Adicionando grupos de regras gerenciadas à sua web ACL.

Para usar o grupo de regras AWSManagedRulesATPRuleSet em sua web ACL

1. Adicione o grupo de regras gerenciadas da AWS, AWSManagedRulesATPRuleSet à sua web ACL e Edite as configurações do grupo de regras antes de salvar.

   nota

   Você paga taxas adicionais ao usar esse grupo de regras gerenciadas. Para obter mais informações, consulte Preços do AWS WAF.

2. No painel Configuração de grupo de regras, forneça as informações que o grupo de regras do ATP usa para inspecionar as solicitações de login.

   1. Em Usar expressão regular em caminhos, ative essa opção se quiser que o AWS WAF realize a correspondência de expressões regulares para suas especificações de caminho de página de login.

      O AWS WAF suporta a sintaxe padrão usada pelo libpcre da biblioteca PCRE com algumas exceções. A biblioteca está documentada em PCRE: Expressões regulares compatíveis com Perl. Para ter informações sobre a AWS WAF, consulte Sintaxe de expressões regulares compatíveis no AWS WAF.

   2. Para Caminho de login, forneça o caminho do endpoint de login do seu aplicativo. O grupo de regras inspeciona somente solicitações POST de HTTP para seu endpoint de login especificado.

      nota

      A correspondência para endpoints não diferencia maiúsculas de minúsculas. As especificações para Regex não devem conter o sinalizador (?-i), que desativa a correspondência que não diferencia maiúsculas de minúsculas. As especificações para string devem começar com uma barra /.

      Por exemplo, para o URL https://example.com/web/login, é possível fornecer a especificação de caminho da string /web/login. Os caminhos de login que começam com o caminho fornecido por você são considerados uma correspondência. Por exemplo, /web/login corresponde aos caminhos de login /web/login, /web/login/, /web/loginPage e /web/login/thisPage, mas não corresponde ao caminho de login /home/web/login ou /website/login.

   3. Para Inspeção de solicitações, especifique como seu aplicativo aceita tentativas de login fornecendo o tipo de carga da solicitação e os nomes dos campos no corpo da solicitação em que o nome de usuário e a senha são fornecidos. Sua especificação dos nomes dos campos depende do tipo de carga.

      • Tipo de carga JSON:Especifique os nomes dos campos na sintaxe JSON do ponteiro. Para saber mais sobre a sintaxe de apontador JOSN, consulte a documentação do Internet Engineering Task Force (IETF) JavaScript Object Notation (JSON) Pointer.

        Por exemplo, para o exemplo de carga JSON a seguir, a especificação do campo de nome de usuário é /login/username e a especificação do campo de senha é /login/password.

        {
            "login": {
                "username": "THE_USERNAME",
                "password": "THE_PASSWORD"
            }
        }

      • Tipo de carga FORM_ENCODED:Use os nomes dos formulários em HTML.

        Por exemplo, para um formulário HTML com elementos de entrada chamados username1 e password1, a especificação do campo do nome de usuário é username1 e a especificação do campo da senha é password1.

   4. Se você estiver protegendo as distribuições do Amazon CloudFront,em Inspeção de resposta, especifique como seu aplicativo indica sucesso ou falha em suas respostas às tentativas de login.

      nota

      A inspeção de resposta do ATP está disponível somente em web ACLsque protegem as distribuições do CloudFront.

      Especifique um único componente na resposta de login que você deseja que o ATP inspecione. Para os tipos de componentes Corpo e JSON, o AWS WAF pode inspecionar os primeiros 65.536 bytes (64 KB) do componente.

      Forneça seus critérios de inspeção para o tipo de componente, conforme indicado pela interface. Você deve fornecer critérios de sucesso e falha para inspecionar no componente.

      Por exemplo, digamos que seu aplicativo indique o status de uma tentativa de login no código de status da resposta e use 200 OK para sucesso e 403 Forbidden ou 401 Unauthorized para falha. Você definiria o Tipo de componente de inspeção de resposta como Código de status e, na caixa de texto Sucesso, inseriria 200 e, na caixa de texto Falha, inseriria 401 na primeira linha e 403 na segunda.

      O grupo de regras do ATP conta somente as respostas que correspondem aos seus critérios de inspeção de sucesso ou falha. As regras do grupo de regras agem sobre os clientes quando eles têm uma taxa de falha muito alta entre as respostas que são contadas. Para um comportamento preciso de acordo com as regras do grupo de regras, forneça informações completas sobre tentativas bem-sucedidas e malsucedidas de login.

      Para ver as regras que inspecionam as respostas de login, procure VolumetricIpFailedLoginResponseHigh e VolumetricSessionFailedLoginResponseHigh na lista de regras em AWS WAF Grupo de regras de prevenção de aquisição de contas de controle de fraudes (ATP).

3. Forneça qualquer configuração adicional desejada para o grupo de regras.

   Você pode limitar ainda mais o escopo das solicitações que o grupo de regras inspeciona adicionando uma instrução de redução de escopo à instrução do grupo de regras gerenciadas. Por exemplo, você pode inspecionar somente solicitações com um argumento de consulta ou cookie específico. O grupo de regras inspecionará somente as solicitações POST de HTTP para seu endpoint de login especificado que correspondam aos critérios em sua instrução de escopo. Para informações sobre instruções de redução de escopo, consulte Como usar instruções de escopo reduzido no AWS WAF.

4. Salve suas alterações na web ACL.