Wie kann ich AWS WAF verwenden, um Brute-Force-Login-Angriffe zu verhindern?

Lösung

Die folgenden AWS WAF-Funktionen helfen dabei, Brute-Force-Login-Angriffe zu verhindern:

• Ratenbasierte Regeln
• CAPTCHA-Rätsel
• Von AWS WAF Fraud Control verwaltete Regelgruppe für Account Takeover Prevention (ATP)
• Sicherheitsautomatisierungen für AWS WAF

Ratenbasierte Regeln

Um Anfragen zu blockieren, wenn die Anforderungsrate höher als erwartet ist, erstelle eine ratenbasierte Regelanweisung. Um den Schwellenwert für eine ratenbasierte Regel festzulegen, aktiviere die AWS-WAF-Protokollierung. Verwende dann, abhängig vom Protokollierungsziel, Amazon Athena oder Amazon CloudWatch Log Insights, um die Protokolle zu analysieren.

Du kannst auch eine ratenbasierte Regelanweisung erstellen, die für einen URI-Pfad spezifisch ist, z. B. /login. Brute-Force-Angriffe zielen in der Regel auf Anmeldeseiten ab, um Zugriff auf Kontoinformationen zu erhalten. Verschiedene Seiten einer Website können unterschiedliche Anforderungsraten erhalten. Beispielsweise kann eine Startseite im Vergleich zu einer Anmeldeseite eine höhere Datenverkehr-Rate erhalten.

Nachdem du einen Schwellenwert festgelegt hast, verwende die folgende Scope-Down-Anweisung, um eine ratenbasierte Regelanweisung zu erstellen, die für die Anmeldeseite spezifisch ist:

• Wähle fürAnfrage prüfen den URI-Pfad.
• Wähle für Übereinstimmungstyp Beginnt mit einer Zeichenfolge.
• Damit die Zeichenfolge zur Übereinstimmung, wähle /login.

CAPTCHA-Rätsel

CAPTCHA-Rätsel können helfen, die folgenden Angriffe zu verhindern:

• Brute-Force-Angriffe durch Bots
• Fülle die Anmeldedaten aus
• Web Scraping
• Spam-Anfragen an Server

Wenn du eine Regel mit der CAPTCHA-Aktion erstellst, müssen Benutzer zuerst das CAPTCHA ausfüllen, bevor sie sich anmelden.

Verwende die folgende Regelkonfiguration, um CAPTCHA auf der Anmeldeseite einzurichten:

• Wähle für Prüfen den URI-Pfad.
• Wähle für Übereinstimmungstyp Beginnt mit einer Zeichenfolge.
• Damit die Zeichenfolge zur Übereinstimmung, wähle /login.
• Wähle für Aktion CAPTCHA.
• Wähle für Immunitätszeit die Option Zeit in Sekunden.
  Hinweis: Stelle eine niedrige Immunitätszeit ein, um Brute-Force-Angriffe durch einen Menschen zu verhindern.

Weitere Informationen findest duunter Bewährte Methoden für die Verwendung der CAPTCHA- und Challenge-Aktionen.

Von ATP verwaltete Regelgruppe

Verwende die von ATP verwaltete Regelgruppe, um böswillige Anfragen zu untersuchen, die versuchen, das Konto zu übernehmen. Bei Brute-Force-Login-Angriffen können beispielsweise durch Ausprobieren Anmeldeinformationen erraten werden, um unbefugten Zugriff auf das Konto zu erhalten.

Die von ATP verwaltete Regelgruppe enthält vordefinierte Regeln, die Transparenz und Kontrolle über unerwartete Anfragen und Anmeldeversuche bieten.

Verwende zur Überprüfung von Anfragen die folgende Teilmenge von Regeln in der von ATP verwalteten Regelgruppe:

• VolumetricIpHigh: Große Mengen an Anfragen, die einzelne IP-Adressen senden.
• AttributePasswordTraversal: Versuche, die Passwort-Traversal verwenden.
• AttributeLongSession: Versuche, bei denen lang anhaltende Sitzungen erforderlich sind.
• AttributeUsernameTraversal: Versuche, die Benutzername-Traversal verwenden.
• VolumetricSession: Große Anzahl von Anfragen, die einzelne Sitzungen senden.
• MissingCredential: Anmeldeinformationen, die fehlen.

Weitere Informationen findest du in der Liste der Regeln zur Account Takeover Prevention.

Sicherheitsautomatisierungen für AWS WAF

Um eine AWS CloudFormation-Vorlage für die Bereitstellung einer Web Access Control List (Web ACL) mit einer Reihe von Regeln zu verwenden, führe Security Automations für AWS WAF aus.

Wenn ein nicht autorisierter Benutzer versucht, die richtigen Anmeldeinformationen zu erraten, erhält der Benutzer eine Fehlerantwort, z. B. 401 Unauthorized. Die Regel für Scanner und Sonden blockiert Anfragen von einer IP-Adresse, die kontinuierlich einen bestimmten Antwortcode erhält. Wenn du diese Regel aktivierst, stellt Security Automations für AWS WAF eine AWS Lambda- oder Athena-Abfrage bereit, die Protokolle auf HTTP-Antwortcodes überprüft. Lege einen Schwellenwert dafür fest, wie oft eine Anfrage denselben Fehlercode erhalten kann und wie lange die Regel Anfragen blockiert, die den Schwellenwert überschreiten.

Ähnliche Informationen

Verwendung ratenbasierter Regelanweisungen in AWS WAF