Hinzufügen der verwalteten ACFP-Regelgruppe zu Ihrer Web-ACL

So verwenden Sie die Regelgruppe AWSManagedRulesACFPRuleSet in einer Web-ACL

1. Fügen Sie die AWS verwaltete Regelgruppe AWSManagedRulesACFPRuleSet zu Ihrer Web-ACL hinzu und bearbeiten Sie die Regelgruppeneinstellungen vor dem Speichern.

   Anmerkung

   Ihnen werden zusätzliche Gebühren berechnet, wenn Sie diese verwaltete Regelgruppe verwenden. Weitere Informationen finden Sie unter AWS WAF -Preisgestaltung.

2. Geben Sie im Bereich Regelgruppenkonfiguration die Informationen ein, anhand derer die ACFP-Regelgruppe Anfragen zur Kontoerstellung prüft.

   1. Aktivieren Sie diese Option für Reguläre Ausdrücke in Pfaden verwenden, wenn Sie einen Abgleich mit regulären Ausdrücken für die Pfadspezifikationen Ihrer Registrierungs- und Kontoerstellungsseite durchführen möchten AWS WAF .

      AWS WAF unterstützt libpcre mit einigen Ausnahmen die von der PCRE-Bibliothek verwendete Mustersyntax. Die Bibliothek ist unter PCRE - Perl Compatible Regular Expressions (Perl-kompatible reguläre Ausdrücke) dokumentiert. Hinweise zur AWS WAF Unterstützung finden Sie unterUnterstützte Syntax für reguläre Ausdrücke in AWS WAF.

   2. Geben Sie unter Pfad zur Registrierungsseite den Pfad zum Endpunkt der Registrierungsseite für Ihre Anwendung an. Diese Seite muss GET Text-/HTML-Anfragen akzeptieren. Die Regelgruppe untersucht nur GET HTTP-Text-/HTML-Anfragen an den von Ihnen angegebenen Endpunkt der Registrierungsseite.

      Anmerkung

      Beim Abgleich für Endpunkte wird nicht zwischen Groß- und Kleinschreibung unterschieden. Regex-Spezifikationen dürfen das Flag nicht enthalten(?-i), wodurch der Abgleich ohne Berücksichtigung der Groß- und Kleinschreibung deaktiviert wird. Zeichenkettenspezifikationen müssen mit einem Schrägstrich beginnen. /

      Für die URL könnten Sie https://example.com/web/registration beispielsweise die Pfadangabe /web/registration für die Zeichenfolge angeben. Pfade auf Registrierungsseiten, die mit dem von Ihnen angegebenen Pfad beginnen, werden als übereinstimmend betrachtet. /web/registrationEntspricht beispielsweise den /web/registration Registrierungspfaden /web/registration//web/registrationPage,, und/web/registration/thisPage, entspricht aber nicht dem Pfad /home/web/registration oder/website/registration.

      Anmerkung

      Stellen Sie sicher, dass Ihre Endbenutzer die Registrierungsseite laden, bevor sie eine Anfrage zur Kontoerstellung einreichen. Dadurch wird sichergestellt, dass die Anfragen des Kunden zur Kontoerstellung gültige Token enthalten.

   3. Geben Sie als Pfad zur Kontoerstellung die URI auf Ihrer Website an, die vollständige neue Benutzerdaten akzeptiert. Diese URI muss POST Anfragen akzeptieren.

      Anmerkung

      Beim Abgleich für Endpunkte wird nicht zwischen Groß- und Kleinschreibung unterschieden. Regex-Spezifikationen dürfen das Flag nicht enthalten(?-i), wodurch der Abgleich ohne Berücksichtigung der Groß- und Kleinschreibung deaktiviert wird. Zeichenkettenspezifikationen müssen mit einem Schrägstrich beginnen. /

      Für die URL könnten Sie https://example.com/web/newaccount beispielsweise die Pfadangabe /web/newaccount für die Zeichenfolge angeben. Pfade zur Kontoerstellung, die mit dem von Ihnen angegebenen Pfad beginnen, werden als übereinstimmend betrachtet. /web/newaccountEntspricht beispielsweise den Pfaden zur Kontoerstellung /web/newaccount /web/newaccount//web/newaccountPage,/web/newaccount/thisPage, und, entspricht aber nicht dem Pfad /home/web/newaccount oder/website/newaccount.

   4. Geben Sie für die Prüfung von Anfragen an, wie Ihre Anwendung Versuche zur Kontoerstellung akzeptiert, indem Sie den Payload-Typ der Anfrage und die Namen der Felder im Anfragetext angeben, in denen der Benutzername, das Passwort und andere Details zur Kontoerstellung angegeben werden.

      Anmerkung

      Geben Sie für die Felder „Primäre Adresse“ und „Telefonnummer“ die Felder in der Reihenfolge an, in der sie in der Payload der Anfrage erscheinen.

      Ihre Angabe der Feldnamen hängt vom Payload-Typ ab.

      • JSON-Nutzdatentyp — Geben Sie die Feldnamen in der JSON-Zeigersyntax an. Informationen zur JSON-Pointer-Syntax finden Sie in der Dokumentation JavaScriptObject Notation (JSON) Pointer der Internet Engineering Task Force (IETF).

        Für die folgende Beispiel-JSON-Nutzlast lautet die Feldspezifikation für den Benutzernamen, /signupform/username und die Spezifikationen für das primäre Adressfeld lauten /signupform/addrp1/signupform/addrp2, und. /signupform/addrp3

        {
            "signupform": {
                "username": "THE_USERNAME",
                "password": "THE_PASSWORD",
                "addrp1": "PRIMARY_ADDRESS_LINE_1",
                "addrp2": "PRIMARY_ADDRESS_LINE_2",
                "addrp3": "PRIMARY_ADDRESS_LINE_3",
                "phonepcode": "PRIMARY_PHONE_CODE",
                "phonepnumber": "PRIMARY_PHONE_NUMBER"
            }
        }

      • Payload-Typ FORM_ENCODED — Verwenden Sie die HTML-Formularnamen.

        Für ein HTML-Formular mit Benutzer- und Kennworteingabeelementen mit dem Namen username1 und password1 lautet die Feldspezifikation für den Benutzernamen username1 und die Feldspezifikation für das Passwort. password1

   5. Wenn Sie CloudFront Amazon-Distributionen schützen, geben Sie unter Überprüfung von Antworten an, wie Ihre Anwendung bei den Antworten auf Versuche zur Kontoerstellung auf Erfolg oder Misserfolg reagiert.

      Anmerkung

      ACFP Response Inspection ist nur in Websites verfügbar ACLs , die Distributionen schützen CloudFront .

      Geben Sie in der Antwort auf die Kontoerstellung eine einzelne Komponente an, die ACFP überprüfen soll. AWS WAF Kann bei den Komponententypen Body und JSON die ersten 65.536 Byte (64 KB) der Komponente untersuchen.

      Geben Sie Ihre Prüfkriterien für den Komponententyp an, wie in der Schnittstelle angegeben. Sie müssen sowohl Erfolgs- als auch Fehlschlagskriterien angeben, nach denen die Komponente geprüft werden soll.

      Angenommen, Ihre Anwendung gibt im Statuscode der Antwort den Status eines Versuchs zur Kontoerstellung an und verwendet ihn 200 OK für Erfolg 401 Unauthorized und/oder 403 Forbidden für Fehlschlag. Sie würden den Komponententyp der Antwortprüfung auf Statuscode setzen und dann in das Textfeld Erfolg 200 und im Textfeld Fehler den Text in 401 der ersten Zeile und in 403 der zweiten Zeile eingeben.

      Die ACFP-Regelgruppe zählt nur Antworten, die Ihren Erfolgs- oder Fehlschlagprüfungskriterien entsprechen. Die Regelgruppenregeln wirken sich auf Kunden aus, deren Erfolgsquote unter den gezählten Antworten zu hoch ist, um Versuche, mehrere Konten zu erstellen, zu verhindern. Stellen Sie sicher, dass Sie vollständige Informationen zu erfolgreichen und fehlgeschlagenen Kontoerstellungsversuchen angeben, damit sich die Regelgruppenregeln korrekt verhalten.

      Die Regeln zur Überprüfung der Antworten auf die Kontoerstellung finden Sie VolumetricSessionSuccessfulResponse in der Regelliste unterAWS WAF Regelgruppe Betrugsprävention (ACFP) zur Kontoerstellung bei der Betrugsbekämpfung. VolumetricIPSuccessfulResponse

3. Geben Sie jede zusätzliche Konfiguration an, die für die Regelgruppe benötigt wird.

   Sie können den Umfang der Anforderungen, die von der Regelgruppe geprüft werden, weiter eingrenzen, indem Sie der Anweisung für die verwaltete Regelgruppe eine Eingrenzungsanweisung hinzufügen. So können Sie beispielsweise nur Anforderungen mit einem bestimmten Abfrageargument oder Cookie prüfen. Die Regelgruppe prüft nur Anfragen, die den Kriterien in Ihrer Zusammenfassung entsprechen und die an die von Ihnen in der Regelgruppenkonfiguration angegebenen Pfade zur Kontoregistrierung und Kontoerstellung gesendet werden. Informationen zu Eingrenzungsanweisungen finden Sie unter Verwendung von Scope-Down-Aussagen in AWS WAF.

4. Speichern Sie Ihre Änderungen an der Web-ACL.