Usando a ameaça inteligente JavaScript API - AWS WAF, AWS Firewall Manager, e AWS Shield Advanced

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Usando a ameaça inteligente JavaScript API

Esta seção fornece instruções para usar a ameaça inteligente JavaScript API em seu aplicativo cliente.

A ameaça inteligente APIs fornece operações para executar desafios silenciosos contra o navegador do usuário e para lidar com o AWS WAF tokens que fornecem prova de desafios e CAPTCHA respostas bem-sucedidos.

Implemente a JavaScript integração primeiro em um ambiente de teste e depois na produção. Para obter orientações adicionais sobre codificação, consulte as seções a seguir.

Para usar a ameaça inteligente APIs

  1. Instale o APIs

    Se você usar o CAPTCHAAPI, você pode pular esta etapa. Quando você instala o CAPTCHAAPI, o script instala automaticamente a ameaça APIs inteligente.

    1. Faça login no AWS Management Console e abra o AWS WAF console em https://console.aws.amazon.com/wafv2/.

    2. No painel de navegação, escolha Integração de aplicativos. Na página Integração de aplicativos, você pode ver as opções com guias.

    3. Selecione Integração de ameaças inteligentes

    4. Na guia, selecione a web com ACL a qual você deseja se integrar. A ACL lista da web inclui somente sites ACLs que usam o grupo de regras AWSManagedRulesACFPRuleSet gerenciadas, o grupo de regras AWSManagedRulesATPRuleSet gerenciadas ou o nível de proteção desejado do grupo de regras AWSManagedRulesBotControlRuleSet gerenciadas.

    5. Abra o JavaScript SDKpainel e copie a tag do script para uso em sua integração.

    6. No código da página do aplicativo, na <head> seção, insira a tag de script que você copiou para a WebACL. Essa inclusão faz com que seu aplicativo cliente recupere automaticamente um token em segundo plano no carregamento da página. 

      <head>
    <script type="text/javascript" src="Web ACL integration URL/challenge.js” defer></script>
<head>

      Essa lista <script> é configurada com o recurso defer, mas você pode alterar a configuração para async se quiser um comportamento diferente para sua página.

  2. (Opcional) Adicionar configuração de domínio para os tokens do cliente — Por padrão, quando AWS WAF cria um token, ele usa o domínio host do recurso associado à webACL. Para fornecer domínios adicionais para o JavaScript APIs, siga as orientações emFornecimento de domínios para uso nos tokens.

  3. Codificar sua integração de ameaças inteligentes: escreva seu código para garantir que a recuperação do token seja concluída antes que o cliente envie suas solicitações para os endpoints protegidos. Se você já estiver usando o fetch API para fazer sua chamada, você pode substituir o AWS WAF fetchinvólucro de integração. Se você não usa o fetchAPI, você pode usar o AWS WAF em vez disso, getToken operação de integração. Para ver orientações de codificação, consulte as seções a seguir.

  4. Adicione a verificação de token na sua web ACL — adicione pelo menos uma regra à sua web ACL que verifique se há um token de desafio válido nas solicitações da web enviadas pelo seu cliente. Você pode usar grupos de regras que verificam e monitoram os tokens de desafio, como o nível-alvo do grupo de regras gerenciado pelo Bot Control, e você pode usar o Challenge ação de regra a ser verificada, conforme descrito emO uso do CAPTCHA e Challenge em AWS WAF.

    As ACL adições na web verificam se as solicitações para seus endpoints protegidos incluem o token que você adquiriu na integração com o cliente. Solicitações que incluem um token válido e não expirado passam pelo Challenge inspecione e não envie outro desafio silencioso ao seu cliente.

  5. (Opcional) Bloqueie solicitações sem tokens — Se você usar o APIs com o grupo de regras ACFP gerenciadas, o grupo de regras ATP gerenciadas ou as regras específicas do grupo de regras do Bot Control, essas regras não bloquearão solicitações sem tokens. Para bloquear solicitações sem tokens, siga as orientações em Bloqueando solicitações que não têm um valor válido AWS WAF token.

Tópicos