As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Opções para desafios e aquisição de tokens
Você pode oferecer desafios e adquirir tokens usando os SDKs de integração de AWS WAF aplicativos ou as ações de regras Challenge e. CAPTCHA Em termos gerais, as ações de regras são mais fáceis de implementar, mas geram custos adicionais, interferem mais na experiência do cliente e exigem. JavaScript Os SDKs exigem programação em seus aplicativos cliente, mas eles podem fornecer uma melhor experiência ao cliente, são gratuitos e podem ser usados com JavaScript ou em aplicativos Android ou iOS. Você só pode usar os SDKs de integração de aplicativos com web ACLsque usam um dos grupos de regras gerenciadas pagos de mitigação de ameaças inteligentes, descritos na seção a seguir.
Comparação de opções para desafios e aquisição de tokens | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Ação da regra do Challenge | Ação da regra do CAPTCHA | JavaScript Desafio do SDK | Desafio do SDK móvel | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| O que é | Ação de regra que impõe a aquisição do AWS WAF token, apresentando ao cliente do navegador um desafio intersticial silencioso | Ação de regra que impõe a aquisição do AWS WAF token, apresentando ao usuário final do cliente um desafio visual ou de áudio (intersticial) |
Camada de integração de aplicativos, para navegadores de clientes e outros dispositivos que são executadosJavaScript. Renderiza o desafio silencioso e adquire um token |
Camada de integração de aplicativos, para aplicativos Android e iOS. Renderiza nativamente o desafio silencioso e adquire um token |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Boa escolha para... | Validação silenciosa contra sessões de bot e aplicação da aquisição de tokens para clientes que oferecem suporte JavaScript | Validação silenciosa e de usuário final em relação a sessões de bots e aplicação da aquisição de tokens, para clientes que oferecem suporte JavaScript | Validação silenciosa contra sessões de bot e aplicação da aquisição de tokens para clientes que oferecem suporte JavaScript. Os SDKs fornecem a menor latência e o melhor controle sobre onde o script de desafio é executado no aplicativo. |
Validação silenciosa contra sessões de bots e aplicação da aquisição de tokens para aplicativos móveis nativos no Android e iOS. Os SDKs fornecem a menor latência e o melhor controle sobre onde o script de desafio é executado no aplicativo. |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Considerações de implementação | Implementado como uma configuração de ação de regra | Implementado como uma configuração de ação de regra | Requer um dos grupos de regras pagas de ACFP, ATP ou Controle de Bots na web ACL. Requer codificação no aplicativo cliente. |
Requer um dos grupos de regras pagas de ACFP, ATP ou Controle de Bots na web ACL. Requer codificação no aplicativo cliente. |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Considerações sobre runtime | Fluxo intrusivo para solicitações sem tokens válidos. O cliente é redirecionado para um AWS WAF desafio intersticial. Adiciona viagens de ida e volta à rede e exige uma segunda avaliação da solicitação da web. | Fluxo intrusivo para solicitações sem tokens válidos. O cliente é redirecionado para uma intersticial de CAPTCHA do AWS WAF . Adiciona viagens de ida e volta à rede e exige uma segunda avaliação da solicitação da web. | Pode ser executado nos bastidores. Oferece mais controle sobre a experiência do desafio. | Pode ser executado nos bastidores. Oferece mais controle sobre a experiência do desafio. | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Requer JavaScript | Sim | Sim | Sim | Não | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Clientes compatíveis | Navegador e dispositivos que executam Javascript | Navegador e dispositivos que executam Javascript | Navegador e dispositivos que executam Javascript | Dispositivos Android e iOS | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Oferece suporte a aplicativos de página única (SPA) | Somente aplicação. Você pode usar a ação Challenge em conjunto com os SDKs para garantir que as solicitações tenham um token de desafio válido. Você não pode usar a ação de regra para entregar o script de desafio à página. |
Somente aplicação. Você pode usar a ação CAPTCHA em conjunto com os SDKs para garantir que as solicitações tenham um token CAPTCHA válido. Você não pode usar a ação de regra para entregar o script CAPTCHA à página. |
Sim | N/D | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Custos adicionais | Sim, para configurações de ação que você especifica explicitamente, nas regras que você define ou como substituições de ação de regra nos grupos de regras que você usa. Não em todos os outros casos. | Sim, para configurações de ação que você especifica explicitamente, nas regras que você define ou como substituições de ação de regra nos grupos de regras que você usa. Não em todos os outros casos. | Não, mas requer um dos grupos de regras pagas de ACFP, ATP ou Controle de Bots. | Não, mas requer um dos grupos de regras pagas de ACFP, ATP ou Controle de Bots. | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Para obter detalhes sobre os custos associados a essas opções, consulte as informações sobre mitigação de ameaças inteligentes em Preços do AWS WAF
Pode ser mais simples executar desafios e fornecer a aplicação básica de tokens simplesmente adicionando uma regra com uma ação Challenge ou CAPTCHA. Talvez seja necessário usar as ações da regra, por exemplo, se você não tiver acesso ao código do aplicativo.
No entanto, se você puder implementar os SDKs, poderá economizar custos e reduzir a latência na avaliação da web ACL das solicitações da web do cliente, em comparação com o uso da ação Challenge:
-
Você pode escrever sua implementação de SDK para executar o desafio em qualquer ponto do seu aplicativo. Você pode adquirir o token em segundo plano, antes de qualquer ação do cliente que envie uma solicitação da web ao seu recurso protegido. Dessa forma, o token fica disponível para envio com a primeira solicitação do seu cliente.
-
Se, em vez disso, você adquirir tokens implementando uma regra com a ação Challenge, a regra e a ação exigirão avaliação e processamento adicionais da solicitação da web quando o cliente enviar uma solicitação pela primeira vez e sempre que o token expirar. A ação Challenge bloqueia a solicitação que não tem um token válido e não expirado e envia o intersticial do desafio de volta ao cliente. Depois que o cliente responde com sucesso ao desafio, a intersticial reenvia a solicitação original da web com o token válido, que é então avaliado pela segunda vez pela web ACL.
