AWS WAFKelompok aturan pencegahan pengambilalihan akun Kontrol Penipuan (ATP)

VendorName:AWS, Nama:AWSManagedRulesATPRuleSet, WCU: 50

Pencegahan Pengambilalihan Akun Kontrol AWS WAF Penipuan (ATP) mengelola label grup aturan dan mengelola permintaan yang mungkin merupakan bagian dari upaya pengambilalihan akun berbahaya. Grup aturan melakukan ini dengan memeriksa upaya login yang dikirim klien ke titik akhir login aplikasi Anda.

• Inspeksi permintaan — ATP memberi Anda visibilitas dan kontrol atas upaya login anomali dan upaya login yang menggunakan kredensyal curian, untuk mencegah pengambilalihan akun yang dapat menyebabkan aktivitas penipuan. ATP memeriksa kombinasi email dan kata sandi terhadap basis data kredensialnya yang dicuri, yang diperbarui secara berkala karena kredensyal baru yang bocor ditemukan di web gelap. ATP mengumpulkan data berdasarkan alamat IP dan sesi klien, untuk mendeteksi dan memblokir klien yang mengirim terlalu banyak permintaan yang bersifat mencurigakan.

• Inspeksi respons — Untuk CloudFront distribusi, selain memeriksa permintaan masuk masuk, grup aturan ATP memeriksa respons aplikasi Anda terhadap upaya login, untuk melacak tingkat keberhasilan dan kegagalan. Dengan menggunakan informasi ini, ATP dapat memblokir sementara sesi klien atau alamat IP yang memiliki terlalu banyak kegagalan login. AWS WAFmelakukan inspeksi respons secara asinkron, jadi ini tidak meningkatkan latensi dalam lalu lintas web Anda.

Menggunakan grup aturan ini

Grup aturan ini memerlukan konfigurasi khusus. Untuk mengonfigurasi dan mengimplementasikan grup aturan ini, lihat panduan diAWS WAFPencegahan pengambilalihan akun Kontrol Penipuan (ATP).

Kelompok aturan ini adalah bagian dari perlindungan mitigasi ancaman cerdas di. AWS WAF Untuk informasi, lihat AWS WAFmitigasi ancaman cerdas.

catatan

Anda akan dikenakan biaya tambahan saat menggunakan grup aturan terkelola ini. Untuk informasi selengkapnya, lihat AWS WAF Harga.

Untuk menjaga biaya Anda turun dan memastikan Anda mengelola lalu lintas web Anda seperti yang Anda inginkan, gunakan kelompok aturan ini sesuai dengan panduan diPraktik terbaik untuk mitigasi ancaman cerdas.

Grup aturan ini tidak tersedia untuk digunakan dengan kumpulan pengguna Amazon Cognito. Anda tidak dapat mengaitkan ACL web yang menggunakan grup aturan ini dengan kumpulan pengguna, dan Anda tidak dapat menambahkan grup aturan ini ke ACL web yang sudah dikaitkan dengan kumpulan pengguna.

Grup aturan ini tidak menyediakan pemberitahuan pembaruan versi atau SNS.

Label ditambahkan oleh grup aturan ini

Grup aturan terkelola ini menambahkan label ke permintaan web yang dievaluasi, yang tersedia untuk aturan yang berjalan setelah grup aturan ini di ACL web Anda. AWS WAFjuga mencatat label ke CloudWatch metrik Amazon. Untuk informasi umum tentang label dan metrik label, lihat Label pada permintaan web danLabel metrik dan dimensi.

Label token

Grup aturan ini menggunakan manajemen AWS WAF token untuk memeriksa dan memberi label permintaan web sesuai dengan status AWS WAF token mereka. AWS WAFmenggunakan token untuk pelacakan dan verifikasi sesi klien.

AWS WAFmenerapkan salah satu label berikut saat memeriksa token permintaan web dan stempel waktu tantangan. AWS WAFtidak menambahkan pelabelan tentang status stempel waktu CAPTCHA.

• awswaf:managed:token:accepted— Token permintaan hadir dan memiliki stempel waktu tantangan yang belum kedaluwarsa.

• awswaf:managed:token:rejected— Token permintaan ada tetapi rusak atau memiliki stempel waktu tantangan yang kedaluwarsa.

• awswaf:managed:token:absent— Permintaan tidak memiliki token.

Untuk informasi selengkapnya, lihat AWS WAFtoken permintaan web.

Label ATP

Grup aturan terkelola ATP menghasilkan label dengan awalan namespace awswaf:managed:aws:atp: diikuti dengan namespace kustom dan nama label.

Grup aturan dapat menambahkan salah satu label berikut selain label yang dicatat dalam daftar aturan:

• awswaf:managed:aws:atp:signal:credential_compromised— Menunjukkan bahwa kredensyal yang dikirimkan dalam permintaan ada di database kredensi yang dicuri.

• awswaf:managed:aws:atp:aggregate:attribute:suspicious_tls_fingerprint— Hanya tersedia untuk CloudFront distribusi Amazon yang dilindungi. Menunjukkan bahwa sesi klien telah mengirim beberapa permintaan yang menggunakan sidik jari TLS yang mencurigakan.

• awswaf:managed:aws:atp:aggregate:volumetric:session:token_reuse:ip— Menunjukkan penggunaan token tunggal di antara lebih dari 5 alamat IP yang berbeda. Ambang batas yang diterapkan aturan ini dapat sedikit berbeda karena latensi. Beberapa permintaan mungkin berhasil melewati batas sebelum label diterapkan.

Anda dapat mengambil semua label untuk grup aturan melalui API dengan meneleponDescribeManagedRuleGroup. Label tercantum di AvailableLabels properti dalam tanggapan.

Daftar aturan pencegahan pengambilalihan akun

Tabel berikut mencantumkan aturan ATP AWSManagedRulesATPRuleSet dan label yang ditambahkan grup aturan ke permintaan web.

catatan

Informasi yang kami publikasikan untuk aturan dalam kelompok aturan Aturan AWS Terkelola dimaksudkan untuk memberi Anda informasi yang cukup untuk menggunakan aturan sementara tidak memberikan informasi yang dapat digunakan oleh pelaku jahat untuk menghindari aturan. Jika Anda memerlukan informasi lebih lanjut daripada yang Anda temukan dalam dokumentasi ini, hubungi AWS SupportPusat.

Nama aturan	Deskripsi dan label
UnsupportedCognitoIDP	Memeriksa lalu lintas web yang menuju ke kumpulan pengguna Amazon Cognito. ATP tidak tersedia untuk digunakan dengan kumpulan pengguna Amazon Cognito, dan aturan ini membantu memastikan bahwa aturan grup aturan ATP lainnya tidak digunakan untuk mengevaluasi lalu lintas kumpulan pengguna. Tindakan aturan: Block label: awswaf:managed:aws:atp:unsupported:cognito_idp
VolumetricIpHigh	Memeriksa volume permintaan yang tinggi yang dikirim dari alamat IP individual. Volume tinggi lebih dari 20 permintaan dalam jendela 10 menit. catatan Ambang batas yang diterapkan aturan ini dapat sedikit berbeda karena latensi. Untuk volume tinggi, beberapa permintaan mungkin berhasil melewati batas sebelum tindakan aturan diterapkan. Tindakan aturan: Block label: awswaf:managed:aws:atp:aggregate:volumetric:ip:high Grup aturan menerapkan label berikut untuk permintaan dengan volume sedang (16-20 permintaan per jendela 10 menit) dan volume rendah (11-15 permintaan per jendela 10 menit), tetapi tidak mengambil tindakan pada mereka: awswaf:managed:aws:atp:aggregate:volumetric:ip:medium dan. awswaf:managed:aws:atp:aggregate:volumetric:ip:low
VolumetricSession	Memeriksa volume permintaan yang tinggi yang dikirim dari sesi klien individual. Ambang batas lebih dari 20 permintaan per jendela 30 menit. Pemeriksaan ini hanya berlaku ketika permintaan web memiliki token. Token ditambahkan ke permintaan oleh SDK integrasi aplikasi dan oleh tindakan aturan CAPTCHA danChallenge. Untuk informasi selengkapnya, lihat AWS WAFtoken permintaan web. catatan Ambang batas yang diterapkan aturan ini dapat sedikit berbeda karena latensi. Beberapa permintaan mungkin berhasil melewati batas sebelum tindakan aturan diterapkan. Tindakan aturan: Block label: awswaf:managed:aws:atp:aggregate:volumetric:session
AttributeCompromisedCredentials	Memeriksa beberapa permintaan dari sesi klien yang sama yang menggunakan kredensyal curian. Tindakan aturan: Block label: awswaf:managed:aws:atp:aggregate:attribute:compromised_credentials
AttributeUsernameTraversal	Memeriksa beberapa permintaan dari sesi klien yang sama yang menggunakan traversal nama pengguna. Tindakan aturan: Block label: awswaf:managed:aws:atp:aggregate:attribute:username_traversal
AttributePasswordTraversal	Memeriksa beberapa permintaan dari sesi klien yang sama yang menggunakan traversal kata sandi. Tindakan aturan: Block label: awswaf:managed:aws:atp:aggregate:attribute:password_traversal
AttributeLongSession	Memeriksa beberapa permintaan dari sesi klien yang sama yang menggunakan sesi jangka panjang. Pemeriksaan ini hanya berlaku ketika permintaan web memiliki token. Token ditambahkan ke permintaan oleh SDK integrasi aplikasi dan oleh tindakan aturan CAPTCHA danChallenge. Untuk informasi selengkapnya, lihat AWS WAFtoken permintaan web. Tindakan aturan: Block label: awswaf:managed:aws:atp:aggregate:attribute:long_session
TokenRejected	Memeriksa permintaan dengan token yang ditolak oleh manajemen AWS WAF token. Pemeriksaan ini hanya berlaku ketika permintaan web memiliki token. Token ditambahkan ke permintaan oleh SDK integrasi aplikasi dan oleh tindakan aturan CAPTCHA danChallenge. Untuk informasi selengkapnya, lihat AWS WAFtoken permintaan web. Tindakan aturan: Block Label: Tidak ada. Untuk memeriksa token yang ditolak, gunakan aturan pencocokan label agar sesuai dengan label: awswaf:managed:token:rejected
SignalMissingCredential	Memeriksa permintaan dengan kredensyal yang tidak memiliki nama pengguna atau kata sandi. Tindakan aturan: Block label: awswaf:managed:aws:atp:signal:missing_credential
VolumetricIpFailedLoginResponseHigh	Memeriksa alamat IP yang baru-baru ini menjadi sumber tingkat upaya login yang gagal terlalu tinggi. Volume tinggi lebih dari 10 permintaan login gagal dari alamat IP dalam jendela 10 menit. Jika Anda telah mengonfigurasi grup aturan untuk memeriksa badan respons atau komponen JSON, AWS WAF dapat memeriksa 65.536 byte (64 KB) pertama dari jenis komponen ini untuk indikator keberhasilan atau kegagalan. Aturan ini menerapkan tindakan aturan dan pelabelan untuk permintaan web baru dari alamat IP, berdasarkan respons keberhasilan dan kegagalan dari sumber daya yang dilindungi untuk upaya login terbaru dari alamat IP yang sama. Anda menentukan cara menghitung keberhasilan dan kegagalan saat Anda mengonfigurasi grup aturan. catatan AWS WAFhanya mengevaluasi aturan ini di ACL web yang melindungi distribusi Amazon CloudFront. catatan Ambang batas yang diterapkan aturan ini dapat sedikit berbeda karena latensi. Klien dapat mengirim lebih banyak upaya login yang gagal daripada yang diizinkan sebelum aturan mulai cocok pada upaya berikutnya. Tindakan aturan: Block label: awswaf:managed:aws:atp:aggregate:volumetric:ip:failed_login_response:high Grup aturan juga menerapkan label terkait berikut ke permintaan, tanpa tindakan terkait apa pun. Semua hitungan untuk jendela 10 menit. awswaf:managed:aws:atp:aggregate:volumetric:ip:failed_login_response:mediumuntuk lebih dari 5 permintaan gagal, awswaf:managed:aws:atp:aggregate:volumetric:ip:failed_login_response:low untuk lebih dari 1 permintaan gagal, awswaf:managed:aws:atp:aggregate:volumetric:ip:successful_login_response:high untuk lebih dari 10 permintaan yang berhasil, awswaf:managed:aws:atp:aggregate:volumetric:ip:successful_login_response:medium untuk lebih dari 5 permintaan yang berhasil, dan awswaf:managed:aws:atp:aggregate:volumetric:ip:successful_login_response:low untuk lebih dari 1 permintaan yang berhasil.
VolumetricSessionFailedLoginResponseHigh	Memeriksa sesi klien yang baru-baru ini menjadi sumber tingkat upaya login yang gagal terlalu tinggi. Volume tinggi lebih dari 10 permintaan login gagal dari sesi klien dalam jendela 30 menit. Jika Anda telah mengonfigurasi grup aturan untuk memeriksa badan respons atau komponen JSON, AWS WAF dapat memeriksa 65.536 byte (64 KB) pertama dari jenis komponen ini untuk indikator keberhasilan atau kegagalan. Aturan ini menerapkan tindakan aturan dan pelabelan untuk permintaan web baru dari sesi klien, berdasarkan respons keberhasilan dan kegagalan dari sumber daya yang dilindungi untuk upaya login terbaru dari sesi klien yang sama. Anda menentukan cara menghitung keberhasilan dan kegagalan saat Anda mengonfigurasi grup aturan. catatan AWS WAFhanya mengevaluasi aturan ini di ACL web yang melindungi distribusi Amazon CloudFront . catatan Ambang batas yang diterapkan aturan ini dapat sedikit berbeda karena latensi. Klien dapat mengirim lebih banyak upaya login yang gagal daripada yang diizinkan sebelum aturan mulai cocok pada upaya berikutnya. Pemeriksaan ini hanya berlaku ketika permintaan web memiliki token. Token ditambahkan ke permintaan oleh SDK integrasi aplikasi dan oleh tindakan aturan CAPTCHA danChallenge. Untuk informasi selengkapnya, lihat AWS WAFtoken permintaan web. Tindakan aturan: Block label: awswaf:managed:aws:atp:aggregate:volumetric:session:failed_login_response:high Grup aturan juga menerapkan label terkait berikut ke permintaan, tanpa tindakan terkait apa pun. Semua hitungan adalah untuk jendela 30 menit. awswaf:managed:aws:atp:aggregate:volumetric:session:failed_login_response:mediumuntuk lebih dari 5 permintaan gagal, awswaf:managed:aws:atp:aggregate:volumetric:session:failed_login_response:low untuk lebih dari 1 permintaan gagal, awswaf:managed:aws:atp:aggregate:volumetric:session:successful_login_response:high untuk lebih dari 10 permintaan yang berhasil, awswaf:managed:aws:atp:aggregate:volumetric:session:successful_login_response:medium untuk lebih dari 5 permintaan yang berhasil, dan awswaf:managed:aws:atp:aggregate:volumetric:session:successful_login_response:low untuk lebih dari 1 permintaan yang berhasil.