Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Aggiungere il gruppo di regole gestite da ATP all'ACL Web
Per configurare il gruppo di regole gestito da ATP in modo che riconosca le attività di acquisizione di account nel traffico web, fornisci informazioni su come i client inviano le richieste di accesso all'applicazione. Per CloudFront le distribuzioni protette di Amazon, fornisci anche informazioni su come l'applicazione risponde alle richieste di accesso. Questa configurazione si aggiunge alla normale configurazione per un gruppo di regole gestito.
Per la descrizione del gruppo di regole e l'elenco delle regole, vedereAWS WAF Gruppo di regole per la prevenzione delle acquisizioni di account (ATP) per il controllo delle frodi.
Nota
Il database delle credenziali rubate ATP contiene solo nomi utente in formato e-mail.
Questa guida è destinata agli utenti che sanno in generale come creare e gestire ACL AWS WAF Web, regole e gruppi di regole. Questi argomenti sono trattati nelle sezioni precedenti di questa guida. Per informazioni di base su come aggiungere un gruppo di regole gestito all'ACL Web, consultaAggiungere un gruppo di regole gestito a un ACL Web tramite la console.
Segui le migliori pratiche
Utilizza il gruppo di regole ATP in conformità con le migliori pratiche riportate inLe migliori pratiche per la mitigazione intelligente delle minacce.
Per utilizzare il gruppo di AWSManagedRulesATPRuleSet
regole nell'ACL Web
-
Aggiungi il gruppo di regole AWS gestito
AWSManagedRulesATPRuleSet
all'ACL web e modifica le impostazioni del gruppo di regole prima di salvare.Nota
Quando utilizzi questo gruppo di regole gestito, ti vengono addebitati costi aggiuntivi. Per ulteriori informazioni, consulta la sezione Prezzi di AWS WAF
. Nel riquadro di configurazione del gruppo di regole, fornisci le informazioni che il gruppo di regole ATP utilizza per esaminare le richieste di accesso.
-
Per Usa l'espressione regolare nei percorsi, attiva questa opzione se desideri eseguire la corrispondenza delle espressioni regolari AWS WAF per le specifiche del percorso della pagina di accesso.
AWS WAF supporta la sintassi del pattern utilizzata dalla libreria
libpcre
PCRE con alcune eccezioni. La libreria è documentata in PCRE -Perl Compatible Regular Expressions. Per informazioni sul AWS WAF supporto, vedere. Corrispondenza dei modelli di espressioni regolari in AWS WAF -
Per Percorso di accesso, fornisci il percorso dell'endpoint di accesso per l'applicazione. Il gruppo di regole esamina solo le
POST
richieste HTTP all'endpoint di accesso specificato.Nota
La corrispondenza per gli endpoint non fa distinzione tra maiuscole e minuscole. Le specifiche Regex non devono contenere il flag
(?-i)
, che disabilita la corrispondenza senza distinzione tra maiuscole e minuscole. Le specifiche delle stringhe devono iniziare con una barra./
Ad esempio, per l'URL
https://example.com/web/login
, è possibile fornire la specifica/web/login
del percorso della stringa. I percorsi di accesso che iniziano con il percorso fornito sono considerati corrispondenti. Ad esempio/web/login
corrisponde ai percorsi di accesso/web/login
/web/login/
,/web/loginPage
, e/web/login/thisPage
, ma non corrisponde al percorso di accesso/home/web/login
o/website/login
. -
Per Request inspection, specifica in che modo l'applicazione accetta i tentativi di accesso fornendo il tipo di payload della richiesta e i nomi dei campi all'interno del corpo della richiesta in cui vengono forniti il nome utente e la password. La specificazione dei nomi dei campi dipende dal tipo di payload.
-
Tipo di payload JSON: specifica i nomi dei campi nella sintassi del puntatore JSON. Per informazioni sulla sintassi JSON Pointer, consultate la documentazione di Internet Engineering Task Force (IETF) Object Notation (JSON) Pointer. JavaScript
Ad esempio, per l'esempio seguente JSON payload, la specifica del campo nome utente è e la specifica del campo password è.
/login/username
/login/password
{ "login": { "username": "THE_USERNAME", "password": "THE_PASSWORD" } }
-
Tipo di payload FORM_ENCODED: utilizza i nomi dei moduli HTML.
Ad esempio, per un modulo HTML con elementi di input denominati
username1
epassword1
, la specifica del campo nome utente èusername1
e la specifica del campo password è.password1
-
-
Se stai proteggendo CloudFront le distribuzioni Amazon, nella sezione Controllo Response, specifica in che modo l'applicazione indica l'esito positivo o negativo delle risposte ai tentativi di accesso.
Nota
L'ispezione della risposta ATP è disponibile solo negli ACL Web che proteggono le distribuzioni. CloudFront
Specificate un singolo componente nella risposta di accesso che desiderate che l'ATP controlli. Per i tipi di componenti Body e JSON, AWS WAF può ispezionare i primi 65.536 byte (64 KB) del componente.
Fornite i criteri di ispezione per il tipo di componente, come indicato dall'interfaccia. È necessario fornire i criteri di successo e di fallimento da ispezionare nel componente.
Ad esempio, supponiamo che l'applicazione indichi lo stato di un tentativo di accesso nel codice di stato della risposta e lo utilizzi
200 OK
come esito positivo401 Unauthorized
e/o403 Forbidden
negativo. Dovreste impostare il tipo di componente di ispezione della risposta su Codice di stato, quindi nella casella di testo Operazione riuscita immettete200
e nella casella di testo Errore immettete401
sulla prima riga e403
sulla seconda.Il gruppo di regole ATP conta solo le risposte che soddisfano i criteri di ispezione con esito positivo o negativo. Le regole del gruppo di regole agiscono sui clienti quando hanno un tasso di fallimento troppo elevato tra le risposte conteggiate. Per un comportamento accurato in base alle regole del gruppo di regole, assicurati di fornire informazioni complete sia per i tentativi di accesso riusciti che per quelli non riusciti.
Per vedere le regole che controllano le risposte di accesso, cerca
VolumetricIpFailedLoginResponseHigh
eVolumetricSessionFailedLoginResponseHigh
nell'elenco delle regole inAWS WAF Gruppo di regole per la prevenzione delle acquisizioni di account (ATP) per il controllo delle frodi.
-
-
Fornisci qualsiasi configurazione aggiuntiva che desideri per il gruppo di regole.
È possibile limitare ulteriormente l'ambito delle richieste esaminate dal gruppo di regole aggiungendo un'istruzione scope-down all'istruzione del gruppo di regole gestito. Ad esempio, è possibile esaminare solo le richieste con un argomento di interrogazione o un cookie specifico. Il gruppo di regole esaminerà solo
POST
le richieste HTTP all'endpoint di accesso specificato che corrispondono ai criteri dell'istruzione scope-down. Per informazioni sulle istruzioni scope-down, vedere. Dichiarazioni delimitate -
Salvate le modifiche nell'ACL Web.
Prima di implementare l'implementazione ATP per il traffico di produzione, testala e ottimizzala in un ambiente di staging o test finché non ti senti a tuo agio con il potenziale impatto sul traffico. Quindi testate e ottimizzate le regole in modalità di conteggio in base al traffico di produzione prima di attivarle. Per informazioni, consulta la sezione che segue.