¿Cómo puedo usar AWS WAF para evitar los ataques de inicio de sesión por fuerza bruta?

Resolución

Las siguientes características de AWS WAF ayudan a prevenir los ataques de inicio de sesión por fuerza bruta:

• Reglas basadas en tasas
• Rompecabezas CAPTCHA
• Grupo de reglas administrado para la prevención de la apropiación de cuentas (ATP) de control de fraudes de AWS WAF
• Automatizaciones de seguridad para AWS WAF

Reglas basadas en tasas

Para bloquear las solicitudes cuando la tasa de solicitudes es superior a la esperada, crea una instrucción de reglas basadas en tasas. Para establecer el umbral de una regla basada en tasas, activa el registro de AWS WAF. A continuación, según el destino del registro, utiliza Amazon Athena o Información de registros de Amazon CloudWatch para analizar los registros.

También puedes crear una instrucción de reglas basadas en tasas que sea específica para una ruta de URI, como /login. Los ataques de fuerza bruta suelen tener como objetivo las páginas de inicio de sesión para acceder a las credenciales de las cuentas. Las diferentes páginas de un sitio web pueden recibir diferentes tasas de solicitudes. Por ejemplo, una página de inicio puede recibir una tasa de tráfico más alta en comparación con una página de inicio de sesión.

Después de establecer un umbral, usa la siguiente instrucción de reducción del alcance para crear una instrucción de reglas basadas en tasas que sea específica para tu página de inicio de sesión:

• En Inspeccionar solicitud, elige Ruta URI.
• En Tipo de coincidencia, elige Empieza con una cadena.
• En Cadena que debe coincidir, elige /login.

Rompecabezas CAPTCHA

Los rompecabezas CAPTCHA pueden ayudar a prevenir los siguientes ataques:

• Ataques de fuerza bruta de bots
• Relleno de credenciales
• Rastreo web
• Solicitudes de spam a servidores

Al crear una regla con la acción CAPTCHA, los usuarios primero deben completar el CAPTCHA antes de iniciar sesión.

Para configurar CAPTCHA en tu página de inicio de sesión, utiliza la siguiente configuración de reglas:

• En Inspeccionar, elige Ruta de URI.
• En Tipo de coincidencia, elige Empieza con una cadena.
• En Cadena que debe coincidir, elige /login.
• En Acción, elige CAPTCHA.
• En Tiempo de inmunidad, selecciona Tiempo en segundos.
  Nota: Para ayudar a prevenir los ataques de fuerza bruta de un humano, establece un tiempo de inmunidad bajo.

Para obtener más información, consulta Prácticas recomendadas para usar las acciones CAPTCHA y Challenge.

Grupo de reglas administrado por ATP

Para inspeccionar las solicitudes malintencionadas que intentan apoderarse de tu cuenta, utiliza el grupo de reglas administrado por ATP. Por ejemplo, los ataques de inicio de sesión por fuerza bruta pueden utilizar el método de prueba y error para adivinar las credenciales y obtener acceso no autorizado a tu cuenta.

El grupo de reglas administrado por ATP contiene reglas predefinidas que proporcionan visibilidad y control sobre solicitudes e intentos de inicio de sesión inesperados.

Para inspeccionar las solicitudes, utiliza el siguiente subconjunto de reglas del grupo de reglas administrado por ATP:

• VolumetricIpHigh: Grandes volúmenes de solicitudes que envían las direcciones IP individuales.
• AttributePasswordTraversal: Intentos que utilizan el cruce de contraseñas.
• AttributeLongSession: Intentos que utilizan sesiones de larga duración.
• AttributeUsernameTraversal: Intentos que utilizan el cruce de usuarios.
• VolumetricSession: Grandes volúmenes de solicitudes que envían las sesiones individuales.
• MissingCredential: Credenciales que faltan.

Para obtener más información, consulta la lista de reglas para prevenir la apropiación de cuentas.

Automatizaciones de seguridad para AWS WAF

Para usar una plantilla de AWS CloudFormation para desplegar una lista de control de acceso web (ACL web) con un conjunto de reglas, ejecuta Automatizaciones de seguridad para AWS WAF.

Cuando un usuario no autorizado intenta adivinar las credenciales correctas, recibe una respuesta de error, como 401 Unauthorized. La regla de escáneres y sondeos bloquea las solicitudes de una dirección IP que recibe continuamente un código de respuesta específico. Al activar esta regla, Automatizaciones de seguridad para AWS WAF despliega una consulta de AWS Lambda o Athena que comprueba los registros en busca de códigos de respuesta HTTP. Establece un umbral para el número de veces que una solicitud puede recibir el mismo código de error y durante cuánto tiempo la regla bloquea las solicitudes que superan el umbral.

Información relacionada

Uso de instrucciones de reglas basadas en tasas en AWS WAF