Como usar o AWS CloudFormation com a mitigação automática de DDoS na camada de aplicação - AWS WAF, AWS Firewall Manager, e AWS Shield Advanced

Como usar o AWS CloudFormation com a mitigação automática de DDoS na camada de aplicação

Essa página explica como usar o AWS CloudFormation para gerenciar suas proteções e ACLs da Web AWS WAF.

Como ativar ou desativar a mitigação automática de DDoS na camada de aplicação

Você pode ativar e desativar a mitigação automática de DDoS na AWS CloudFormation usando o recurso AWS::Shield::Protection. O efeito é o mesmo de quando você ativa ou desativa o atributo por meio do console ou de qualquer outra interface. Para obter informações sobre o recurso AWS CloudFormation, consulte AWS::Shield::Proteção no Guia do usuário do AWS CloudFormation.

Como gerenciar web ACLs usadas com mitigação automática

O Shield Advanced gerencia a mitigação automática para seu recurso protegido usando uma regra de grupo de regras na web ACL do AWS WAF do recurso protegido. Por meio do console AWS WAF e das APIs, você verá a regra listada em suas regras de web ACL, com um nome que começa com ShieldMitigationRuleGroup. Essa regra é dedicada à mitigação automática de DDoS na camada de aplicação, e é gerenciada para você pelo Shield Advanced e AWS WAF. Para ter mais informações, consulte Como proteger a camada de aplicativos com o grupo de regras do Shield Advanced e Como o Shield Advanced gerencia a mitigação automática.

Se você usa AWS CloudFormation para gerenciar suas web ACLs, não adicione a regra de grupo de regras Shield Advanced ao seu modelo de web ACL. Quando você atualiza uma web ACL que está sendo usada com suas proteções de mitigação automática, AWS WAF gerencia automaticamente a regra do grupo de regras na web ACL.

Você verá as seguintes diferenças em comparação com outras web ACLs que você gerencia por meio do AWS CloudFormation:

  • AWS CloudFormation não relatará nenhuma variação no status de desvio da pilha entre a configuração real da web ACL, com a regra de grupo de regras Shield Advanced, e seu modelo de web ACL, sem a regra. A regra Shield Advanced não aparecerá na listagem real do recurso nos detalhes de oscilação.

    Você poderá ver a regra de grupo de regras do Shield Advanced nas listagens de web ACL que você recupera do AWS WAF, como por meio do console do AWS WAF ou das APIs do AWS WAF.

  • Se você modificar o modelo de web ACL em uma pilha, o AWS WAF e o Shield Advanced mantêm automaticamente a regra de mitigação automática do Shield Advanced na web ACL atualizada. As proteções de mitigação automática fornecidas pelo Shield Advanced não são interrompidas por sua atualização na web ACL.

Não gerencie a regra Shield Advanced em seu modelo de web ACL do AWS CloudFormation. O modelo de web ACL não deve listar a regra do Shield Advanced. Siga as práticas recomendadas para gerenciamento de web ACL em Práticas recomendadas para usar a mitigação automática de DDoS na camada de aplicativo.