Substituindo ações do grupo de regras em AWS WAF

Esta seção explica como substituir as ações do grupo de regras.

Ao adicionar um grupo de regras à sua webACL, você pode substituir as ações que ele executa nas solicitações da web correspondentes. Substituir as ações de um grupo de regras em sua ACL configuração da web não altera o grupo de regras em si. Isso só altera a forma AWS WAF usa o grupo de regras no contexto da webACL.

Substituições de ações de regras de grupos de regras

Você pode substituir as ações das regras dentro de um grupo de regras por qualquer ação de regra válida. Quando você faz isso, as solicitações correspondentes são tratadas exatamente como se a ação da regra configurada fosse a configuração de substituição.

nota

As ações de regra podem ser de encerramento ou não. Uma ação de encerramento interrompe a ACL avaliação da solicitação na web e permite que ela continue em seu aplicativo protegido ou a bloqueia.

Veja as opções da ação da regra:

• Allow – AWS WAF permite que a solicitação seja encaminhada para o protegido AWS recurso para processamento e resposta. Essa é uma ação de encerramento. Nas regras que define, você pode inserir cabeçalhos personalizados na solicitação antes de encaminhá-la para o recurso protegido.

• Block – AWS WAF bloqueia a solicitação. Essa é uma ação de encerramento. Por padrão, seu protegido AWS o recurso responde com um código de HTTP 403 (Forbidden) status. Nas regras que você define, você pode personalizar a resposta. Quando AWS WAF bloqueia uma solicitação, o Block as configurações de ação determinam a resposta que o recurso protegido envia de volta ao cliente.

• Count – AWS WAF conta a solicitação, mas não determina se ela deve ser permitida ou bloqueada. Essa é uma ação que não termina. AWS WAF continua processando as regras restantes na webACL. Nas regras que você define, você pode inserir cabeçalhos personalizados na solicitação e adicionar rótulos com os quais outras regras possam corresponder.

• CAPTCHA e Challenge – AWS WAF usa CAPTCHA quebra-cabeças e desafios silenciosos para verificar se a solicitação não vem de um bot, e AWS WAF usa tokens para rastrear as recentes respostas bem-sucedidas dos clientes.

  CAPTCHAquebra-cabeças e desafios silenciosos só podem ser executados quando os navegadores estão acessando HTTPS endpoints. Os clientes do navegador devem estar sendo executados em contextos seguros para adquirir tokens.

  nota

  São cobradas taxas adicionais ao usar o CAPTCHA ou Challenge ação de regra em uma de suas regras ou como substituição de ação de regra em um grupo de regras. Para ter mais informações, consulte AWS WAF Preços.

  Essas ações de regra podem ser terminais ou não, dependendo do estado do token na solicitação:

  • Não encerramento para token válido e não expirado — Se o token for válido e não expirado de acordo com o tempo de imunidade configurado ou desafiado, CAPTCHA AWS WAF trata a solicitação de forma semelhante à Count ação. AWS WAF continua inspecionando a solicitação da web com base nas regras restantes na webACL. Semelhante ao Count configuração, nas regras que você define, você pode, opcionalmente, configurar essas ações com cabeçalhos personalizados para inserir na solicitação e adicionar rótulos aos quais outras regras possam corresponder.

  • Encerramento com solicitação bloqueada de token inválido ou expirado — Se o token for inválido ou a data e hora indicada expirar, AWS WAF encerra a inspeção da solicitação da web e bloqueia a solicitação, semelhante ao Block ação. AWS WAF em seguida, responde ao cliente com um código de resposta personalizado. Para CAPTCHA, se o conteúdo da solicitação indicar que o navegador do cliente pode lidar com isso, AWS WAF envia um CAPTCHA quebra-cabeça em um JavaScript intersticial, projetado para distinguir clientes humanos de bots. Para o Challenge ação, AWS WAF envia um JavaScript intersticial com um desafio silencioso projetado para distinguir navegadores normais de sessões que estão sendo executadas por bots.

  Para obter informações adicionais, consulte O uso do CAPTCHA e Challenge em AWS WAF.

Para obter informações sobre como utilizar essa opção, consulte Substituir ações de regra para um grupo de regras.

Substituindo a ação da regra para Count

O caso de uso mais comum para substituições de ações de regras é substituir algumas ou todas as ações de regra para Count, para testar e monitorar o comportamento de um grupo de regras antes de colocá-lo em produção.

Você também pode usar isso para solucionar problemas de um grupo de regras que está gerando falsos positivos. Falsos positivos ocorrem quando um grupo de regras bloqueia o tráfego que você não espera que ele bloqueie. Se você identificar uma regra em um grupo de regras que bloquearia as solicitações que você deseja permitir, você pode manter a substituição da ação de contagem nessa regra, para evitar que ela atue em suas solicitações.

Para obter mais informações sobre como usar a substituição de ação de regra em testes, consulte Testando e ajustando seu AWS WAF proteções.

JSONlistagem: RuleActionOverrides substitui ExcludedRules

Se você definir as ações de regras do grupo de regras como Count na sua ACL configuração da web antes de 27 de outubro de 2022, AWS WAF salvou suas substituições na web ACL JSON como. ExcludedRules Agora, a JSON configuração para anular uma regra para Count está nas RuleActionOverrides configurações.

Quando você usa o AWS WAF console para editar as configurações existentes do grupo de regras, o console converte automaticamente qualquer ExcludedRules configuração nas JSON configurações em, com a ação de substituição definida como RuleActionOverrides Count.

• Exemplo de configuração atual:

         "ManagedRuleGroupStatement": {
            "VendorName": "AWS",
            "Name": "AWSManagedRulesAdminProtectionRuleSet",
            "RuleActionOverrides": [
              {
                "Name": "AdminProtection_URIPATH",
                "ActionToUse": {
                  "Count": {}
                }
              }
            ]

• Exemplo de configuração antiga:

  OLD SETTING
         "ManagedRuleGroupStatement": {
            "VendorName": "AWS",
            "Name": "AWSManagedRulesAdminProtectionRuleSet",
            "ExcludedRules": [
              {
                "Name": "AdminProtection_URIPATH"
              }
            ]
  OLD SETTING

Recomendamos que você atualize todas ExcludedRules as configurações em seus JSON anúncios para RuleActionOverrides configurações com a ação definida como Count. APIAceita qualquer uma das configurações, mas você obterá consistência em suas JSON listagens, entre o trabalho do console e o seu API trabalho, se usar apenas a nova RuleActionOverrides configuração.

Substituição da ação de retorno do grupo de regras para Count

Você pode substituir a ação que o grupo de regras retorna, definindo-a como Count.

nota

Essa não é uma boa opção para testar as regras em um grupo de regras, porque não altera a forma como AWS WAF avalia o próprio grupo de regras. Isso afeta apenas como AWS WAF manipula os resultados que são retornados para a web a ACL partir da avaliação do grupo de regras. Se você quiser testar as regras em um grupo de regras, use a opção descrita na seção anterior, Substituições de ações de regras de grupos de regras.

Quando você substitui a ação do grupo de regras para Count, AWS WAF processa a avaliação do grupo de regras normalmente.

Se nenhuma regra no grupo de regras corresponder ou se todas as regras correspondentes tiverem um Count ação, então essa substituição não tem efeito no processamento do grupo de regras ou da webACL.

A primeira regra no grupo de regras que corresponde a uma solicitação da web e que tem uma ação de regra de encerramento causa AWS WAF para parar de avaliar o grupo de regras e retornar o resultado da ação de encerramento ao nível de ACL avaliação da web. Nesse ponto, na ACL avaliação da web, essa substituição entra em vigor. AWS WAF substitui a ação de encerramento para que o resultado da avaliação do grupo de regras seja somente um Count ação. AWS WAF em seguida, continua processando o resto das regras na webACL.

Para obter informações sobre como utilizar essa opção, consulte Substituição do resultado da avaliação de um grupo de regras para Count.