Preguntas frecuentes sobre AWS WAF

Las reglas administradas son un método sencillo de implementar reglas preconfiguradas a fin de lograr protección contra amenazas habituales derivadas de las vulnerabilidades de las aplicaciones, como OWASP, bots o Common Vulnerabilities and Exposures (CVE, vulnerabilidades y exposiciones habituales). AWS gestiona las reglas administradas de AWS para AWS WAF, mientras que los vendedores de seguridad de terceros gestionan las reglas administradas de AWS Marketplace.

Puede suscribirse a una regla administrada suministrada por un distribuidor de seguridad de Marketplace a través de la consola de AWS WAF o de AWS Marketplace. Todas las reglas gestionadas suscritas estarán a su disposición para poder añadirlas a una ACL web de AWS WAF.

Sí, puede utilizar las reglas administradas junto con sus reglas personalizadas de AWS WAF. Puede añadir reglas gestionadas a su ACL web de AWS WAF existente donde ya esté utilizando sus propias reglas.

La cantidad de reglas incluidas en una regla administrada no cuenta para sus límites. No obstante, cada regla administrada que se agregue a su ACL web se cuenta como una regla.

Puede agregar una regla administrada a una ACL web o eliminarla de la ACL web en cualquier momento. Las reglas gestionadas se deshabilitan al disociar una regla gestionada de cualquier ACL web.

AWS WAF permite configurar una acción de “recuento” para una regla administrada, que determina el número de solicitudes web que cumplen las condiciones de las reglas incluidas en la regla administrada. Puede consultar la cantidad de solicitudes web contadas para estimar cuántas solicitudes web se bloquearían o habilitarían activara la regla gestionada.

Sí, puede configurar CloudFront de manera que presente una página de error personalizada cuando se bloqueen solicitudes. Para obtener más información, consulte la Guía para desarrolladores de CloudFront

Tras la configuración inicial, la agregación o modificación de las reglas suele tardar un minuto en propagarse a todo el mundo.

AWS WAF incluye dos maneras distintas de comprobar que su sitio web esté protegido: existen métricas que se registran una vez por minuto y se encuentran disponibles en CloudWatch y solicitudes web de muestra en la API de AWS WAF o en la consola de administración. De ese modo, puede ver las solicitudes bloqueadas, habilitadas o contadas y qué regla se aplicó para una solicitud determinada (es decir, si la solicitud web se bloqueó debido a una condición de la dirección IP, etc.). Para obtener más información, consulte la Guía para desarrolladores de AWS WAF.

AWS WAF permite configurar una acción de “recuento” que determina la cantidad de solicitudes web que cumplen las condiciones de sus reglas. Puede consultar la cantidad de solicitudes web contadas para estimar cuántas solicitudes web se bloquearían o habilitarían si activara la regla.

Las métricas en tiempo real se almacenan en Amazon CloudWatch. Con Amazon CloudWatch puede configurar el tiempo después del cual desea que los eventos expiren. Las solicitudes web de muestra se almacenan durante un máximo de 3 horas.

Sí. AWS WAF ayuda a proteger aplicaciones y puede inspeccionar solicitudes web transmitidas mediante HTTP o HTTPS.

Account Takeover Prevention (ATP) es un grupo de reglas administrado que supervisa el tráfico a la página de inicio de sesión de la aplicación para detectar el acceso no autorizado a las cuentas de usuario que usan credenciales comprometidas. Puede usar ATP para evitar ataques de relleno de credenciales, intentos de inicio de sesión de fuerza bruta y otras actividades de inicio de sesión anómalas. A medida que se realizan intentos de inicio de sesión en su aplicación, ATP verifica en tiempo real si los nombres de usuario y las contraseñas que se enviaron se han visto comprometidos en otra parte de la web. Al verificar los intentos de inicio de sesión anómalos provenientes de actores maliciosos, ATP correlaciona las solicitudes vistas a lo largo del tiempo para ayudarlo a detectar y mitigar los intentos de fuerza bruta y los ataques de relleno de credenciales. ATP también ofrece JavaScript y SDK de iOS o Android opcionales que se pueden integrar en su aplicación para brindarle telemetría adicional en los dispositivos de los usuarios que intentan iniciar sesión en su aplicación para proteger mejor su aplicación contra intentos de inicio de sesión automatizados por parte de bots.

El tráfico entre los dispositivos de los usuarios y su aplicación está protegido por el protocolo SSL/TLS que configura para el servicio de AWS que utiliza para presentar la aplicación, como Amazon CloudFront, Application Load Balancer, Amazon API Gateway o AWS AppSync. Una vez que una credencial de usuario llega a AWS WAF, AWS WAF la inspecciona y luego la procesa y descarta de inmediato, y la credencial nunca sale de la red de AWS. Cualquier comunicación entre los servicios de AWS que utiliza en la aplicación y AWS WAF se cifra en tránsito y en reposo.

Bot Control le brinda visibilidad y control sobre el tráfico de bots común y generalizado que puede consumir recursos, sesgar métricas, causar tiempo de inactividad y realizar otras actividades no deseadas. Bot Control verifica varios campos de encabezado y solicita propiedades contra firmas de bots conocidas para detectar y categorizar bots automatizados, como raspadores, escáneres y rastreadores.

Account Takeover Prevention (ATP) brinda visibilidad y control sobre los intentos de inicio de sesión anómalos de los malos actores que utilizan credenciales comprometidas, lo que lo ayuda a prevenir el acceso no autorizado que puede conducir a actividades fraudulentas. ATP se utiliza para proteger la página de inicio de sesión de la aplicación.

Bot Control y ATP se pueden usar de forma independiente o juntos. Al igual que con los grupos de reglas administrados de Bot Control, puede usar la acción de regla predeterminada de ATP para bloquear solicitudes coincidentes, o puede personalizar el comportamiento de ATP mediante la funcionalidad de mitigación de AWS WAF.

En la consola de AWS WAF, cree una ACL web nueva o modifique una ACL web existente si ya utiliza AWS WAF. Puede usar el asistente si necesita ayuda para configurar los ajustes básicos, como qué recurso desea proteger y qué reglas agregar. Cuando se le solicite agregar reglas, seleccione Add Managed Rules (Agregar reglas administradas) y luego seleccione Account Creation Fraud Prevention (Prevención del fraude en la creación de cuentas) de la lista de reglas administradas. Para configurar ATP, ingrese la URL de la página de inicio de sesión de su aplicación e indique dónde se encuentran los campos del formulario de nombre de usuario y contraseña dentro del cuerpo de la solicitud.

JavaScript y SDK para dispositivos móviles brindan telemetría adicional en los dispositivos de los usuarios que intentan iniciar sesión en su aplicación para protegerla mejor contra intentos de inicio de sesión automatizados por parte de bots. No necesita usar uno de los SDK, pero le recomendamos que lo haga para obtener protección adicional.

Cuando ATP determina que la credencial de un usuario se ha visto comprometida, genera una etiqueta para indicar una coincidencia. De forma predeterminada, AWS WAF bloquea automáticamente los intentos de inicio de sesión que se determina que son maliciosos o anómalos (por ejemplo, niveles anormales de intentos de inicio de sesión fallidos, reincidentes e intentos de inicio de sesión de bots). Puede cambiar la forma en que AWS WAF responde a las coincidencias al escribir las reglas de AWS WAF que actúan en la etiqueta.

Account Creation Fraud Prevention (ACFP) es un grupo de reglas administrado y de pago que le permite detectar y mitigar los ataques de creación de cuentas falsas contra su página de registro o registro. Puedes utilizar el ACFP para evitar el uso abusivo de promociones o suscripciones, el uso indebido de fidelización o recompensas y la suplantación de identidad. A medida que se registran nuevas cuentas, ACFP verifica en tiempo real cada credencial (es decir, el nombre de usuario y la contraseña) enviada, los dominios de correo electrónico utilizados y otra información, como números de teléfono y campos de dirección introducidos, y bloquea el intento de registro si parte de esta información se considera robada o tiene mala reputación. Además, ACFP incluye predicciones de riesgo de fraude que puede utilizar sin necesidad de tener un conocimiento profundo de los modelos de detección basados en ML. ACFP también ofrece SDK recomendados para JavaScript e iOS y Android que se pueden integrar en su aplicación para proporcionarle telemetría adicional sobre el usuario y proteger mejor su aplicación contra los intentos de inicio de sesión automatizados por parte de los bots.

La apropiación de cuentas ataca la página de inicio de sesión de una aplicación con el objetivo de obtener acceso no autorizado a una cuenta existente, mientras que el fraude de creación de cuentas se dirige a la página de registro de la aplicación con el objetivo de cometer fraude a través de estas cuentas falsas. ATP se centra en prevenir el uso excesivo de credenciales y los ataques de fuerza bruta, en los que los atacantes automatizan cientos de intentos de inicio de sesión y prueban las credenciales robadas en varios sitios. En cambio, ACFP se centra en prevenir el fraude automatizado, como el abuso de promociones o suscripciones, el abuso de fidelización o recompensas y la suplantación de identidad. ACFP y ATP se pueden usar juntos o de forma independiente.

En la consola de AWS WAF, cree una ACL web nueva o modifique una ACL web existente si ya utiliza AWS WAF. Puede usar el asistente si necesita ayuda para configurar los ajustes básicos, como qué recurso desea proteger y qué reglas agregar. Cuando se le solicite agregar reglas, seleccione Add Managed Rules (Agregar reglas administradas) y luego seleccione Account Takeover Prevention (Prevención de la apropiación de cuentas) de la lista de reglas administradas. Para configurar ACFP, introduzca la URL de la página de creación y registro de cuentas de su aplicación. Además, también puede indicar dónde se encuentran los campos del formulario de nombre de usuario, contraseña, dirección y número de teléfono en el cuerpo de la solicitud.

Es opcional pero muy recomendable. La integración de SDK proporciona información adicional, como las versiones del navegador, los complementos y los datos de Canvas, lo que aumenta la eficacia de las reglas de ACP. Si no se utiliza la integración de SDK, forzamos esta información mediante la acción Challenge. La acción Challenge no funciona bien con las aplicaciones de una sola página (SPA) y las aplicaciones móviles nativas, por lo que, para estas aplicaciones, la integración de SDK es obligatoria. Para otras aplicaciones que pueden soportar una actualización de página, como las páginas HTML, la integración de SDK es opcional. Admitimos JS SDK para aplicaciones web y SDK para Android e iOS para aplicaciones móviles nativas.

Puede observar cómo ACFP protege su aplicación al consultar el panel de control de fraude de la consola, el registro completo de WAF y las métricas de CloudWatch.

Panel: un panel centralizado para supervisar las solicitudes analizadas por la Métricas de CloudWatch ACFP y ATP. Todas las acciones de reglas con el grupo de reglas ACFP emitirán métricas de CloudWatch que los clientes pueden utilizar para crear alertas y notificaciones.

Registro de WAF: todas las solicitudes analizadas por ACFP se registrarán en los registros de WAF, por lo que puede utilizar las soluciones de registro existentes para consultar y analizar los registros de la regla administrada de ACFP. ACFP registrará detalles como las acciones de las reglas, la información de las etiquetas y la puntuación del riesgo, que se pueden utilizar para hacer un seguimiento de la eficacia de ACFP.