FAQ sur AWS WAF

Les règles gérées sont un moyen simple de déployer des règles préconfigurées pour protéger vos applications contre les menaces connues comme les vulnérabilités d'application telles que OWASP, les robots ou encore les vulnérabilités de sécurité CVE (Common Vulnerabilities and Exposures). Les règles gérées AWS pour AWS WAF sont gérées par AWS, alors que celles d'AWS Marketplace sont gérées par des vendeurs de sécurité tiers.

Vous pouvez vous inscrire aux règles gérées fournies par un vendeur de sécurité d'AWS Marketplace à partir de la console AWS WAF ou d'AWS Marketplace. Toutes les règles gérées que vous aurez souscrites seront disponibles pour que vous puissiez les ajouter à l'ACL Web d'AWS WAF.

Oui. Il est possible d'utiliser les règles gérées avec vos règles AWS WAF existantes. Vous pouvez ajouter les règles gérées à votre ACL Web AWS WAF existant auquel vous pourriez déjà avoir ajouté vos propres règles.

Le nombre de règles d'une règle gérée n'est pas pris en compte dans votre limite. Cela dit, chaque règle gérée ajoutée à votre ACL web comptera comme une règle.

Vous pouvez ajouter une règle gérée à un ACL web ou la supprimer de l'ACL web à tout moment. Les règles gérées sont désactivées une fois dissociées d'une règle gérée d'un ACL Web.

AWS WAF vous permet de configurer une action de « décompte » pour une règle gérée qui compte le nombre de demandes web mises en correspondance par les règles au sein d'une règle gérée. Vous pouvez consulter le nombre de requêtes Web comptées pour estimer combien de vos requêtes Web seraient bloquées si vous définissiez une règle gérée.

Oui, vous pouvez configurer CloudFront de manière à ce qu'il affiche une page d'erreur personnalisée lorsque les requêtes sont bloquées. Consultez le Guide du développeur CloudFront pour en savoir plus

Une fois la configuration initiale effectuée, l'ajout ou la modification de règles prend en général une minute pour se propager dans le monde entier.

AWS WAF offre deux manières différentes de voir comment votre site Web est protégé : des mesures à une fréquence d'une minute sont disponibles dans CloudWatch et des échantillons de requêtes web sont mis à votre disposition dans l'API AWS WAF ou la console de gestion. Vous pouvez ainsi vérifier quelles requêtes ont été bloquées, autorisées ou décomptées et quelle règle a été assortie à une requête donnée (par exemple, cette requête Web a été bloquée à cause d'une condition concernant l'adresse IP). Pour plus d'informations, consultez le Guide du développeur AWS WAF.

AWS WAF vous permet de configurer une action « décompte » pour les règles, qui compte le nombre de requêtes web remplissant les conditions de votre règle. Vous pouvez consulter le nombre de requêtes Web comptées pour estimer combien de vos requêtes Web seraient bloquées ou autorisées si vous définissiez une règle.

Les mesures en temps réel sont stockées dans Amazon CloudWatch. À l'aide d'Amazon CloudWatch, vous pouvez configurer le délai d'expiration des événements souhaité. Les échantillons de requêtes Web sont, quant à eux, stockés pendant 3 heures maximum.

Oui. AWS WAF aide à protéger les applications et peut inspecter les requêtes Web transmises via HTTP ou HTTPS.

Account Takeover Prevention (ATP) est un groupe de règles gérées qui surveille le trafic sur la page de connexion de votre application pour détecter tout accès non autorisé aux comptes d'utilisateurs au moyen d'informations d'identification compromises. Vous pouvez utiliser ATP pour renforcer la protection contre les attaques de bourrage d'informations d'identification, les tentatives de connexion par force brute et d'autres activités de connexion anormales. Au fur et à mesure des tentatives de connexion à votre application, l'ATP vérifie en temps réel si les noms d'utilisateur et les mots de passe soumis ont été compromis ailleurs sur le web. En vérifiant les tentatives de connexion anormales provenant de mauvais acteurs, l'ATP met en corrélation les demandes observées au fil du temps pour vous aider à détecter et à atténuer les tentatives de force brute et les attaques par bourrage d'informations d’identification. ATP propose également des kits SDK JavaScript et iOS/Android facultatifs qui peuvent être intégrés à votre application pour vous fournir des données télémétriques supplémentaires sur les périphériques utilisateurs qui tentent de se connecter à votre application afin de mieux protéger votre application contre les tentatives de connexion automatisées par des robots.

Le trafic entre les périphériques utilisateurs et votre application est sécurisé par le protocole SSL/TLS que vous configurez pour le service AWS que vous utilisez pour présenter votre application, comme Amazon CloudFront, Application Load Balancer, Amazon API Gateway ou AWS AppSync. Dès qu'une information d'identification de l'utilisateur parvient à l'AWS WAF, celui-ci l'inspecte, puis la hache et la rejette immédiatement, et l'information ne quitte jamais le réseau AWS. Toute communication entre les services AWS que vous utilisez dans votre application et AWS WAF est chiffrée en transit et au repos.

Bot Control vous offre une visibilité et un contrôle sur le trafic des robots courants et répandus qui consomment des ressources, faussent les métriques, entraînent des interruptions et réalisent d'autres activités indésirables. Bot Control vérifie divers champs d'en-tête et les propriétés des requêtes par rapport aux signatures de robots connues afin de détecter et de classer les robots automatisés, tels que les racleurs, les scanners et les robots d'exploration.

Account Takeover Prevention (ATP) vous donne une visibilité et un contrôle sur les tentatives de connexion anormales de la part de mauvais acteurs utilisant des informations d'identification compromises, vous aidant ainsi à prévenir les accès non autorisés qui peuvent conduire à des activités frauduleuses. L'ATP est utilisé pour protéger la page de connexion de votre application.

Bot Control et ATP peuvent être utilisés indépendamment l'un de l'autre ou ensemble. Comme pour les groupes de règles gérés par Bot Control, vous pouvez utiliser l'action de règle par défaut de l'ATP pour bloquer les demandes correspondantes, ou vous pouvez personnaliser le comportement de l'ATP à l'aide de la fonctionnalité d'atténuation d'AWS WAF.

Sur la console AWS WAF, créez une nouvelle ACL web, ou modifiez une ACL web existante si vous utilisez déjà AWS WAF. Vous pouvez utiliser l'assistant pour vous aider à configurer les paramètres de base, tels que la ressource que vous souhaitez protéger et les règles à ajouter. Lorsque vous êtes invité à ajouter des règles, sélectionnez Ajouter des règles gérées, puis sélectionnez Account Creation Fraud Prevention dans la liste des règles gérées. Pour configurer ATP, saisissez l'URL de la page de connexion de votre application et indiquez où se trouvent les champs de formulaires Nom d'utilisateur et Mot de passe dans le corps de la requête.

Les kits JavaScript et Mobile SDK fournissent une télémétrie supplémentaire sur les périphériques utilisateurs qui tentent de se connecter à votre application afin de mieux protéger cette dernière contre les tentatives de connexion automatisées par des robots. Vous n'êtes pas obligé d'utiliser l'un des kits SDK, mais nous vous le recommandons pour une protection supplémentaire.

Lorsque l’ATP détermine que les informations d’identification d’un utilisateur ont été compromises, il génère une étiquette pour indiquer une correspondance. Par défaut, AWS WAF bloque automatiquement les tentatives de connexion jugées malveillantes ou anormales (par exemple, des niveaux anormaux de tentatives de connexion échouées, des récidivistes et des tentatives de connexion provenant de bots). Vous pouvez modifier la façon dont AWS WAF répond aux correspondances en rédigeant des règles AWS WAF qui agissent sur l'étiquette.

La prévention des fraudes liées à la création des comptes (ACFP) est un groupe de règles géré payant qui vous permet de détecter et d'atténuer les attaques de création de faux comptes contre votre page d'inscription ou d'enregistrement. Vous pouvez utiliser l'ACFP pour empêcher les abus liés aux promotions ou aux inscriptions, les abus de fidélité ou de récompenses ainsi que le hameçonnage. À mesure que de nouveaux comptes sont créés, l'ACFP vérifie chaque information d'identification (nom d'utilisateur et mot de passe) soumise, les domaines de messagerie utilisés et d'autres informations telles que les numéros de téléphone et les champs d'adresse saisis en temps réel et bloque la tentative d'inscription si l'une de ces informations est considérée comme volée ou a une mauvaise réputation. En outre, l'ACFP inclut des prévisions sur les risques de fraude que vous pouvez utiliser sans avoir besoin de disposer de connaissances approfondies des modèles de détection basés sur le machine learning. L'ACFP propose également des kits SDK JavaScript et iOS/Android recommandés qui peuvent être intégrés à votre application pour vous fournir des données télémétriques supplémentaires sur les utilisateurs afin de mieux protéger votre application contre les tentatives de connexion automatisée par des robots.

Account Takeover attaque la page de connexion d'une application dans le but d'obtenir un accès non autorisé à un compte existant, alors que la fraude liée à la création de comptes cible la page d'inscription de l'application dans le but de commettre une fraude par l'intermédiaire de faux comptes. ATP est concentré sur la prévention des attaques de bourrage d'informations d'identification et de force brute, dans le cadre desquelles les attaquants automatisent des centaines de tentatives de connexion et testent des informations d'identification volées sur plusieurs sites. L'ACFP se concentre plutôt à prévenir les fraudes automatisées telles que les abus liés aux promotions ou aux inscriptions, les abus de fidélité ou de récompenses et le hameçonnage. ACFP et ATP peuvent être utilisés indépendamment l'un de l'autre ou ensemble.

Sur la console AWS WAF, créez une nouvelle ACL web, ou modifiez une ACL web existante si vous utilisez déjà AWS WAF. Vous pouvez utiliser l'assistant pour vous aider à configurer les paramètres de base, tels que la ressource que vous souhaitez protéger et les règles à ajouter. Lorsque vous êtes invité à ajouter des règles, sélectionnez Ajouter des règles gérées, puis sélectionnez Account Takeover Prevention dans la liste des règles gérées. Pour configurer l'ACFP, saisissez l'URL de la page de création de compte et d'enregistrement de votre application. En outre, vous pouvez également indiquer les emplacements des champs du formulaire de nom d'utilisateur, de mot de passe, d'adresse et de numéro de téléphone dans le corps de la requête.

C'est facultatif mais fortement recommandé. L'intégration du kit SDK fournit des informations supplémentaires telles que les versions de navigateurs, les plug-ins et les données du canevas qui augmentent l'efficacité des règles ACP. Dans le cas où l'intégration du SDK n'est pas utilisée, nous l'appliquons à l'aide de l'action Challenge. L'action Challenge ne fonctionne pas correctement avec les applications à page unique (SPA) et avec les applications mobiles natives, pour lesquelles l'intégration du kit SDK est obligatoire. Pour les autres applications qui peuvent supporter une actualisation de page, telles que les pages HTML, l'intégration du kit SDK est facultative. Nous prenons en charge le SDK JS pour les applications web et le kit SDK Android et iOS pour les applications mobiles natives.

Vous pouvez observer comment l'ACFP protège votre application en consultant le tableau de bord des fraudes sur la console, la journalisation complète du WAF et CloudWatch Metrics.

Tableau de bord : Tableau de bord centralisé pour surveiller les requêtes analysées par l’ACFP et ATP CloudWatch Metrics : toutes les actions relatives aux règles associées au groupe de règles ACFP émettront des CloudWatch Metrics que les clients peuvent utiliser pour créer des alertes et des notifications.

Journalisation WAF : Toutes les demandes analysées par l’ACFP seront enregistrées dans les journaux WAF. Vous pouvez donc utiliser les solutions de journalisation existantes pour interroger et analyser les journaux pour la règle gérée par l’ACFP. L'ACFP consignera des détails tels que les actions relatives aux règles, les informations sur les étiquettes et l'évaluation des risques, qui peuvent être utilisés pour suivre l'efficacité de l'ACFP.