Cómo funciona AWS WAF Classic

Las reglas normales solo usan condiciones para dirigirse a solicitudes específicas. Por ejemplo, de acuerdo con las últimas solicitudes que haya visto de un atacante, puede crear una regla que incluya las siguientes condiciones:

Cuando una regla incluya varias condiciones, como en este ejemplo, AWS WAF Classic buscará las solicitudes que coincidan con todas las condiciones; es decir, unirá las condiciones mediante AND.

Añada al menos una condición para una regla normal. Una regla normal sin condiciones no puede coincidir con ninguna solicitud, por lo que la acción de la regla (permitir, contar o bloquear) nunca se activa.

Las reglas basadas en frecuencia son como las reglas normales con un límite de frecuencia añadido. Una regla basada en frecuencia cuenta las solicitudes que llegan de direcciones IP que cumplen las condiciones de la regla. Si las solicitudes de una dirección IP superan el límite de frecuencia en un periodo de cinco minutos, la regla puede activar una acción. La acción puede tardar uno o dos minutos en activarse.

Sin embargo, las condiciones son opcionales para las reglas basadas en frecuencia. Si no añade ninguna condición a una regla basada en frecuencia, el límite de frecuencia se aplica a todas las direcciones IP. Si combina condiciones con el límite de frecuencia, el límite de frecuencia se aplica a las direcciones IP que coinciden con las condiciones.

Por ejemplo, de acuerdo con las últimas solicitudes que haya visto de un atacante, puede crear una regla basada en frecuencia que incluya las siguientes condiciones:

En esta regla basada en frecuencia defina también un límite de frecuencia. En este ejemplo, supongamos que crea un límite de frecuencia de 1 000. Las solicitudes que cumplen las dos condiciones anteriores y superan las 1000 solicitudes cada cinco minutos activan la acción de la regla (bloquear o contar), que se define en la webACL.

Las solicitudes que no cumplen ambas condiciones no se tienen en cuenta para el límite de frecuencia y no se ven afectadas por esta regla.

Otro ejemplo: suponga que desea limitar las solicitudes de una determinada página de su sitio web. Para ello, podría añadir la siguiente condición de coincidencia de cadena para crear una regla basada en frecuencia:

Además, especifica un RateLimit de 1 000.

Al añadir esta regla basada en la tasa a una webACL, puedes limitar las solicitudes a tu página de inicio de sesión sin que ello afecte al resto del sitio.

Cuando una solicitud web cumple todas las condiciones de una regla, AWS WAF Classic puede bloquear la solicitud o permitir que se reenvíe a la API puerta de enlaceAPI, a la CloudFront distribución o a un Application Load Balancer. Usted especifica la acción que quiere que AWS WAF Classic lleve a cabo para cada regla.

AWS WAF Classic compara una solicitud con las reglas de una web ACL en el orden en que se listaron las reglas. AWS WAF A continuación, Classic realiza la acción asociada a la primera regla con la que coincide la solicitud. Por ejemplo, si una solicitud web coincide con una regla que permite las solicitudes y otra que bloquea las solicitudes, AWS WAF Classic permitirá o bloqueará la solicitud en función de la regla que aparezca primero.

Si quieres probar una nueva regla antes de empezar a usarla, también puedes configurar AWS WAF Classic para que cuente las solicitudes que cumplen todas las condiciones de la regla. Al igual que ocurre con las reglas que permiten o bloquean las solicitudes, una regla que cuenta las solicitudes se ve afectada por su posición en la lista de reglas de la webACL. Por ejemplo, si una solicitud web coincide con una regla que permite solicitudes y otra que cuenta solicitudes; y si la regla que permite las solicitudes está antes, la solicitud no se cuenta.

La acción predeterminada determina si AWS WAF Classic permite o bloquea una solicitud que no cumpla todas las condiciones de ninguna de las reglas de la webACL. Por ejemplo, supongamos que crea una web ACL y agrega solo la regla que definió anteriormente:

Si una solicitud no cumple las tres condiciones de la regla y si la acción predeterminada esALLOW, AWS WAF Classic reenvía la solicitud a API Gateway CloudFront o a un Application Load Balancer, y el servicio responde con el objeto solicitado.

Si agregas dos o más reglas a una webACL, AWS WAF Classic solo realiza la acción predeterminada si la solicitud no cumple todas las condiciones de ninguna de las reglas. Por ejemplo, suponga que agrega una segunda regla que contiene una condición:

AWS WAF Classic realiza la acción predeterminada solo cuando una solicitud no cumple las tres condiciones de la primera regla y no cumple una de las condiciones de la segunda regla.