Come posso usare AWS WAF per bloccare i caricamenti di estensioni di file specifiche?

Breve descrizione

Quando analizzi i dati POST di una richiesta HTTP, il contenuto caricato può essere di due tipi:

• Dati del modulo
• Binario

Per limitare i caricamenti di file con estensioni specifiche (.pdf, .docx, .exe), creerai e configurerai una regola personalizzata della lista di controllo degli accessi web (ACL web) in AWS WAF.

Nota: AWS WAF ispeziona i primi 8 KB (8.192 byte) del corpo della richiesta. Per informazioni su richieste di dimensioni maggiori, consulta Componenti di richiesta web di grandi dimensioni in AWS WAF.

Risoluzione

Identifica il tipo di contenuto utilizzato dai dati POST

I dati POST all'interno delle richieste HTTP in genere utilizzano dati del modulo o binario.

• I dati del modulo includono tutti i dati che un utente inserisce in una pagina web (o "modulo HTML") che HTTP invia (o "pubblica") a un server web.
• Un payload binario è qualcosa di diverso da un payload di testo. Ad esempio, un payload binario può essere un file.jpeg, un file.gzip o un file.xml. Ciò include dati binari generici, ad esempio da un'applicazione.pdf, un'immagine.jpeg o un'applicazione.zip. Per tutti i tipi di estensione di file, consulta Media types (Tipi di contenuto) sul sito web IANA (Internet Assigned Numbers Authority).

Per identificare il tipo di richiesta POST, controlla il valore Content-Type nell'intestazione HTTP POST. Ad esempio:

Content-Type: multipart/form-data

In base all'output di Content-Type, consulta la sezione appropriata che corrisponde al valore dell'intestazione.

Crea una regola per i contenuti multiparte/dati del modulo

Completa i seguenti passaggi:

1. Apri la console AWS WAF.
2. Nel pannello di navigazione, scegli AWS WAF.
3. Scegli Resources & protection packs (Risorse e pacchetti di protezione).
4. Seleziona il pacchetto di protezione.
5. Nel pacchetto di protezione selezionato, scegli Rules (Regole).
6. Seleziona View and edit (Visualizza e modifica) accanto a Rules (Regole) per visualizzare o modificare le regole associate al pacchetto di protezione.
7. Nel pannello destro, per Manage rules (Gestisci regole), scegli Add rules (Aggiungi regole).
8. Scegli Create new rule (Crea nuova regola).
9. Scegli Custom rule (Regola personalizzata) e seleziona Next (Avanti).
10. Per Rule Type (Tipo di regola), scegli Custom rule (Regola personalizzata) e seleziona Next (Avanti).
11. Per impostare la regola, configura i seguenti valori:
    Per Action (Azione), scegli Block (Blocca) per le regole personalizzate.
    In Name (Nome), inserisci un nome per identificare la regola.
    Per If a request (Se una richiesta), scegli matches the statement (corrisponde all'istruzione). Quindi completa i seguenti campi per Statement (Istruzione):
    Per Inspect (Ispeziona), scegli JSON Body (Corpo JSON).
    Per JSON Match Scope, scegli Values.
    Per Action for invalid JSON body requests (Azione per richieste con corpo JSON non valide), scegli l'opzione appropriata per il caso d'uso.
    Per Content to inspect, scegli Full JSON content.
    Per Match type, scegli Corrisponde all'espressione regolare.
    In Regular expression (Espressione regolare), inserisci un modello regex per la corrispondenza. Vedi l'esempio seguente:

(?:.pdf|.doc|.docx|.ppt)

12. (Facoltativo) Per Text transformation (Trasformazione del testo), aggiungi una trasformazione del testo oppure lascia i campi impostati su None (Nessuna).
13. Per Oversize Handling (Gestione grandi dimensioni), scegli l'opzione appropriata per il caso d'uso.
14. Scegli Create Rule (Crea regola).
15. Scegli Save (Salva).

Crea una regola per il valore binario

Completa i seguenti passaggi:

1. Apri la console AWS WAF.
2. Nel pannello di navigazione, scegli AWS WAF.
3. Scegli Resources & protection packs (Risorse e pacchetti di protezione).
4. Seleziona il pacchetto di protezione.
5. Nel pacchetto di protezione selezionato, scegli Rules (Regole).
6. Seleziona View and edit (Visualizza e modifica) accanto a Rules (Regole) per visualizzare o modificare le regole associate al pacchetto di protezione.
7. Nel pannello destro, per Manage rules (Gestisci regole), scegli Add rules (Aggiungi regole).
8. Scegli Create new rule (Crea nuova regola).
9. Scegli Custom rule (Regola personalizzata) e seleziona Next (Avanti).
10. Per Rule Type (Tipo di regola), scegli Custom rule (Regola personalizzata) e seleziona Next (Avanti).
11. Per impostare la regola, configura i seguenti valori:
    Per Action (Azione), scegli Block (Blocca) per le regole personalizzate.
    In Name (Nome), inserisci un nome per identificare la regola.
    Per If a request (Se una richiesta), scegli matches the statement (corrisponde all'istruzione).
    Completa i seguenti campi per Statement (Istruzione):
    Per Inspect, scegli Single header.
    Per Header field name, inserisci Content-Type.
    Per Match type, scegli Corrisponde all'espressione regolare.
    In Regular expression (Espressione regolare), inserisci un modello regex per la corrispondenza.
    Vedi il seguente esempio per i file .pdf e .jpeg:

(?:pdf|jpeg)

12. (Facoltativo) Per Text transformation (Trasformazione del testo), aggiungi una trasformazione del testo oppure lascia i campi impostati su None (Nessuna).
13. Scegli Create Rule (Crea regola).

Nota: per limitare la regola per uno specifico percorso URI di caricamento, utilizza un'istruzione AND all'interno della regola ACL Web che ispeziona il percorso.