Práticas recomendadas para lidar com versões gerenciadas de grupos de regras - AWS WAF, AWS Firewall Manager, e AWS Shield Advanced

Práticas recomendadas para lidar com versões gerenciadas de grupos de regras

Siga essa orientação de práticas recomendadas para lidar com o versionamento ao usar um grupo de regras gerenciadas versionado.

Ao usar um grupo de regras gerenciadas em sua web ACL, você pode optar por usar uma versão específica e estática do grupo de regras ou pode optar por usar a versão padrão:

  • Versão padrão: o AWS WAF sempre define a versão padrão como a versão estática atualmente recomendada pelo provedor. Quando o provedor atualiza a versão estática recomendada, o AWS WAF atualiza automaticamente a configuração da versão padrão para o grupo de regras em sua web ACL.

    Ao usar a versão padrão de um grupo de regras gerenciadas, faça o seguinte como prática recomendada:

    • Inscreva-se nas notificações: inscreva-se nas notificações de mudanças no grupo de regras e fique de olho nelas. A maioria dos provedores envia notificações avançadas sobre novas versões estáticas e alterações na versão padrão. Eles permitem que você verifique os efeitos de uma nova versão estática antes de a AWS mudar a versão padrão para ela. Para ter mais informações, consulte Como receber notificações sobre novas versões e atualizações.

    • Revise os efeitos das configurações da versão estática e fazer os ajustes necessários antes que seu padrão seja definido: antes que seu padrão seja definido como uma nova versão estática, revise os efeitos da versão estática no monitoramento e no gerenciamento de suas solicitações da web. A nova versão estática pode ter novas regras para revisar. Procure falsos positivos ou outros comportamentos inesperados, caso precise modificar a forma como você usa o grupo de regras. Você pode definir regras para contar, por exemplo, para impedir que elas bloqueiem o tráfego enquanto você descobre como deseja lidar com o novo comportamento. Para ter mais informações, consulte Testar e ajustar suas proteções do AWS WAF.

  • Versão estática: se você optar por usar uma versão estática, deverá atualizar manualmente a configuração da versão quando estiver pronto para adotar uma nova versão do grupo de regras.

    Ao usar a versão estática de um grupo de regras gerenciadas, faça o seguinte como prática recomendada:

    • Mantenha sua versão atualizada: mantenha seu grupo de regras gerenciadas o mais próximo possível da versão mais recente. Quando uma nova versão for lançada, teste-a, ajuste as configurações conforme necessário e implemente-a em tempo hábil. Para ter mais informações sobre testes, consulte Testar e ajustar suas proteções do AWS WAF.

    • Inscreva-se para receber notificações: inscreva-se nas notificações de alterações no grupo de regras para saber quando seu provedor lançará novas versões estáticas. A maioria dos provedores notifica com antecedência as alterações de versão. Além disso, seu provedor pode precisar atualizar a versão estática que você está usando para fechar uma brecha de segurança ou por outros motivos urgentes. Você saberá o que está acontecendo se estiver inscrito nas notificações do provedor. Para ter mais informações, consulte Como receber notificações sobre novas versões e atualizações.

    • Evite a expiração da versão: não permita que uma versão estática expire enquanto você a estiver usando. O tratamento de versões expiradas pelo provedor pode variar e pode incluir forçar uma atualização para uma versão disponível ou outras alterações que possam ter consequências inesperadas. Acompanhe a métrica de expiração do AWS WAF e defina um alarme que forneça um número suficiente de dias para atualizar com êxito para uma versão compatível. Para ter mais informações, consulte Acompanhamento da expiração da versão.