Como gerenciar a mitigação automática de DDoS na camada de aplicação

Use as orientações desta seção para gerenciar suas configurações de mitigação automáticas de DDoS na camada de aplicação. Para obter informações sobre como funciona a mitigação automática, consulte os tópicos anteriores.

nota

Siga as melhores práticas descritas emPráticas recomendadas para usar a mitigação automática.

Como visualizar a configuração de mitigação automática de DDoS da camada de aplicação de um recurso

Você pode visualizar a configuração de mitigação automática de DDoS da camada de aplicação de um recurso na página Recursos protegidos e nas páginas de proteções individuais.

Para visualizar a configuração de mitigação automática de DDoS da camada de aplicação

1. Faça login AWS Management Console e abra o console AWS WAF & Shield em https://console.aws.amazon.com/wafv2/.

2. No painel AWS Shield de navegação, escolha Recursos protegidos. Na lista de recursos protegidos, a coluna Mitigação automática de DDoS na camada de aplicação indica se a mitigação automática está ativada e, quando ativada, a ação que o Shield Advanced deve usar em suas mitigações.

   Você também pode selecionar qualquer recurso da camada de aplicação para ver as mesmas informações listadas na página de proteções do recurso.

Como ativar e desativar a mitigação automática de DDoS na camada de aplicação

O procedimento a seguir mostra como ativar ou desativar a resposta automática para um recurso protegido.

Para ativar ou desativar a mitigação automática de DDoS na camada de aplicação para um único recurso

1. Faça login AWS Management Console e abra o console AWS WAF & Shield em https://console.aws.amazon.com/wafv2/.

2. No painel AWS Shield de navegação, escolha Recursos protegidos.

3. Na guia Proteções, selecione o recurso da camada de aplicação para o qual você deseja ativar a mitigação automática. A página de proteções do recurso é aberta.

4. Na página de proteções do recurso, escolha Editar.

5. Na página Configurar a mitigação de DDoS da camada 7 para recursos globais: opcional para a Mitigação automática de DDoS na camada de aplicação, escolha a opção que você deseja usar para mitigações automáticas. As opções para o console são as seguintes:

   • Manter as configurações atuais: — Não fazer alterações nas configurações de mitigação automática do recurso protegido.

   • Ativar: — Ativar a mitigação automática para o recurso protegido. Ao escolher isso, selecione também a ação de regra que você deseja que as mitigações automáticas usem nas regras de web ACL. Para informações sobre as configurações de ações de regra, consulte Usando ações de regras em AWS WAF.

     Se seu recurso protegido ainda não tiver um histórico de tráfego normal de aplicativos, ative a mitigação automática no Count modo até que o Shield Advanced possa estabelecer uma linha de base. O Shield Advanced começa a coletar informações para sua linha de base quando você associa uma ACL da web ao seu recurso protegido, e pode levar de 24 horas a 30 dias para estabelecer uma boa linha de base do tráfego normal.

   • Desativar: — Desativar a mitigação automática para o recurso protegido.

6. Percorra o restante das páginas até terminar e salve a configuração.

Na página Proteções, as configurações de mitigação automática são atualizadas para o recurso.

Como alterar a ação usada para mitigação automática de DDoS na camada de aplicação

Você pode alterar a ação que o Shield Advanced usa para a resposta automática da camada de aplicação em vários locais no console:

• Configuração de mitigação automática: — Altere a ação ao configurar a mitigação automática para seu recurso. Para ver o procedimento, consulte a seção Como ativar e desativar a mitigação automática de DDoS na camada de aplicação anterior.

• Página de detalhes do evento: — Altere a ação na página de detalhes do evento ao visualizar as informações do evento no console. Para mais informações, consulte AWS Shield Advanced detalhes do evento.

Se você tem dois recursos protegidos que compartilham uma ACL da Web e define a ação como Count para um dos recursos e Block para o outro, o Shield Avançado definirá a ação da regra baseada em intervalos ShieldKnownOffenderIPRateBasedRule do grupo de regras como Block.

Usando AWS CloudFormation com a mitigação automática de DDoS na camada de aplicativos

Entenda como usar AWS CloudFormation para gerenciar suas proteções e ACLs AWS WAF da web.

Como ativar ou desativar a mitigação automática de DDoS na camada de aplicação

Você pode ativar e desativar a mitigação automática de DDoS na camada de aplicação usando AWS CloudFormation o recurso. AWS::Shield::Protection O efeito é o mesmo de quando você ativa ou desativa o atributo por meio do console ou de qualquer outra interface. Para obter informações sobre o AWS CloudFormation recurso, consulte AWS::Shield::Protectiono guia AWS CloudFormation do usuário.

Como gerenciar web ACLs usadas com mitigação automática

O Shield Advanced gerencia a mitigação automática para seu recurso protegido usando uma regra de grupo de regras na ACL da AWS WAF web do recurso protegido. Por meio do AWS WAF console e das APIs, você verá a regra listada em suas regras de ACL da web, com um nome que começa com. ShieldMitigationRuleGroup Essa regra é dedicada à mitigação automática de DDoS na camada de aplicação, e é gerenciada para você pelo Shield Advanced e AWS WAF. Para ter mais informações, consulte O grupo de regras do Shield Advanced e Como o Shield Advanced gerencia a mitigação automática.

Se você usa AWS CloudFormation para gerenciar suas ACLs da web, não adicione a regra de grupo de regras Shield Advanced ao seu modelo de ACL da web. Quando você atualiza uma ACL da web que está sendo usada com suas proteções de mitigação automática, gerencia AWS WAF automaticamente a regra do grupo de regras na ACL da web.

Você verá as seguintes diferenças em comparação com outras ACLs da web que você gerencia por meio AWS CloudFormation de:

• AWS CloudFormation não relatará nenhum desvio no status de desvio da pilha entre a configuração real da ACL da web, com a regra de grupo de regras Shield Advanced, e seu modelo de ACL da web, sem a regra. A regra Shield Advanced não aparecerá na listagem real do recurso nos detalhes de oscilação.

  Você poderá ver a regra de grupo de regras do Shield Advanced nas listagens de ACL da web das quais você recupera AWS WAF, como por meio do AWS WAF console ou AWS WAF das APIs.

• Se você modificar o modelo de ACL da web em uma pilha, o AWS WAF Shield Advanced mantiver automaticamente a regra de mitigação automática do Shield Advanced na ACL da web atualizada. As proteções de mitigação automática fornecidas pelo Shield Advanced não são interrompidas por sua atualização na web ACL.

Não gerencie a regra Shield Advanced em seu modelo de ACL AWS CloudFormation da web. O modelo de web ACL não deve listar a regra do Shield Advanced. Siga as práticas recomendadas para gerenciamento de web ACL em Práticas recomendadas para usar a mitigação automática.