Come posso utilizzare AWS WAF per prevenire gli attacchi di forza bruta?

Risoluzione

Le seguenti funzionalità di AWS WAF aiutano a prevenire gli attacchi di forza bruta:

• Regole basate sulla frequenza
• Puzzle CAPTCHA
• Gruppo di regole gestito Prevenzione dell'acquisizione degli account (ATP) di AWS WAF Fraud Control
• Security Automations per AWS WAF

Regole basate sulla frequenza

Per bloccare le richieste quando la loro frequenza è superiore al previsto, crea l'istruzione di una regola basata sulla frequenza. Per stabilire la soglia di una regola basata sulla frequenza, attiva la registrazione di AWS WAF. Quindi, a seconda della destinazione della registrazione, utilizza Amazon Athena o Amazon CloudWatch Log Insights per analizzare i log.

Puoi anche creare l'istruzione di una regola basata sulla frequenza specifica per un percorso URI, come ad esempio /login. Gli attacchi di forza bruta in genere prendono di mira le pagine di accesso per ottenere l'accesso alle credenziali dell'account. Pagine diverse di un sito web potrebbero ricevere frequenze di richieste diverse. Ad esempio, una home page potrebbe ricevere una quantità di traffico maggiore rispetto a una pagina di accesso.

Dopo aver stabilito una soglia, utilizza la seguente istruzione di scope-down per creare una regola basata sulla frequenza specifica per la pagina di accesso:

• Per Inspect Request (Esamina richiesta), scegli URI path (Percorso URI).
• Per Tipo di corrispondenza, scegli Starts with string (Inizia con la stringa).
• Per String to match (Stringa da individuare), scegli /login.

Puzzle CAPTCHA

I puzzle CAPTCHA possono aiutare a prevenire i seguenti attacchi:

• Attacchi di forza bruta da parte di bot
• Stuffing delle credenziali
• Web scraping
• Richieste spam ai server

Quando crei una regola con l'azione CAPTCHA, prima di accedere gli utenti devono completare il CAPTCHA.

Per impostare CAPTCHA nella pagina di accesso, configura la regola come segue:

• Per Inspect (Esamina), scegli URI path (Percorso URI).
• Per Match Type (Tipo di corrispondenza), scegli Starts with string (Inizia con la stringa).
• Per String to match (Stringa da individuare), scegli /login.
• Per Action (Azione), scegli CAPTCHA.
• Per Immunity time (Tempo di immunità), scegli Time in seconds (Tempo in secondi).
  Nota: per contribuire a prevenire attacchi di forza bruta da parte di un essere umano, imposta un tempo di immunità basso.

Per ulteriori informazioni, consulta Best practice per l'utilizzo delle azioni CAPTCHA e Challenge.

Gruppo di regole gestito ATP

Per esaminare le richieste malevole che tentano di impadronirsi dell'account, utilizza il gruppo di regole gestito ATP. Ad esempio, gli attacchi di forza bruta possono procedere per tentativi ed errori per indovinare le credenziali e ottenere l'accesso non autorizzato all'account.

Il gruppo di regole gestito ATP contiene regole predefinite che forniscono visibilità e controllo sulle richieste e i tentativi di accesso imprevisti.

Utilizza il seguente sottoinsieme di regole nel gruppo di regole gestito ATP per esaminare le richieste:

• VolumetricIpHigh: volumi elevati di richieste inviate da singoli indirizzi IP.
• AttributePasswordTraversal: tentativi di attacco alla password (password traversal).
• Attributi LongSession: tentativi tramite sessioni di lunga durata.
• AttributeUsernameTraversal: tentativi di attacco al nome utente (username traversal).
• VolumetricSession: volumi elevati di richieste inviate da singole sessioni.
• MissingCredential: credenziali mancanti.

Per ulteriori informazioni, consulta ](https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-atp.html#aws-managed-rule-groups-atp-rules)Elenco delle regole di prevenzione dell'acquisizione di account[.

Security Automations per AWS WAF

Per distribuire una lista di controllo degli accessi web (ACL web) con un set di regole utilizzando un modello di AWS CloudFormation , esegui Security Automations per AWS WAF.

Quando un utente non autorizzato tenta di indovinare le credenziali corrette, riceve una risposta di errore, ad esempio 401 Unauthorized. La regola Scanners and probes (Scanner e sonde) blocca le richieste provenienti da un indirizzo IP che riceve continuamente un codice di risposta specifico. Quando attivi questa regola, Security Automations per AWS WAF distribuisce una query AWS Lambda o Athena che controlla i log per i codici di risposta HTTP. Imposta una soglia per il numero di volte che una richiesta può ricevere lo stesso codice di errore e per il tempo per il quale la regola blocca le richieste che superano la soglia.

Informazioni correlate

Utilizzo di istruzioni di regole basate sulla frequenza in AWS WAF