AWS WAF 常見問答集

受管規則是部署預先設定規則的簡單方式，這些規則可保護應用程式不受應用程式漏洞等常見威脅的侵害，例如 OWASP、機器人或常見漏洞和入侵程式 (CVE)。適用於 AWS WAF 的 AWS 受管規則由 AWS 管理，而 AWS Marketplace 的受管規則則由第三方安全賣方管理。

您可以從 AWS WAF 主控台或 AWS Marketplace 訂閱 Marketplace 安全性賣方提供的受管規則。所有訂閱的受管規則將供您新增到 AWS WAF Web ACL。

是，受管規則可與您自訂的 AWS WAF 規則一起使用。您可將受管規則新增到已加入您自己規則的現有 AWS WAF Web ACL。

受管規則內的規則數目不會對您的限制計數。然而，新增至 Web ACL 的每個受管規則會當作 1 個規則計算。

您可隨時在 Web ACL 中新增或移除受管規則。受管規則中斷與任何 Web ACL 的關聯時即停用。

AWS WAF 允許您為受管規則設定「計數」動作，它會計算符合受管規則內規則的 Web 請求數。您可以查看計算所得的 Web 請求數，以預估如果啟用受管規則將封鎖的 Web 請求數。

是，您可以設定 CloudFront，在封鎖請求時顯示自訂錯誤頁面。如需詳細資訊，請參閱 CloudFront 開發人員指南

完成初始設定、新增或變更規則後，通常只需約一分鐘即可將規則傳播到世界各地。

AWS WAF 提供兩種方法，供您查看網站受保護的情況：CloudWatch 可提供一分鐘指標，而 AWS WAF API 或管理主控台則可提供採樣的 Web 請求。透過這些方法，您可以查看已封鎖、允許或計算的請求，以及指定的請求符合哪個規則 (亦即 Web 請求是因 IP 地址條件而封鎖，或是其他原因)。如需詳細資訊，請參閱 AWS WAF 開發人員指南。

AWS WAF 可讓您為規則設定「計數」動作，也就是計算符合規則條件的 Web 請求數。您可以查看計算所得的 Web 請求數，以預估如果啟用規則將封鎖或允許的 Web 請求數。

即時指標存放在 Amazon CloudWatch 中。使用 Amazon CloudWatch 可以設定要讓事件到期的時間期間。採樣的 Web 請求則最多存放 3 個小時。

是。AWS WAF 可協助保護應用程式，以及檢查透過 HTTP 或 HTTPS 傳輸的 Web 請求。

帳戶接管防護 (ATP) 是一個受管規則群組，用於監控應用程式登入頁面的流量，以偵測盜用憑證對使用者帳戶的未經授權存取。您可以使用 ATP 防範憑證填充攻擊、蠻力登入嘗試和其他異常登入活動。當有人嘗試登入您的應用程式時，ATP 會即時檢查提交的使用者名稱和密碼是否已在 Web 上的其他地方被盜用。ATP 檢查來自惡意人士的異常登入嘗試，聯繫長期監測到的請求，以協助您偵測和減輕蠻力嘗試和憑證填充攻擊。ATP 還提供選用的 JavaScript 和 iOS/Android SDK，它們可以整合到您的應用程式中，以便您取得有關嘗試登入您應用程式使用者裝置的額外遙測資訊，從而更好地保護應用程式免受機器人自動登入嘗試的影響。

使用者裝置和您的應用程式之間的流量，由您為用作應用程式前端的 AWS 服務設定的 SSL/TLS 協定保護，這些服務包括 Amazon CloudFront、Application Load Balancer、Amazon API Gateway 或 AWS AppSync 等。一旦使用者憑證到達 AWS WAF，AWS WAF 會檢查該憑證，然後立即對其進行雜湊處理並丟棄它，並且該憑證永遠不會離開 AWS 網路。您的應用程式中使用的 AWS 服務與 AWS WAF 之間的任何通訊在傳輸和靜態時都會加密。

機器人控制可讓您查看和控制常見和普遍的機器人流量，這些流量會消耗資源、扭曲指標、導致停機和執行其他不需要的活動。機器人控制根據已知的機器人簽章檢查各種標頭欄位和請求屬性，以偵測和分類自動機器人，例如爬取程式、掃描器和編目程式。

帳戶接管防護 (ATP) 可讓您查看和控制惡意人士盜用憑證進行的異常登入嘗試，協助您防範可能導致詐騙活動的未經授權存取。ATP 用於保護您應用程式的登入頁面。

機器人控制和 ATP 可以相互獨立使用，也可以一起使用。與機器人控制受管規則群組一樣，您可以使用 ATP 的預設規則動作來封鎖相符的請求，也可以使用 AWS WAF 緩解功能自訂 ATP 的行為。

在 AWS WAF 主控台上，建立新的 Web ACL，或者如果您已經在使用 AWS WAF，也可以修改現有的 Web ACL。您可以使用精靈來協助您設定基本設定，例如要保護的資源以及要新增的規則。系統提示新增規則時，請選取「新增受管規則」，然後從受管規則清單中選取「帳戶建立詐騙預防」。若要設定 ATP，請輸入應用程式登入頁面的 URL，並指出使用者名稱和密碼表單欄位在請求主體中的位置。

JavaScript 和 Mobile SDK 提供有關嘗試登入您應用程式使用者裝置的額外遙測資訊，可讓您更好地保護應用程式免受機器人自動登入嘗試的影響。您不一定要使用其中一個 SDK，但我們建議您這樣做以取得額外的保護。

當 ATP 判斷使用者的憑證已被盜用時，它會產生一個標籤以指示相符項。依預設，AWS WAF 會自動阻止被判斷為惡意或異常的登入嘗試 (例如，異常水準的失敗登入嘗試、屢次違規者以及來自機器人的登入嘗試)。您可以透過編寫作用於標籤的 AWS WAF 規則來變更 AWS WAF 回應相符項的方式。

帳戶建立詐騙預防 (ACFP) 是付費的受管規則群組，可讓您偵測並緩解針對註冊或註冊頁面的虛假帳戶建立攻擊。您可以使用 ACFP 來防止促銷或註冊濫用，忠誠度或獎勵濫用及網路釣魚攻擊。新帳戶註冊時，ACFP 會即時驗證提交的每個憑證 (即使用者名稱和密碼)、使用的電子郵件域及其他資訊 (例如電話號碼、輸入的地址欄位)，如果判斷這些資訊遭竊或信譽不佳，則會阻止註冊嘗試。此外，ACFP 還包括詐騙風險預測，您無需深入了解基於 ML 的偵測模型，即可使用這些預測。ACFP 還提供建議的 JavaScript 和 iOS/Android SDK，這些 SDK 可整合到應用程式中，為您提供額外的使用者遙測功能，以便更好地保護應用程式免受機器人自動登入嘗試的影響。

帳戶接管會攻擊應用程序的登入頁面，目的是獲得對現有帳戶未經授權的存取，而帳戶建立詐騙針對應用程式的註冊頁面，目的是透過這些虛假帳戶進行詐騙。ATP 專注於防止憑證填充和暴力密碼破解攻擊，即攻擊者自動執行數百次登入嘗試，並在多個網站上測試遭竊的憑證。相反，ACFP 專注於防止自動詐騙，例如促銷或註冊濫用，忠誠度或獎勵濫用及網路釣魚攻擊。ACFP 和 ATP 可以相互獨立使用，也可以一起使用。

在 AWS WAF 主控台上，建立新的 Web ACL，或者如果您已經在使用 AWS WAF，也可以修改現有的 Web ACL。您可以使用精靈來協助您設定基本設定，例如要保護的資源以及要新增的規則。當提示新增規則時，選取 Add Managed Rules (新增受管規則)，然後從受管規則清單中選取帳戶接管防護。要設定 ACFP，請輸入應用程式的帳戶建立和註冊頁面的 URL。此外，您還能指出使用者名稱、密碼、地址和電話號碼等表單欄位在請求正文中的位置。

可選，但強烈推薦。SDK 整合提供其他資訊，例如瀏覽器版本、外掛程式和畫布資料，可提高 ACP 規則的有效性。如果未使用 SDK 整合，我們會使用「挑戰」動作強制執行此操作。挑戰動作不適用於單頁應用程式 (SPA) 和原生行動應用程式，因此這些應用程式強制使用 SDK 整合。針對其他可承受頁面重新整理的應用程式 (例如 HTML 頁面)，SDK 整合是選擇性的。我們支援適用於 Web 應用程式的 JS SDK，以及適用於原生行動應用程式的 Android 和 iOS SDK。

您可以藉由檢閱主控台上的詐騙儀表板、WAF 完整記錄和 CloudWatch 指標，觀察 ACFP 如何保護您的應用程式。

儀表板：用於監控由 ACFP 和 ATP CloudWatch 指標分析之請求的集中式儀表板：具有 ACFP 規則群組的所有規則動作都會發出客戶可用於建立警示和通知的 CloudWatch 指標。

WAF 日誌：ACFP 分析的所有請求都會記錄在 WAF 日誌中，因此您可以使用現有日誌解決方案來查詢和分析 ACFP 管理規則的日誌。ACFP 將記錄詳細資訊 (例如，規則動作、標籤資訊和風險評分)，以用於追蹤 ACFP 的有效性。