AWS WAF ACFP 组件 - AWS WAFAWS Firewall Manager、和 AWS Shield Advanced

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS WAF ACFP 组件

AWS WAF 欺诈控制账户创建欺诈预防（ACFP）的主要组件如下：

  • AWSManagedRulesACFPRuleSet – 此 AWS 托管规则组中的规则可检测、标记和处理各种类型的欺诈账户创建活动。规则组检查客户端发送到指定账户注册端点的 HTTP GET 文本/html 请求以及客户端发送到指定账户注册端点的 POST Web 请求。对于受保护的 CloudFront 分配，规则组还会检查分配向账户创建请求发回的响应。有关此规则组的规则列表，请参阅 AWS WAF Fraud Control 账户创建防欺诈 (ACFP) 规则组。您可以使用托管规则组参考语句将此规则组包含在 Web ACL 中。有关使用规则组的信息，请参阅 将 ACFP 托管规则组添加到您的 Web ACL。

    注意

    使用此托管规则组时，您需要额外付费。有关更多信息，请参阅AWS WAF 定价。

  • 有关您的应用程序的账户注册和创建页面的详细信息 – 将 AWSManagedRulesACFPRuleSet 规则组添加到 Web ACL 时，您必须提供有关您的账户注册和创建页面的信息。这允许规则组缩小其检查的请求范围，并正确验证账户创建 Web 请求。注册页面必须接受 GET 文本/html 请求。账户创建路径必须接受 POST 请求。ACFP 规则组使用电子邮件格式的用户名。有关更多信息，请参阅 将 ACFP 托管规则组添加到您的 Web ACL。

  • 对于受保护的 CloudFront 分配，详细说明您的应用程序如何响应账户创建尝试 – 您提供有关您的应用程序对账户创建尝试的响应的详细信息，ACFP 规则组会跟踪和管理来自单个 IP 地址或单个客户端会话的批量账户创建尝试。有关配置此选项的信息，请参阅 将 ACFP 托管规则组添加到您的 Web ACL。

  • JavaScript 和移动应用程序集成软件开发工具包 – 使用 ACFP 实施实施 AWS WAF JavaScript 和移动软件开发工具包，以启用规则组提供的全套功能。许多 ACFP 规则使用软件开发工具包提供的信息进行会话级别的客户端验证和行为聚合，这是区分合法客户端流量和机器人流量所必需的。有关 SDK 的更多信息，请参阅 中的客户端应用程序集成 AWS WAF。

您可以将 ACFP 实施与以下实施相结合，以帮助您监控、调整和自定义保护。

  • 日志和指标 – 您可以通过为 Web ACL 配置和启用日志、Amazon Security Lake 数据收集和 Amazon CloudWatch 指标来监控您的流量，并了解 ACFP 托管规则组对流量的影响。AWSManagedRulesACFPRuleSet 为您的 Web 请求添加的标签包含在此数据中。有关这些选项的信息，请参阅 记录 AWS WAF Web ACL 流量、使用 Amazon CloudWatch 监控 和什么是 Amazon Security Lake。

    根据您的需求和看到的流量，您可能需要自定义您的 AWSManagedRulesACFPRuleSet 实施。例如，您可能希望将某些流量排除在 ACFP 的评估范围之外，或者您可能希望使用范围缩小语句或标签匹配规则等 AWS WAF 功能，改变 ACFP 处理其识别的某些账户创建欺诈尝试的方式。

  • 标签和标签匹配规则 – 对于 AWSManagedRulesACFPRuleSet 中的任何规则，您可以将阻止行为切换为计数，然后与规则添加的标签进行匹配。使用此方法自定义如何处理由 ACFP 托管规则组标识的 Web 请求。有关标记和使用标签匹配语句的更多信息，请参见 标签匹配规则语句 和 在 Web 请求中添加标签 AWS WAF。

  • 自定义请求和响应 – 您可以在允许的请求中添加自定义标头，也可以为被阻止的请求发送自定义响应。为此，您需要将匹配的标签与 AWS WAF 自定义请求和响应功能配对。有关请求和响应格式的更多信息，请参阅 AWS WAF中的自定义 Web 请求和响应。