Como faço para usar o AWS WAF para mitigar ataques de DDoS?

Breve descrição

Para usar o AWS WAF como a principal mitigação contra ataques de DDoS na camada de aplicação, execute as seguintes ações:

• Use regras baseadas em taxas.
• Consulte os logs do AWS WAF para coletar informações específicas de atividades não autorizadas.
• Crie uma regra de correspondência geográfica para bloquear solicitações incorretas de um país que não são esperadas para sua empresa.
• Crie uma regra de correspondência de conjuntos de IP para bloquear solicitações incorretas.
• Crie uma regra de correspondência de strings para bloquear solicitações incorretas.
• Crie uma regra de correspondência de regex para bloquear solicitações incorretas.
• Ative o Controle de Bots e use o nível de proteção desejado.
• Use o grupo de regras gerenciado da lista de reputação de IP da Amazon.

Para ataques na camada de infraestrutura, use os serviços da AWS, como o Amazon CloudFront e o Elastic Load Balancing (ELB), para fornecer proteção automática contra DDoS. Para obter mais informações, consulte as práticas recomendadas da AWS para resiliência contra DDoS. Também é possível usar o AWS Shield Advanced Automatic Application Layer para mitigar ataques sofisticados (camadas 3–7). Para saber mais, consulte Automatizando a mitigação de DDoS na camada de aplicação com o Shield Advanced.

Resolução

Use regras baseadas em taxas

Crie uma regra geral baseada em taxas

Use uma regra geral baseada em taxas para definir um limite para o número de solicitações que os endereços IP podem fazer no seu aplicativo web.

Conclua as seguintes etapas:

1. Abra o console do AWS WAF.
2. No painel de navegação, escolha AWS WAF e, em seguida, escolha Web ACLs.
3. Em Região, escolha a região da AWS em que você criou sua ACL Web.
   Observação: se sua ACL da web estiver configurada para o Amazon CloudFront, selecione Global.
4. Selecione sua ACL da web.
5. Em Regras e escolha Adicionar regras e depois escolha Adicionar minhas próprias regras e grupos de regras.
6. Para configurar sua regra, configure os seguintes valores:
   Em Tipo de regra, escolha Criador de regras.
   Em Nome, insira um nome de regra.
   Em Tipo, escolha Regra baseada em taxas.
   Em Limite de taxa, insira um número entre 100 e 20.000.000.
   Observação: se você não tiver certeza de qual limite de taxa definir, use a ação da regra para contar e monitorar seus padrões de solicitação. Em seguida, defina um limite de taxa com base em sua linha de base.
   Em Janela de avaliação, insira 1, 2, 5 ou 10 minutos.
   Para usar o endereço IP para limitar a taxa, selecione Endereço IP de origem ou endereço IP no cabeçalho.
   Em Ação de regra, escolha Bloquear.
   Observação: depois de enviar uma alteração na taxa de solicitação, você poderá enfrentar um atraso para que o AWS WAF aplique ou remova a ação da regra.
   Em Escopo da inspeção, selecione Considerar todas as solicitações.
7. Escolha Adicionar regra.
8. Escolha Salvar.

Crie uma regra baseada em taxas de chave personalizada (caminho de URI)

Conclua as seguintes etapas:

1. Abra o console do AWS WAF.
2. No painel de navegação, escolha AWS WAF e, em seguida, escolha Web ACLs.
3. Em Região, escolha a região em que você criou sua ACL da web.
   Observação: se sua ACL da web estiver configurada para o CloudFront, selecione Global.
4. Selecione sua ACL da web.
5. Em Regras e escolha Adicionar regras e depois escolha Adicionar minhas próprias regras e grupos de regras.
6. Para configurar sua regra, configure os seguintes valores:
   Em Tipo de regra, escolha Criador de regras.
   Em Nome, insira um nome de regra.
   Em Tipo, escolha Regra baseada em taxas.
   Em Limite de taxa, insira um número entre 100 e 20.000.000.
   Observação: se você não tiver certeza de qual limite de taxa definir, use a ação da regra para contar e monitorar seus padrões de solicitação. Em seguida, defina um limite de taxa com base em sua linha de base.
   Em Solicitar agregação, escolha Chaves personalizadas.
   Em Solicitar chaves de agregação, selecione o caminho do URI.
   Para Transformação de texto, escolha Nenhuma.
   Em Critérios para contabilizar a solicitação em relação ao limite de taxa, selecione Considerar todas as solicitações.
   Em Ação de regra, escolha Bloquear.
7. Escolha Adicionar regra.
8. Em Definir prioridade da regra, selecione sua regra e atualize sua prioridade. Para obter mais informações, consulte Definindo a prioridade da regra em uma ACL da web.
9. Escolha Salvar.

Para obter mais informações, consulte As três regras mais importantes baseadas em taxas do AWS WAF.

Consulte os logs do AWS WAF para coletar informações específicas de atividades não autorizadas

Ative logs do AWS WAF. Em seguida, consulte os logs do AWS WAF para investigar cenários de DDoS.

É possível usar os seguintes serviços da AWS para consultar os logs do AWS WAF:

• Amazon CloudWatch Logs
• Amazon Athena
• Amazon OpenSearch Service e Amazon QuickSight.

Use o analisador de log do Amazon Athena ou o analisador de logs do AWS Lambda

O AWS WAF tem um limite mínimo de taxa aceitável para regras baseadas em taxas. Se você não puder usar regras baseadas em taxas devido ao baixo volume ou precisar de um período de bloqueio personalizável, use um analisador de log no Athena ou no Lambda. Ambos os serviços estão disponíveis nas automações de segurança do AWS WAF.

Crie uma declaração de regra de correspondência geográfica para bloquear solicitações incorretas de um país que não são esperadas para sua empresa

Conclua as seguintes etapas:

1. Abra o console do AWS WAF.
2. No painel de navegação, escolha AWS WAF e, em seguida, escolha Web ACLs.
3. Em Região, escolha a região em que você criou sua ACL da web.
   Observação: se sua ACL da web estiver configurada para o CloudFront, selecione Global.
4. Selecione sua ACL da web.
5. Em Regras e escolha Adicionar regras e depois escolha Adicionar minhas próprias regras e grupos de regras.
6. Em Nome, insira um nome de regra e escolha Regra regular.
7. Em Opções de solicitação, escolha se origina de um país em e, em seguida, escolha os códigos de país que você deseja bloquear.
8. Em Ação de regra, escolha Bloquear.
9. Escolha Adicionar regra.

Para obter mais informações, consulte Declaração de regra de correspondência geográfica.

Crie uma regra de correspondência de conjuntos de IP para bloquear solicitações incorretas de endereços IP específicos

Conclua as seguintes etapas:

1. Crie um conjunto de IP e adicione os endereços IP que você deseja bloquear.
2. Abra o console do AWS WAF.
3. No painel de navegação, escolha AWS WAF e, em seguida, escolha Web ACLs.
4. Em Região, escolha a região em que você criou sua ACL da web.
   Observação: se sua ACL da web estiver configurada para o CloudFront, selecione Global.
5. Selecione sua ACL da web.
6. Em Regras e escolha Adicionar regras e depois escolha Adicionar minhas próprias regras e grupos de regras.
7. Em Nome, insira um nome de regra e escolha Regra regular.
8. Escolha Criar uma regra de correspondência de IP.
9. Em Opções de solicitação, escolha se origina de um endereço IP e, em seguida, escolha seu conjunto de IP.
10. Em Ação de regra, escolha Bloquear.
11. Escolha Adicionar regra.

Para obter mais informações, consulte Declaração de regra de correspondência de conjuntos de IP.

Crie uma declaração de regra de correspondência de cadeias de caracteres para bloquear solicitações incorretas

Conclua as seguintes etapas:

1. Abra o console do AWS WAF.
2. No painel de navegação, escolha AWS WAF e, em seguida, escolha Web ACLs.
3. Em Região, escolha a região em que você criou sua ACL da web.
   Observação: se sua ACL da web estiver configurada para o CloudFront, selecione Global.
4. Selecione sua ACL da web.
5. Escolha Criar uma regra de correspondência de cadeias de caracteres.
6. Para configurar sua regra, configure os seguintes valores:
   Em Inspecionar, selecione Cabeçalho.
   Em Nome do campo Header, insira o nome do bot que você deseja bloquear conforme ele aparece nos seus logs do AWS WAF.
   Em Tipo de correspondência, selecione Corresponde exatamente à string.
   Para String to Match, insira o valor do bot que você deseja bloquear conforme ele aparece nos seus logs do AWS WAF.
   Em Ação de regra, escolha Bloquear.
7. Escolha Adicionar regra.

Para obter mais informações, consulte Declaração de regra de correspondência de strings.

Crie uma declaração de regra de correspondência de regex para bloquear solicitações incorretas

Conclua as seguintes etapas:

1. Abra o console do AWS WAF.
2. No painel de navegação, escolha AWS WAF e, em seguida, escolha Web ACLs.
3. Em Região, escolha a região em que você criou sua ACL da web.
   Observação: se sua ACL da web estiver configurada para o CloudFront, selecione Global.
4. Selecione sua ACL da web.
5. Escolha Criar uma regra de correspondência de cadeias de caracteres.
6. Para configurar sua regra, configure os seguintes valores:
   Em Inspecionar, selecione Caminho do URI.
   Em Tipo de correspondência, escolha Corresponde à expressão regular.
   Para que a String corresponda, insira o regex que você deseja bloquear.
   Em Ação de regra, escolha Bloquear.
7. Escolha Adicionar regra.

Para obter mais informações, consulte Declaração de regra de correspondência Regex.

Ative o Controle de Bots e use o nível de proteção desejado

O nível de proteção direcionado para o Controle de Bots AWS WAF usa uma combinação de limitação de taxa e ações de CAPTCHA e Desafio para diminuir a atividade do bot. Para obter mais informações sobre os preços específicos do Controle de Bots, consulte o Caso F na página de preços do AWS WAF.

Para ativar o Controle de Bots e o nível de proteção direcionado, conclua as seguintes etapas:

1. Abra o console do AWS WAF.
2. No painel de navegação, escolha AWS WAF e, em seguida, escolha Web ACLs.
3. Em Região, selecione a região da AWS em que você criou sua ACL Web.
   Observação: se sua ACL da web estiver configurada para o CloudFront, selecione Global.
4. Selecione sua ACL da web e escolha Adicionar grupos de regras gerenciadas.
5. Em Grupos de regras gerenciadas pela AWS, para grupos de regras pagos, ative o controle de bots.
6. Escolha Editar e, em Nível de inspeção, selecione Direcionado.
7. Escolha Salvar regra.

Use o grupo de regras gerenciado da lista de reputação de IP da Amazon

O grupo de regras gerenciadas AmazonIPReputationList usa a inteligência de ameaças interna da Amazon para identificar endereços IP que se envolveram ativamente em atividades de DDoS.

Para ativar o grupo de regras gerenciadas da lista de reputação de IP da Amazon, conclua as seguintes etapas:

1. Abra o console do AWS WAF.
2. No painel de navegação, escolha AWS WAF e, em seguida, escolha Web ACLs.
3. Em Região, selecione a região da AWS em que você criou sua ACL Web.
   Observação: se sua ACL da web estiver configurada para o CloudFront, selecione Global.
4. Selecione sua ACL da web e escolha Adicionar grupos de regras gerenciadas.
5. Em Grupos de regras gerenciadas da AWS, selecione AmazonIPRputationList.
6. Escolha Salvar regra.