Remplacer les actions du groupe de règles dans AWS WAF - AWS WAF, AWS Firewall Manager, et AWS Shield Advanced
Les actions des règles du groupe de règles remplacent les actionsL'action de retour du groupe de règles est remplacée par Count

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Remplacer les actions du groupe de règles dans AWS WAF

Cette section explique comment annuler les actions des groupes de règles.

Lorsque vous ajoutez un groupe de règles à votre site WebACL, vous pouvez annuler les actions qu'il exécute sur les requêtes Web correspondantes. Le fait de remplacer les actions d'un groupe de règles dans votre ACL configuration Web ne modifie pas le groupe de règles lui-même. Cela ne fait que modifier la façon AWS WAF utilise le groupe de règles dans le contexte du WebACL.

Les actions des règles du groupe de règles remplacent les actions

Vous pouvez remplacer les actions des règles au sein d'un groupe de règles par n'importe quelle action de règle valide. Dans ce cas, les demandes correspondantes sont traitées exactement comme si l'action de la règle configurée était le paramètre de remplacement.

Note

Les actions relatives aux règles peuvent être terminales ou non. Une action de terminaison arrête l'ACLévaluation Web de la demande et la laisse continuer vers votre application protégée ou la bloque.

Voici les options d'action de la règle :

  • Allow – AWS WAF permet à la demande d'être transmise à la personne protégée AWS ressource pour le traitement et la réponse. Il s'agit d'une action terminale. Dans les règles que vous définissez, vous pouvez insérer des en-têtes personnalisés dans la demande avant de la transmettre à la ressource protégée.

  • Block – AWS WAF bloque la demande. Il s'agit d'une action terminale. Par défaut, vous êtes protégé AWS la ressource répond avec un code d'HTTP403 (Forbidden)état. Dans les règles que vous définissez, vous pouvez personnaliser la réponse. Lorsque AWS WAF bloque une demande, Block les paramètres d'action déterminent la réponse que la ressource protégée renvoie au client.

  • Count – AWS WAF compte la demande mais ne détermine pas s'il faut l'autoriser ou la bloquer. Il s'agit d'une action sans fin. AWS WAF continue de traiter les règles restantes sur le WebACL. Dans les règles que vous définissez, vous pouvez insérer des en-têtes personnalisés dans la demande et ajouter des libellés auxquels d'autres règles peuvent correspondre.

  • CAPTCHA and Challenge – AWS WAF utilise des CAPTCHA énigmes et des défis silencieux pour vérifier que la demande ne provient pas d'un bot, et AWS WAF utilise des jetons pour suivre les récentes réponses réussies des clients.

    CAPTCHAles puzzles et les défis silencieux ne peuvent être exécutés que lorsque les navigateurs accèdent aux HTTPS points de terminaison. Les clients du navigateur doivent fonctionner dans des contextes sécurisés pour acquérir des jetons.

    Note

    Des frais supplémentaires vous sont facturés lorsque vous utilisez le CAPTCHA or Challenge action de règle dans l'une de vos règles ou en tant que dérogation d'action de règle dans un groupe de règles. Pour plus d’informations, consultez .AWS WAF Tarification.

    Ces actions de règles peuvent être terminales ou non, selon l'état du jeton dans la demande :

    • Non résiliable pour un jeton valide et non expiré — Si le jeton est valide et non expiré conformément à la durée d'immunité configurée CAPTCHA ou de contestation, AWS WAF gère la demande de la même manière que Count action. AWS WAF continue d'inspecter la requête Web en fonction des autres règles du WebACL. Similaire au Count configuration, dans les règles que vous définissez, vous pouvez éventuellement configurer ces actions avec des en-têtes personnalisés à insérer dans la demande, et vous pouvez ajouter des étiquettes auxquelles d'autres règles peuvent correspondre.

    • Terminer avec une demande bloquée pour un jeton non valide ou expiré — Si le jeton n'est pas valide ou si l'horodatage indiqué est expiré, AWS WAF met fin à l'inspection de la requête Web et bloque la demande, de la même manière que Block action. AWS WAF répond ensuite au client avec un code de réponse personnalisé. Dans CAPTCHA, si le contenu de la demande indique que le navigateur client peut la traiter, AWS WAF envoie un CAPTCHA puzzle dans un JavaScript interstitiel, conçu pour distinguer les clients humains des robots. Pour Challenge action, AWS WAF envoie un JavaScript interstitiel avec un défi silencieux conçu pour distinguer les navigateurs normaux des sessions exécutées par des robots.

    Pour plus d’informations, consultez CAPTCHA and Challenge dans AWS WAF.

Pour plus d'informations sur l'utilisation de cette option, consultezRemplacer les actions des règles dans un groupe de règles.

Remplacer l'action de la règle par Count

Le cas d'utilisation le plus courant pour les remplacements d'actions de règles est le remplacement de certaines ou de toutes les actions de règle pour Count, pour tester et surveiller le comportement d'un groupe de règles avant de le mettre en production.

Vous pouvez également l'utiliser pour résoudre les problèmes liés à un groupe de règles qui génère des faux positifs. Les faux positifs se produisent lorsqu'un groupe de règles bloque le trafic que vous ne vous attendez pas à ce qu'il bloque. Si vous identifiez une règle au sein d'un groupe de règles susceptible de bloquer les demandes que vous souhaitez autoriser, vous pouvez maintenir le nombre d'actions annulées sur cette règle, afin de l'empêcher de donner suite à vos demandes.

Pour plus d'informations sur l'utilisation du remplacement des actions des règles dans le cadre des tests, consultezTester et régler votre AWS WAF protections.

JSONliste : RuleActionOverrides remplace ExcludedRules

Si vous définissez les actions des règles du groupe de règles sur Count dans votre ACL configuration Web avant le 27 octobre 2022, AWS WAF a enregistré vos dérogations sur le Web ACL JSON sous ExcludedRules le nom. Maintenant, le JSON paramètre permettant de remplacer une règle Count se trouve dans les RuleActionOverrides paramètres.

Lorsque vous utilisez le AWS WAF console pour modifier les paramètres du groupe de règles existant, la console convertit automatiquement tous ExcludedRules les paramètres du groupe JSON de règles en RuleActionOverrides paramètres, l'action de remplacement étant définie sur Count.

  • Exemple de réglage actuel : 

           "ManagedRuleGroupStatement": {
          "VendorName": "AWS",
          "Name": "AWSManagedRulesAdminProtectionRuleSet",
          "RuleActionOverrides": [
            {
              "Name": "AdminProtection_URIPATH",
              "ActionToUse": {
                "Count": {}
              }
            }
          ]

  • Ancien exemple de réglage : 

    OLD SETTING
       "ManagedRuleGroupStatement": {
          "VendorName": "AWS",
          "Name": "AWSManagedRulesAdminProtectionRuleSet",
          "ExcludedRules": [
            {
              "Name": "AdminProtection_URIPATH"
            }
          ]
OLD SETTING

Nous vous recommandons de mettre à jour tous les ExcludedRules paramètres de vos JSON annonces en les remplaçant par des RuleActionOverrides paramètres dont l'action est définie sur Count. Il API accepte l'un ou l'autre des paramètres, mais vous obtiendrez de la cohérence dans vos JSON listes, entre votre console et votre API travail, si vous utilisez uniquement le nouveau RuleActionOverrides paramètre.

L'action de retour du groupe de règles est remplacée par Count

Vous pouvez annuler l'action renvoyée par le groupe de règles en le définissant sur Count.

Note

Ce n'est pas une bonne option pour tester les règles d'un groupe de règles, car cela ne modifie pas la façon dont AWS WAF évalue le groupe de règles lui-même. Cela n'affecte que la façon dont AWS WAF gère les résultats renvoyés sur le Web à la suite ACL de l'évaluation du groupe de règles. Si vous souhaitez tester les règles dans un groupe de règles, utilisez l'option décrite dans la section précédente,Les actions des règles du groupe de règles remplacent les actions.

Lorsque vous remplacez l'action du groupe de règles par Count, AWS WAF traite normalement l'évaluation du groupe de règles.

Si aucune règle du groupe de règles ne correspond ou si toutes les règles correspondantes ont un Count action, alors cette dérogation n'a aucun effet sur le traitement du groupe de règles ou du WebACL.

La première règle du groupe de règles qui correspond à une requête Web et qui comporte une action de fin de règle entraîne AWS WAF pour arrêter l'évaluation du groupe de règles et renvoyer le résultat de l'action de fin au niveau ACL d'évaluation Web. À ce stade, lors de l'ACLévaluation Web, cette dérogation prend effet. AWS WAF remplace l'action de fin de sorte que le résultat de l'évaluation du groupe de règles soit uniquement un Count action. AWS WAF poursuit ensuite le traitement du reste des règles sur le WebACL.

Pour plus d'informations sur l'utilisation de cette option, consultezRemplacer le résultat de l'évaluation d'un groupe de règles par Count.