Configura la conservazione degli IP sui set di IP consentiti e negati AWS WAF

PDF

È possibile configurare la conservazione dell'IP sui set di AWS WAF IP consentiti e negati creati dalla soluzione. Le sezioni seguenti spiegano come funziona e illustrano i passaggi per configurarla.

Come funziona

Conservazione degli IP su set IP consentiti e negati WAF

1. Quando un utente aggiorna (aggiunge o elimina un indirizzo IP) il set di WAF IP consentito o negato, questa azione AWS WAF UpdateIPSet API richiama una chiamata e crea un evento.

2. Una regola di Amazon EventBridge Events rileva gli eventi in base a uno schema di eventi predefinito e richiama una funzione Lambda per impostare il periodo di conservazione per tutti gli indirizzi IP presenti nell'IP impostato dopo l'aggiornamento.

3. La funzione Lambda elabora gli eventi, estrae i dati rilevanti per la conservazione degli IP (come nome del set IP, ID, ambito, indirizzi IP) e li inserisce in una tabella DynamoDB. Inoltre inserisce un ExpirationTime attributo per ogni elemento di DynamoDB. La soluzione calcola il tempo di scadenza aggiungendo un periodo di conservazione definito dall'utente all'ora dell'evento. La tabella ha DynamoDB Streams e Time to Live () attivati. TTL L'TTLattributo è. ExpirationTime

4. Quando un elemento raggiunge la scadenza, TTL viene richiamato e DynamoDB elimina l'elemento dalla tabella dopo la scadenza. Dopo l'eliminazione dell'elemento, l'elemento eliminato viene aggiunto al flusso DynamoDB, che richiama una funzione Lambda per l'elaborazione a valle.

5. La funzione Lambda ottiene le informazioni sull'elemento eliminato dal flusso DynamoDB ed effettua una AWS WAF API chiamata per rimuovere gli indirizzi IP scaduti inclusi nell'elemento dal set IP di destinazione. AWS WAF

Attiva la conservazione degli IP

Segui questi passaggi per attivare la conservazione degli IP:

1. Nello stack Cloudformation che distribuisci o aggiorni, inserisci il Periodo di conservazione IP (minuti) per il set IP consentito e il Periodo di conservazione IP (minuti) per il set IP negato. Il periodo di conservazione minimo è di 15 minuti. La soluzione tratta qualsiasi numero compreso tra 0 e 15 come15. Per ulteriori informazioni sulla configurazione della distribuzione, fare riferimento alla Fase 1. Avvia lo stack.

2. Inserisci un indirizzo e-mail se desideri ricevere una notifica e-mail quando gli indirizzi IP scaduti vengono rimossi dal set AWS WAF IP. Se scegli di ricevere una notifica via e-mail, devi confermare l'iscrizione utilizzando il link contenuto nell'e-mail che ricevi dopo la corretta implementazione della soluzione. Per ulteriori informazioni sulla configurazione della distribuzione, fare riferimento alla Fase 1. Avvia lo stack.

3. Aggiorna il set AWS WAF IP aggiungendo o eliminando gli indirizzi IP. Ciò avvia il processo di conservazione degli IP e crea un elemento DynamoDB, inclusa una lista di scadenza degli IP. Questa lista di scadenza è composta da indirizzi IP presenti nell' AWS WAF IP impostato dopo l'aggiornamento.

4. Una volta che l'elemento DynamoDB raggiunge la data di scadenza ed è stato eliminato dalla tabella, la soluzione elimina gli indirizzi IP inclusi nell'elenco di scadenza IP dell'elemento dal set IP. WAF

Nota

A seconda del momento in cui DynamoDB elimina un elemento scaduto TTL entro il quale, l'operazione di eliminazione effettiva di un indirizzo IP scaduto dal set IP può variare. AWS WAF L'eliminazione di TTL DynamoDB dipende principalmente dalla dimensione e dal livello di attività di una tabella. Aspettatevi un ritardo nell'operazione di AWS WAF eliminazione a causa del potenziale ritardo nell'operazione di eliminazione di DynamoDB. In generale, la soluzione elimina gli indirizzi IP scaduti dal set AWS WAF IP poco dopo l'eliminazione di DynamoDB. TTL Per ulteriori informazioni, consulta DynamoDB Time to Live TTL () nella Amazon DynamoDB Developer Guide.