Como substituir ações de grupos de regras no AWS WAF
Esta seção explica como substituir ações de grupos de regras.
Ao adicionar um grupo de regras à sua web ACL, você pode substituir as ações que ele executa nas solicitações da web correspondentes. Substituir as ações de um grupo de regras dentro da configuração da web ACL não altera o grupo de regras em si. Isso altera apenas como o AWS WAF usa o grupo de regras no contexto da web ACL.
Substituições de ações de regras de grupos de regras
Você pode substituir as ações das regras dentro de um grupo de regras por qualquer ação de regra válida. Quando você faz isso, as solicitações correspondentes são tratadas exatamente como se a ação da regra configurada fosse a configuração de substituição.
nota
As ações de regra podem ser de encerramento ou não. Uma ação de encerramento interrompe a avaliação da web ACL da solicitação e permite que ela continue em seu aplicativo protegido ou a bloqueia.
Veja as opções da ação da regra:
-
Allow: AWS WAF permite que a solicitação seja encaminhada para o recurso protegido da AWS para processamento e resposta. Essa é uma ação de encerramento. Nas regras que define, você pode inserir cabeçalhos personalizados na solicitação antes de encaminhá-la para o recurso protegido.
-
Block: AWS WAF bloqueia a solicitação. Essa é uma ação de encerramento. Por padrão, seu recurso protegido da AWS responde com um código de status HTTP
403 (Forbidden). Nas regras que você define, você pode personalizar a resposta. Quando o AWS WAF bloqueia uma solicitação, as configurações da ação Block determinam a resposta que o recurso protegido envia de volta ao cliente. -
Count: AWS WAF conta a solicitação, mas não determina se ela será permitida ou bloqueada. Essa não é uma ação de encerramento, o AWS WAF continua processando as regras restantes na web ACL. Nas regras que você define, você pode inserir cabeçalhos personalizados na solicitação e adicionar rótulos com os quais outras regras possam corresponder.
-
CAPTCHA e Challenge: o AWS WAF usa quebra-cabeças CAPTCHA e desafios silenciosos para verificar se a solicitação não vem de um bot, e o AWS WAF usa tokens para acompanhar as respostas recentes bem-sucedidas dos clientes.
Os códigos CAPTCHA e os desafios silenciosos só podem ser executados quando os navegadores estão acessando endpoints HTTPS. Os clientes do navegador devem estar sendo executados em contextos seguros para adquirir tokens.
nota
São cobradas taxas adicionais quando você usa a ação de regra CAPTCHA ou Challenge em uma de suas regras ou como uma substituição de ação de regra em um grupo de regras. Para obter mais informações, consulte Preços do AWS WAF
. Essas ações de regra podem ser terminais ou não, dependendo do estado do token na solicitação:
-
Não terminal para token válido e não expirado: se o token for válido e não expirado de acordo com o CAPTCHA configurado ou o tempo de imunidade de desafio, o AWS WAF tratará a solicitação de forma semelhante à ação Count. O AWS WAF continua a inspecionar a solicitação da web com base nas regras restantes da web ACL. Semelhante à configuração de Count, nas regras que define, você pode, opcionalmente, configurar essas ações com cabeçalhos personalizados para inserir na solicitação e adicionar rótulos aos quais outras regras possam corresponder.
-
Encerramento com solicitação bloqueada de token inválido ou expirado: se o token for inválido ou o timestamp indicado expirar, o AWS WAF encerra a inspeção da solicitação da web e bloqueia a solicitação, semelhante à ação Block. Em seguida, o AWS WAF responde ao cliente com um código de resposta personalizado. Para CAPTCHA, se o conteúdo da solicitação indicar que o navegador do cliente pode lidar com isso, o AWS WAF envia um quebra-cabeça CAPTCHA em uma intersticial de JavaScript, projetado para distinguir clientes humanos de bots. Para a ação Challenge, o AWS WAF envia uma intersticial de JavaScript com um desafio silencioso projetado para distinguir navegadores normais de sessões que estão sendo executadas por bots.
Para obter informações adicionais, consulte Como usar CAPTCHA e Challenge no AWS WAF.
-
Para obter informações sobre como utilizar essa opção, consulte Substituir ações de regra para um grupo de regras.
Substituição da ação da regra para Count
O caso de uso mais comum para substituições de ações de regras é substituir algumas ou todas as ações de regras para Count, para testar e monitorar o comportamento de um grupo de regras antes de colocá-lo em produção.
Você também pode usar isso para solucionar problemas de um grupo de regras que está gerando falsos positivos. Falsos positivos ocorrem quando um grupo de regras bloqueia o tráfego que você não espera que ele bloqueie. Se você identificar uma regra em um grupo de regras que bloquearia as solicitações que você deseja permitir, você pode manter a substituição da ação de contagem nessa regra, para evitar que ela atue em suas solicitações.
Para obter mais informações sobre como usar a substituição de ação de regra em testes, consulte Testar e ajustar suas proteções do AWS WAF.
Lista JSON: RuleActionOverrides substitui ExcludedRules
Se você definiu as ações de regras do grupo de regras como Count na configuração de web ACL antes de 27 de outubro de 2022, o AWS WAF salvou suas substituições no JSON da web ACL como ExcludedRules. Agora, a configuração JSON para substituir uma regra para Count está nas configurações RuleActionOverrides.
Quando você usa o console do AWS WAF para editar as configurações existentes do grupo de regras, o console converte automaticamente quaisquer configurações ExcludedRules no JSON em configurações RuleActionOverrides, com a ação de substituição definida como Count.
-
Exemplo de configuração atual:
"ManagedRuleGroupStatement": { "VendorName": "AWS", "Name": "AWSManagedRulesAdminProtectionRuleSet", "RuleActionOverrides": [ { "Name": "AdminProtection_URIPATH", "ActionToUse": { "Count": {} } } ] -
Exemplo de configuração antiga:
OLD SETTING "ManagedRuleGroupStatement": { "VendorName": "AWS", "Name": "AWSManagedRulesAdminProtectionRuleSet", "ExcludedRules": [ { "Name": "AdminProtection_URIPATH" } ] OLD SETTING
Recomendamos que você atualize todas as configurações ExcludedRules em suas listas de JSON para configurações RuleActionOverrides com a ação definida como Count. A API aceita qualquer uma das configurações, mas você obterá consistência em suas listas de JSON, entre o trabalho do console e o trabalho da API, se usar apenas a nova configuração RuleActionOverrides.
A ação de retorno do grupo de regras é substituída por Count
Você pode substituir a ação que o grupo de regras retorna, definindo-a como Count.
nota
Essa não é uma boa opção para testar as regras em um grupo de regras, porque não altera a forma como o AWS WAF avalia o grupo de regras em si. Isso afeta apenas a forma como o AWS WAF trata os resultados que são retornados à web ACL a partir da avaliação do grupo de regras. Se você quiser testar as regras em um grupo de regras, use a opção descrita na seção anterior, Substituições de ações de regras de grupos de regras.
Quando você substitui a ação do grupo de regras para Count, o AWS WAF processa a avaliação do grupo de regras normalmente.
Se nenhuma regra no grupo de regras corresponder ou se todas as regras correspondentes tiverem uma ação Count, essa substituição não terá efeito no processamento do grupo de regras ou da web ACL.
A primeira regra no grupo de regras que corresponde a uma solicitação da web e que tem uma ação de regra de encerramento faz com que o AWS WAF pare de avaliar o grupo de regras e retorne o resultado da ação de encerramento ao nível de avaliação da web ACL. Nesse ponto, na avaliação da web ACL, essa substituição entra em vigor. O AWS WAF substitui a ação de encerramento para que o resultado da avaliação do grupo de regras seja somente uma ação Count. Em seguida, o AWS WAF continua processando o resto das regras na web ACL.
Para obter informações sobre como utilizar essa opção, consulte Substituição do resultado da avaliação de um grupo de regras para Count.
