Verwendung der Intelligent Threat JavaScript API - AWS WAFAWS Firewall Manager, und AWS Shield Advanced

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwendung der Intelligent Threat JavaScript API

Die intelligenten Bedrohungs-APIs bieten Funktionen für die Ausführung von Anfragen im Hintergrund gegen den Browser des Benutzers und für die Verarbeitung von AWS WAF Tokens, die den Nachweis erfolgreicher Abfragen und CAPTCHA-Antworten liefern.

Implementieren Sie die JavaScript Integration zunächst in einer Testumgebung und dann in der Produktion. Weitere Anleitungen zur Codierung finden Sie in den folgenden Abschnitten.

Um die APIs für intelligente Bedrohungen zu verwenden

  1. Installieren Sie die APIs

    Wenn Sie die CAPTCHA-API verwenden, können Sie diesen Schritt überspringen. Wenn Sie die CAPTCHA-API installieren, installiert das Skript automatisch die APIs für intelligente Bedrohungen.

    1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die AWS WAF Konsole unter https://console.aws.amazon.com/wafv2/.

    2. Wählen Sie im Navigationsbereich Application integration (Anwendungsintegration) aus. Auf der Seite zur Anwendungsintegration finden Sie Optionen in Registerkarten.

    3. Wählen Sie Intelligente Bedrohungsintegration

    4. Wählen Sie auf der Registerkarte die Web-ACL aus, in die Sie integrieren möchten. Die Web-ACL-Liste enthält nur Web-ACLs, die die AWSManagedRulesACFPRuleSet verwaltete Regelgruppe, die AWSManagedRulesATPRuleSet verwaltete Regelgruppe oder die gezielte Schutzstufe der AWSManagedRulesBotControlRuleSet verwalteten Regelgruppe verwenden.

    5. Öffnen Sie den JavaScript SDK-Bereich und kopieren Sie das Skript-Tag zur Verwendung in Ihrer Integration.

    6. Fügen Sie im Seitencode Ihrer Anwendung im <head> Abschnitt das Skript-Tag ein, das Sie für die Web-ACL kopiert haben. Diese Einbeziehung bewirkt, dass Ihre Clientanwendung beim Laden der Seite automatisch ein Token im Hintergrund abruft. 

      <head>
    <script type="text/javascript" src="Web ACL integration URL/challenge.js” defer></script>
<head>

      Diese <script>-Auflistung wird mit dem defer-Attribut konfiguriert, doch Sie können die Einstellung in async ändern, wenn sich die Seite auf andere Weise verhalten soll.

  2. (Optional) Fügen Sie die Domänenkonfiguration für die Token des Clients hinzu — Standardmäßig AWS WAF wird beim Erstellen eines Tokens die Hostdomäne der Ressource verwendet, die der Web-ACL zugeordnet ist. Um zusätzliche Domänen für die JavaScript APIs bereitzustellen, folgen Sie den Anweisungen unterBereitstellung von Domains zur Verwendung in den Tokens.

  3. Codieren Sie Ihre intelligente Bedrohungsintegration — Verfassen Sie Ihren Code, um sicherzustellen, dass der Token-Abruf abgeschlossen ist, bevor der Client seine Anfragen an Ihre geschützten Endgeräte sendet. Wenn Sie für den Aufruf bereits die fetch-API verwenden, können Sie den fetch-Wrapper der AWS WAF -Integration ersetzen. Wenn Sie die fetch API nicht verwenden, können Sie stattdessen den AWS WAF getToken Integrationsvorgang verwenden. In den folgenden Abschnitten finden Sie weitere Code-Anweisungen.

  4. Fügen Sie Ihrer Web-ACL eine Token-Verifizierung hinzu — Fügen Sie Ihrer Web-ACL mindestens eine Regel hinzu, die prüft, ob in den von Ihrem Client gesendeten Webanfragen ein gültiges Challenge-Token vorhanden ist. Sie können Regelgruppen verwenden, die Challenge-Token überprüfen und überwachen, z. B. die Zielebene der verwalteten Regelgruppe von Bot Control, und Sie können die Challenge Regelaktion zur Überprüfung verwenden, wie unter beschriebenCAPTCHAund Challenge in AWS WAF.

    Die Web-ACL-Ergänzungen überprüfen, ob Anfragen an Ihre geschützten Endgeräte das Token enthalten, das Sie in Ihrer Client-Integration erworben haben. Anfragen, die ein gültiges, noch nicht abgelaufenes Token enthalten, bestehen die Challenge Prüfung und senden keine weitere stille Aufforderung an Ihren Kunden.

  5. (Optional) Blockieren Sie Anfragen, bei denen Token fehlen — Wenn Sie die APIs mit der verwalteten ACFP-Regelgruppe, der von ATP verwalteten Regelgruppe oder den gezielten Regeln der Bot-Control-Regelgruppe verwenden, blockieren diese Regeln keine Anfragen, bei denen Token fehlen. Folgen Sie den Anweisungen unter, um Anfragen zu blockieren, bei Anfragen blockieren, die kein gültiges AWS WAF Token haben denen Token fehlen.

Themen