversuche verursacht haben. Ein hohes Volumen besteht aus mehr als 10 fehlgeschlagenen Anmeldeanfragen aus einer Clientsitzung innerhalb eines Zeitfensters von 30 Minuten. Wenn Sie die Regelgruppe so konfiguriert haben, dass sie den Antworttext oder die JSON-Komponenten überprüft, AWS WAF können Sie die ersten 65.536 Byte (64 KB) dieser Komponententypen auf Erfolgs- oder Fehlerindikatoren überprüfen. Diese Regel wendet die Regelaktion und -kennzeichnung auf neue Webanfragen aus einer Clientsitzung an und basiert auf den Erfolgs- und Fehlschlagantworten der geschützten Ressource auf die letzten Anmeldeversuche aus derselben Clientsitzung. Bei der Konfiguration der Regelgruppe legen Sie fest, wie Erfolge und Fehlschläge gezählt werden. AWS WAF wertet diese Regel nur in Schutzpaketen (Web ACLs) aus, die CloudFront Amazon-Distributionen schützen. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Es ist möglich, dass der Client mehr fehlgeschlagene Anmeldeversuche sendet, als zulässig sind, bevor die Regel bei nachfolgenden Versuchen mit dem Abgleich beginnt. Diese Prüfung gilt nur, wenn die Webanforderung ein Token enthält. Token werden Anfragen durch die Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Weitere Informationen finden Sie unter [Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:aggregate:volumetric:session:failed_login_response:high` und `awswaf:managed:aws:atp:VolumetricSessionFailedLoginResponseHigh` Die Regelgruppe wendet außerdem die folgenden verwandten Bezeichnungen auf Anfragen an, ohne dass eine Aktion damit verknüpft ist. Alle Zählungen beziehen sich auf ein 30-Minuten-Fenster. `awswaf:managed:aws:atp:aggregate:volumetric:session:failed_login_response:medium`für mehr als 5 fehlgeschlagene Anfragen, `awswaf:managed:aws:atp:aggregate:volumetric:session:failed_login_response:low` für mehr als 1 fehlgeschlagene Anfrage, `awswaf:managed:aws:atp:aggregate:volumetric:session:successful_login_response:high` für mehr als 10 erfolgreiche Anfragen, `awswaf:managed:aws:atp:aggregate:volumetric:session:successful_login_response:medium` für mehr als 5 erfolgreiche Anfragen und `awswaf:managed:aws:atp:aggregate:volumetric:session:successful_login_response:low` für mehr als 1 erfolgreiche Anfrage. |