Behandeln Sie falsche XSS-Positivmeldungen

Diese Lösung konfiguriert eine AWS-WAF-Regel, die häufig untersuchte Elemente eingehender Anfragen überprüft, um XSS-Angriffe zu identifizieren und zu blockieren. Dieses Erkennungsmuster ist weniger effektiv, wenn Ihr Workload es legitimen Benutzern ermöglicht, HTML zu verfassen und einzureichen, beispielsweise mithilfe eines Rich-Text-Editors in einem Content-Management-System. In diesem Szenario sollten Sie eine Ausnahmeregel erstellen, die die standardmäßige XSS-Regel für bestimmte URL-Muster umgeht, die Rich-Text-Eingaben akzeptieren, und alternative Mechanismen implementieren, um die ausgeschlossenen URLs zu schützen. URLs

Darüber hinaus können einige Bild- oder benutzerdefinierte Datenformate zu Fehlalarmen führen, da sie Muster enthalten, die auf einen möglichen XSS-Angriff in HTML-Inhalten hinweisen. Beispielsweise kann eine SVG-Datei ein <script> Tag enthalten. Wenn Sie diese Art von Inhalten von legitimen Benutzern erwarten, passen Sie Ihre XSS-Regeln eng an, um HTML-Anfragen zuzulassen, die diese anderen Datenformate enthalten.

Gehen Sie wie folgt vor, um die XSS-Regel so zu aktualisieren, URLs dass sie diejenigen ausschließt, die HTML als Eingabe akzeptieren. Detaillierte Anweisungen finden Sie im Amazon WAF Developer Guide.

1. Melden Sie sich bei der AWS WAF WAF-Konsole an.

2. Erstellen Sie eine übereinstimmende Zeichenfolge oder eine Regex-Bedingung.

3. Konfigurieren Sie die Filtereinstellungen, um den URI zu überprüfen und Werte aufzulisten, die Sie anhand der XSS-Regel akzeptieren möchten.

4. Bearbeiten Sie die XSS-Regel dieser Lösung und fügen Sie die neue Bedingung hinzu, die Sie erstellt haben.

   Um beispielsweise alle URLs aus der Liste auszuschließen, wählen Sie Folgendes für Wann eine Anfrage aus:

   • tut nicht

   • entspricht mindestens einem der Filer in der Bedingung für die Übereinstimmung mit der Zeichenfolge

   • XSS-Zulassungsliste