**Wir stellen vor: ein neues Konsolenerlebnis für AWS WAF**
Sie können das aktualisierte Erlebnis jetzt verwenden, um überall in der Konsole auf AWS WAF Funktionen zuzugreifen. Weitere Informationen finden Sie unter [Arbeiten mit der Konsole](https://docs.aws.amazon.com/waf/latest/developerguide/working-with-console.html).
Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# AWS Liste der Regelgruppen für verwaltete Regeln
Dieser Abschnitt enthält eine Liste der verfügbaren Regelgruppen für AWS verwaltete Regeln.
In diesem Abschnitt werden die neuesten Versionen der Regelgruppen für AWS verwaltete Regeln beschrieben. Sie sehen diese auf der Konsole, wenn Sie Ihrem Protection Pack (Web-ACL) eine verwaltete Regelgruppe hinzufügen. Über die API können Sie diese Liste zusammen mit den AWS Marketplace Regelgruppen abrufen, die Sie abonniert haben, indem Sie anrufen`ListAvailableManagedRuleGroups`.
**Anmerkung**
Informationen zum Abrufen der Versionen einer Regelgruppe mit AWS verwalteten Regeln finden Sie unter. [Abrufen der verfügbaren Versionen für eine verwaltete Regelgruppe](waf-using-managed-rule-groups-versions.md)
Alle Regelgruppen mit AWS verwalteten Regeln unterstützen Beschriftungen, und die Regellisten in diesem Abschnitt enthalten Labelspezifikationen. Sie können die Kennzeichnungen für eine verwaltete Regelgruppe über die API abrufen, indem Sie `DescribeManagedRuleGroup` aufrufen. Die Kennzeichnungen werden in der Eigenschaft AvailableLabels in der Antwort aufgeführt. Weitere Informationen zur Kennzeichnung finden Sie unter [Etikettierung von Webanfragen in AWS WAF](waf-labels.md).
Testen und optimieren Sie alle Änderungen an Ihren AWS WAF Schutzmaßnahmen, bevor Sie sie für den produktiven Datenverkehr verwenden. Weitere Informationen finden Sie unter [Testen und Optimieren Ihrer AWS WAF Schutzmaßnahmen](web-acl-testing.md).
**Contents**
+ [Basisregelgruppen](aws-managed-rule-groups-baseline.md)
+ [Verwaltete Regelgruppe „Core Rule Set“ (CRS)](aws-managed-rule-groups-baseline.md#aws-managed-rule-groups-baseline-crs)
+ [Verwaltete Regelgruppe „Admin protection“](aws-managed-rule-groups-baseline.md#aws-managed-rule-groups-baseline-admin)
+ [Verwaltete Regelgruppe „Known Bad Inputs“](aws-managed-rule-groups-baseline.md#aws-managed-rule-groups-baseline-known-bad-inputs)
+ [Anwendungsfallspezifische Regelgruppen](aws-managed-rule-groups-use-case.md)
+ [Verwaltete Regelgruppe „SQL database“](aws-managed-rule-groups-use-case.md#aws-managed-rule-groups-use-case-sql-db)
+ [Verwaltete Regelgruppe „Linux Operating System“](aws-managed-rule-groups-use-case.md#aws-managed-rule-groups-use-case-linux-os)
+ [Verwaltete Regelgruppe „POSIX Operating System“](aws-managed-rule-groups-use-case.md#aws-managed-rule-groups-use-case-posix-os)
+ [Verwaltete Regelgruppe „Windows Operating System“](aws-managed-rule-groups-use-case.md#aws-managed-rule-groups-use-case-windows-os)
+ [Über PHP-Anwendung verwaltete Regelgruppe](aws-managed-rule-groups-use-case.md#aws-managed-rule-groups-use-case-php-app)
+ [WordPress Von der Anwendung verwaltete Regelgruppe](aws-managed-rule-groups-use-case.md#aws-managed-rule-groups-use-case-wordpress-app)
+ [IP-Reputationsregelgruppen](aws-managed-rule-groups-ip-rep.md)
+ [Amazon IP-Reputationsliste](aws-managed-rule-groups-ip-rep.md#aws-managed-rule-groups-ip-rep-amazon)
+ [Verwaltete Regelgruppe „Anonymous IP list“](aws-managed-rule-groups-ip-rep.md#aws-managed-rule-groups-ip-rep-anonymous)
+ [AWS WAF Regelgruppe Betrugsprävention (ACFP) zur Kontoerstellung bei der Betrugsbekämpfung](aws-managed-rule-groups-acfp.md)
+ [Überlegungen zur Verwendung dieser Regelgruppe](aws-managed-rule-groups-acfp.md#aws-managed-rule-groups-acfp-using)
+ [Von dieser Regelgruppe hinzugefügte Bezeichnungen](aws-managed-rule-groups-acfp.md#aws-managed-rule-groups-acfp-labels)
+ [Token-Labels](aws-managed-rule-groups-acfp.md#aws-managed-rule-groups-acfp-labels-token)
+ [ACFP-Etiketten](aws-managed-rule-groups-acfp.md#aws-managed-rule-groups-acfp-labels-rg)
+ [Liste der Regeln zur Kontoerstellung und Betrugsprävention](aws-managed-rule-groups-acfp.md#aws-managed-rule-groups-acfp-rules)
+ [AWS WAF Regelgruppe zur Verhinderung von Kontoübernahmen (ATP) zur Betrugsbekämpfung](aws-managed-rule-groups-atp.md)
+ [Überlegungen zur Verwendung dieser Regelgruppe](aws-managed-rule-groups-atp.md#aws-managed-rule-groups-atp-using)
+ [Von dieser Regelgruppe hinzugefügte Bezeichnungen](aws-managed-rule-groups-atp.md#aws-managed-rule-groups-atp-labels)
+ [Token-Labels](aws-managed-rule-groups-atp.md#aws-managed-rule-groups-atp-labels-token)
+ [ATP-Etiketten](aws-managed-rule-groups-atp.md#aws-managed-rule-groups-atp-labels-rg)
+ [Liste der Regeln zur Verhinderung von Kontoübernahmen](aws-managed-rule-groups-atp.md#aws-managed-rule-groups-atp-rules)
+ [AWS WAF Regelgruppe „Bot-Kontrolle“](aws-managed-rule-groups-bot.md)
+ [Schutzstufen](aws-managed-rule-groups-bot.md#aws-managed-rule-groups-bot-prot-levels)
+ [Überlegungen zur Verwendung dieser Regelgruppe](aws-managed-rule-groups-bot.md#aws-managed-rule-groups-bot-using)
+ [Von dieser Regelgruppe hinzugefügte Labels](aws-managed-rule-groups-bot.md#aws-managed-rule-groups-bot-labels)
+ [Token-Labels](aws-managed-rule-groups-bot.md#aws-managed-rule-groups-bot-labels-token)
+ [Beschriftungen von Bot Control](aws-managed-rule-groups-bot.md#aws-managed-rule-groups-bot-labels-rg)
+ [Liste der Bot-Control-Regeln](aws-managed-rule-groups-bot.md#aws-managed-rule-groups-bot-rules)
+ [AWS WAF Regelgruppe zur Verhinderung von Distributed Denial of Service (DDoS)](aws-managed-rule-groups-anti-ddos.md)
+ [Überlegungen zur Verwendung dieser Regelgruppe](aws-managed-rule-groups-anti-ddos.md#aws-managed-rule-groups-anti-ddos-using)
+ [Von dieser Regelgruppe hinzugefügte Bezeichnungen](aws-managed-rule-groups-anti-ddos.md#aws-managed-rule-groups-anti-ddos-labels)
+ [Token-Labels](aws-managed-rule-groups-anti-ddos.md#aws-managed-rule-groups-anti-ddos-labels-token)
+ [DDoAnti-S-Etiketten](aws-managed-rule-groups-anti-ddos.md#aws-managed-rule-groups-anti-ddos-labels-rg)
+ [Liste der DDo Anti-S-Regeln](aws-managed-rule-groups-anti-ddos.md#aws-managed-rule-groups-anti-ddos-rules)
# Basisregelgruppen
Verwalte Basisregelgruppen bieten allgemeinen Schutz vor einer Vielzahl von häufigen Bedrohungen. Wählen Sie eine oder mehrere dieser Regelgruppen aus, um einen grundlegenden Schutz für Ihre Ressourcen zu gewährleisten.
## Verwaltete Regelgruppe „Core Rule Set“ (CRS)
VendorName:`AWS`, Name:`AWSManagedRulesCommonRuleSet`, WCU: 700
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen das bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, was sie benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die Regelgruppe Core Rule Set (CRS) enthält Regeln, die allgemein für Webanwendungen gelten. Dies bietet Schutz vor der Ausnutzung einer Vielzahl von Schwachstellen, einschließlich einiger Schwachstellen mit hohem Risiko und häufig auftretender Schwachstellen, die in OWASP-Veröffentlichungen wie [OWASP Top 10](https://owasp.org/www-project-top-ten/) beschrieben werden. Erwägen Sie, diese Regelgruppe für jeden AWS WAF Anwendungsfall zu verwenden.
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die für Regeln verfügbar sind, die nach dieser Regelgruppe in Ihrem Schutzpaket (Web-ACL) ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
| Regelname | Beschreibung und Kennzeichnung |
| --- | --- |
| NoUserAgent\$1HEADER | Prüft auf Anfragen, denen der `User-Agent` HTTP-Header fehlt. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:NoUserAgent_Header` |
| UserAgent\$1BadBots\$1HEADER | Prüft auf allgemeine `User-Agent` Header-Werte, die darauf hinweisen, dass es sich bei der Anfrage um einen bösartigen Bot handelt. Beispiele für Muster sind `nessus` und `nmap`. Informationen zur Bot-Verwaltung finden Sie auch unter [AWS WAF Regelgruppe „Bot-Kontrolle“](aws-managed-rule-groups-bot.md). Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:BadBots_Header` |
| SizeRestrictions\$1QUERYSTRING | Prüft auf URI-Abfragezeichenfolgen, die mehr als 2.048 Byte lang sind. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:SizeRestrictions_QueryString` |
| SizeRestrictions\$1Cookie\$1HEADER | Prüft auf Cookie-Header, die mehr als 10.240 Byte groß sind. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:SizeRestrictions_Cookie_Header` |
| SizeRestrictions\$1BODY | Sucht nach Anforderungstexten, die mehr als 8 KB (8.192 Byte) groß sind. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:SizeRestrictions_Body` |
| SizeRestrictions\$1URIPATH | Prüft auf URI-Pfade, die mehr als 1.024 Byte lang sind. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:SizeRestrictions_URIPath` |
| EC2MetaDataSSRF\$1BODY | Prüft auf Versuche, Amazon EC2-Metadaten aus dem Anfragetext herauszufiltern. Diese Regel überprüft den Hauptteil der Anfrage nur bis zur Größenbeschränkung für das Schutzpaket (Web-ACL) und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Protection Pack-Konfiguration (Web-ACL) auf bis zu 64 KB erhöhen. Diese Regel verwendet die `Continue` Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:EC2MetaDataSSRF_Body` |
| EC2MetaDataSSRF\$1COOKIE | Prüft auf Versuche, Amazon EC2-Metadaten aus dem Anfragecookie herauszufiltern. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:EC2MetaDataSSRF_Cookie` |
| EC2MetaDataSSRF\$1URIPATH | Prüft auf Versuche, Amazon EC2-Metadaten aus dem Pfad des Anfragen-URI herauszufiltern. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:EC2MetaDataSSRF_URIPath` |
| EC2MetaDataSSRF\$1QUERYARGUMENTS | Prüft auf Versuche, Amazon EC2-Metadaten aus den Anfragenabfrageargumenten herauszufiltern. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:EC2MetaDataSSRF_QueryArguments` |
| GenericLFI\$1QUERYARGUMENTS | Prüft auf das Vorhandensein von Local File Inclusion (LFI)-Exploits in den Abfrageargumenten. Beispiele sind Pfaddurchquerungsversuche mit Techniken wie `../../`. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:GenericLFI_QueryArguments` |
| GenericLFI\$1URIPATH | Prüft auf das Vorhanden von Local File Inclusion (LFI)-Exploits im URI-Pfad. Beispiele sind Pfaddurchquerungsversuche mit Techniken wie `../../`. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:GenericLFI_URIPath` |
| GenericLFI\$1BODY | Prüft auf das Vorhandensein Local File Inclusion (LFI)-Exploits im Anfragetext. Beispiele sind Pfaddurchquerungsversuche mit Techniken wie `../../`. Diese Regel überprüft den Hauptteil der Anfrage nur bis zur Größenbeschränkung für das Schutzpaket (Web-ACL) und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Protection Pack-Konfiguration (Web-ACL) auf bis zu 64 KB erhöhen. Diese Regel verwendet die `Continue` Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:GenericLFI_Body` |
| RestrictedExtensions\$1URIPATH | Prüft auf Anfragen, deren URI-Pfade Systemdateierweiterungen enthalten, deren Lesen oder Ausführen unsicher ist. Beispiele für Muster sind Erweiterungen wie `.log` und `.ini`. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:RestrictedExtensions_URIPath` |
| RestrictedExtensions\$1QUERYARGUMENTS | Prüft auf Anfragen, deren Abfrageargumente Systemdateierweiterungen enthalten, deren Lesen oder Ausführen unsicher ist. Beispiele für Muster sind Erweiterungen wie `.log` und `.ini`. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:RestrictedExtensions_QueryArguments` |
| GenericRFI\$1QUERYARGUMENTS | Prüft die Werte aller Abfrageparameter auf Versuche, RFI (Remote File Inclusion) in Webanwendungen auszunutzen, indem Adressen eingebettet URLs werden. IPv4 Beispiele hierfür sind Muster wie`http://`,`https://`, und `ftp://` `ftps://``file://`, mit einem IPv4 Host-Header beim Exploit-Versuch. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:GenericRFI_QueryArguments` |
| GenericRFI\$1BODY | Überprüft den Anfragetext auf Versuche, RFI (Remote File Inclusion) in Webanwendungen auszunutzen URLs , indem er Adressen einbettet. IPv4 Beispiele hierfür sind Muster wie`http://`,`https://`, und `ftp://` `ftps://``file://`, mit einem IPv4 Host-Header beim Exploit-Versuch. Diese Regel überprüft den Hauptteil der Anfrage nur bis zur Größenbeschränkung für das Schutzpaket (Web-ACL) und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Protection Pack-Konfiguration (Web-ACL) auf bis zu 64 KB erhöhen. Diese Regel verwendet die `Continue` Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:GenericRFI_Body` |
| GenericRFI\$1URIPATH | Überprüft den URI-Pfad auf Versuche, RFI (Remote File Inclusion) in Webanwendungen auszunutzen, indem Adressen eingebettet URLs werden. IPv4 Beispiele hierfür sind Muster wie`http://`,`https://`, und `ftp://` `ftps://``file://`, mit einem IPv4 Host-Header beim Exploit-Versuch. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:GenericRFI_URIPath` |
| CrossSiteScripting\$1COOKIE | Überprüft mithilfe der integrierten Funktionen die Werte von Cookie-Headern auf gängige Cross-Site-Scripting-Muster (XSS). AWS WAF [Cross-Site-Scripting-Angriffsregel-Anweisung](waf-rule-statement-type-xss-match.md) Beispiele für Muster sind Skripte wie ``. Die Details zur Regelübereinstimmung in den AWS WAF Protokollen sind für Version 2.0 dieser Regelgruppe nicht aufgefüllt. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:CrossSiteScripting_Cookie` |
| CrossSiteScripting\$1QUERYARGUMENTS | Überprüft die Werte von Abfrageargumenten mithilfe der integrierten Funktion auf gängige XSS-Muster (Cross-Site Scripting). AWS WAF [Cross-Site-Scripting-Angriffsregel-Anweisung](waf-rule-statement-type-xss-match.md) Beispiele für Muster sind Skripte wie ``. Die Details zur Regelübereinstimmung in den AWS WAF Protokollen sind für Version 2.0 dieser Regelgruppe nicht aufgefüllt. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:CrossSiteScripting_QueryArguments` |
| CrossSiteScripting\$1BODY | Überprüft den Anforderungstext mithilfe der integrierten Funktion auf gängige XSS-Muster (Cross-Site Scripting). AWS WAF [Cross-Site-Scripting-Angriffsregel-Anweisung](waf-rule-statement-type-xss-match.md) Beispiele für Muster sind Skripte wie ``. Die Details zur Regelübereinstimmung in den AWS WAF Protokollen sind für Version 2.0 dieser Regelgruppe nicht aufgefüllt. Diese Regel überprüft den Hauptteil der Anfrage nur bis zur Größenbeschränkung für das Schutzpaket (Web-ACL) und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Protection Pack-Konfiguration (Web-ACL) auf bis zu 64 KB erhöhen. Diese Regel verwendet die `Continue` Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:CrossSiteScripting_Body` |
| CrossSiteScripting\$1URIPATH | Überprüft mithilfe der integrierten Funktionen den Wert des URI-Pfads auf gängige XSS-Muster (Cross-Site Scripting). AWS WAF [Cross-Site-Scripting-Angriffsregel-Anweisung](waf-rule-statement-type-xss-match.md) Beispiele für Muster sind Skripte wie ``. Die Details zur Regelübereinstimmung in den AWS WAF Protokollen sind für Version 2.0 dieser Regelgruppe nicht aufgefüllt. Regelaktion: Block Label: `awswaf:managed:aws:core-rule-set:CrossSiteScripting_URIPath` |
## Verwaltete Regelgruppe „Admin protection“
VendorName:`AWS`, Name:`AWSManagedRulesAdminProtectionRuleSet`, WCU: 100
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen das bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, was sie benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die Regelgruppe „Admin Protection“ enthält Regeln, mit denen Sie den externen Zugriff auf offengelegte Verwaltungsseiten blockieren können. Dies kann nützlich sein, wenn Sie Software von Drittanbietern ausführen oder das Risiko verringern möchten, dass ein schädlicher Akteur administrativen Zugriff auf Ihre Anwendung erhält.
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die in Ihrem Schutzpaket (Web-ACL) für Regeln verfügbar sind, die nach dieser Regelgruppe ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
| Regelname | Beschreibung und Kennzeichnung |
| --- | --- |
| AdminProtection\$1URIPATH | Sucht nach URI-Pfaden, die im Allgemeinen für die Verwaltung eines Webservers oder einer Anwendung reserviert sind. Ein Beispielmuster ist `sqlmanager`. Regelaktion: Block Label: `awswaf:managed:aws:admin-protection:AdminProtection_URIPath` |
## Verwaltete Regelgruppe „Known Bad Inputs“
VendorName:`AWS`, Name:`AWSManagedRulesKnownBadInputsRuleSet`, WCU: 200
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen das bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, was sie benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die Regelgruppe „Known Bad Inputs“ enthält Regeln zum Blockieren von Anfragemustern, die bekanntermaßen ungültig sind und mit der Ausnutzung oder Entdeckung von Schwachstellen verbunden sind. Dies kann dazu beitragen, das Risiko zu verringern, dass ein schädlicher Akteur eine gefährdete Anwendung entdeckt.
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die in Ihrem Schutzpaket (Web-ACL) für Regeln verfügbar sind, die nach dieser Regelgruppe ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
| Regelname | Beschreibung und Kennzeichnung |
| --- | --- |
| JavaDeserializationRCE\$1HEADER | Untersucht die Schlüssel und Werte von HTTP-Anforderungsheadern auf Muster, die auf Versuche der Remote-Command-Execution (Remote Command Execution) mit Java hinweisen, wie z. B. die Sicherheitsanfälligkeiten Spring Core und Cloud Function RCE (CVE-2022-22963, CVE-2022-22965). Ein Beispielmuster ist `(java.lang.Runtime).getRuntime().exec("whoami")`. Diese Regel untersucht nur die ersten 8 KB der Anforderungsheader oder die ersten 200 Header, je nachdem, welcher Grenzwert zuerst erreicht wird, und verwendet die Option für die Verarbeitung übergroßer Inhalte. `Continue` Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:known-bad-inputs:JavaDeserializationRCE_Header` |
| JavaDeserializationRCE\$1BODY | Überprüft den Anfragetext auf Muster, die auf Versuche zur Ausführung von Remote-Command-Ausführung (Remote Command Execution) mit Java hinweisen, wie z. B. die Sicherheitsanfälligkeiten Spring Core und Cloud Function RCE (CVE-2022-22963, CVE-2022-22965). Ein Beispielmuster ist `(java.lang.Runtime).getRuntime().exec("whoami")`. Diese Regel untersucht den Hauptteil der Anfrage nur bis zur Größenbeschränkung für das Schutzpaket (Web-ACL) und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Protection Pack-Konfiguration (Web-ACL) auf bis zu 64 KB erhöhen. Diese Regel verwendet die `Continue` Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:known-bad-inputs:JavaDeserializationRCE_Body` |
| JavaDeserializationRCE\$1URIPATH | Überprüft den Anforderungs-URI auf Muster, die auf Versuche der Java-Deserialisierung mit Remote Command Execution (Remote Command Execution) hinweisen, wie z. B. die Sicherheitslücken Spring Core und Cloud Function RCE (CVE-2022-22963, CVE-2022-22965). Ein Beispielmuster ist `(java.lang.Runtime).getRuntime().exec("whoami")`. Regelaktion: Block Label: `awswaf:managed:aws:known-bad-inputs:JavaDeserializationRCE_URIPath` |
| JavaDeserializationRCE\$1QUERYSTRING | Untersucht die Anforderungsabfragezeichenfolge auf Muster, die auf Versuche zur Deserialisierung von Java mit Remote Command Execution (RCE) hinweisen, wie z. B. die Sicherheitsanfälligkeiten Spring Core und Cloud Function RCE (CVE-2022-22963, CVE-2022-22965). Ein Beispielmuster ist `(java.lang.Runtime).getRuntime().exec("whoami")`. Regelaktion: Block Label: `awswaf:managed:aws:known-bad-inputs:JavaDeserializationRCE_QueryString` |
| Host\$1localhost\$1HEADER | Prüft den Host-Header in der Anfrage auf Muster, die localhost anzeigen. Ein Beispielmuster ist `localhost`. Regelaktion: Block Label: `awswaf:managed:aws:known-bad-inputs:Host_Localhost_Header` |
| PROPFIND\$1METHOD | Prüft die HTTP-Methode in der Anfrage auf `PROPFIND`, eine Methode, die `HEAD` ähnlich ist, jedoch zusätzlich die Herausfilterung von XML-Objekten beabsichtigt. Regelaktion: Block Label: `awswaf:managed:aws:known-bad-inputs:Propfind_Method` |
| ExploitablePaths\$1URIPATH | Prüft den URI-Pfad auf Versuche, auf ausnutzbare Webanwendungspfade zuzugreifen. Beispiele für Muster umfassen Pfade wie `web-inf`. Regelaktion: Block Label: `awswaf:managed:aws:known-bad-inputs:ExploitablePaths_URIPath` |
| Log4JRCE\$1HEADER | Überprüft die Schlüssel und Werte von Anforderungsheadern auf das Vorhandensein der Log4j-Sicherheitslücke ([CVE-2021-44228](https://www.cve.org/CVERecord?id=CVE-2021-44228), [CVE-2021-45046](https://www.cve.org/CVERecord?id=CVE-2021-45046), [CVE-2021-45105](https://www.cve.org/CVERecord?id=CVE-2021-45105)) und schützt vor Versuchen mit Remote Code Execution (RCE). Ein Beispielmuster ist `${jndi:ldap://example.com/}`. Diese Regel untersucht nur die ersten 8 KB der Anforderungsheader oder die ersten 200 Header, je nachdem, welcher Grenzwert zuerst erreicht wird, und verwendet die Option für die Verarbeitung übergroßer Inhalte. `Continue` Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:known-bad-inputs:Log4JRCE_Header` |
| Log4JRCE\$1QUERYSTRING | [Überprüft die Abfragezeichenfolge auf das Vorhandensein der Log4j-Sicherheitslücke ([CVE-2021-44228, CVE-2021-45046, CVE-2021-45105](https://www.cve.org/CVERecord?id=CVE-2021-44228)) und schützt vor Versuchen mit Remote Code [Execution (RCE](https://www.cve.org/CVERecord?id=CVE-2021-45046)).](https://www.cve.org/CVERecord?id=CVE-2021-45105) Ein Beispielmuster ist `${jndi:ldap://example.com/}`. Regelaktion: Block Label: `awswaf:managed:aws:known-bad-inputs:Log4JRCE_QueryString` |
| Log4JRCE\$1BODY | [https://www.cve.org/CVERecord?id=CVE-2021-44228](https://www.cve.org/CVERecord?id=CVE-2021-44228) Ein Beispielmuster ist `${jndi:ldap://example.com/}`. Diese Regel untersucht den Hauptteil der Anfrage nur bis zur Körpergrößenbeschränkung für das Schutzpaket (Web-ACL) und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Protection Pack-Konfiguration (Web-ACL) auf bis zu 64 KB erhöhen. Diese Regel verwendet die `Continue` Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:known-bad-inputs:Log4JRCE_Body` |
| Log4JRCE\$1URIPATH | [Überprüft den URI-Pfad auf das Vorhandensein der Log4j-Sicherheitslücke ([CVE-2021-44228, [CVE-2021-45046, CVE-2021-45105](https://www.cve.org/CVERecord?id=CVE-2021-45046)](https://www.cve.org/CVERecord?id=CVE-2021-44228)) und schützt vor Versuchen mit Remote Code Execution (RCE).](https://www.cve.org/CVERecord?id=CVE-2021-45105) Ein Beispielmuster ist `${jndi:ldap://example.com/}`. Regelaktion: Block Label: `awswaf:managed:aws:known-bad-inputs:Log4JRCE_URIPath` |
| ReactJSRCE\$1BODY | Überprüft den Anfragetext auf Muster, die auf das Vorhandensein von CVE-2025-55182 hinweisen. Diese Regel untersucht den Hauptteil der Anfrage nur bis zur Größe des Hauptteils für das Schutzpaket (Web-ACL) und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und AWS Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Protection Pack-Konfiguration (Web-ACL) auf bis zu 64 KB erhöhen. Diese Regel verwendet die `CONTINUE` Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:known-bad-inputs:ReactJSRCE_Body` |
# Anwendungsfallspezifische Regelgruppen
Anwendungsfallspezifische Regelgruppen bieten inkrementellen Schutz für viele verschiedene Anwendungsfälle. AWS WAF Wählen Sie die Regelgruppen aus, die für Ihre Anwendung gelten.
## Verwaltete Regelgruppe „SQL database“
VendorName:`AWS`, Name:`AWSManagedRulesSQLiRuleSet`, WCU: 200
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen das bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, was sie benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die Regelgruppe „SQL Database“ enthält Regeln zum Blockieren von Anfragemustern, die mit der Nutzung von SQL-Datenbanken verbunden sind, z. B. SQL-Einschleusungsangriffe. Dies kann dazu beitragen, das Remote-Injection von nicht autorisierten Abfragen zu verhindern. Evaluieren Sie diese Regelgruppe, wenn Ihre Anwendung mit einer SQL-Datenbank verbunden ist.
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die in Ihrem Schutzpaket (Web-ACL) für Regeln verfügbar sind, die nach dieser Regelgruppe ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
| Regelname | Beschreibung und Kennzeichnung |
| --- | --- |
| SQLi\$1QUERYARGUMENTS | Verwendet die integrierte AWS WAF [SQL-Injection-Angriff-Regelanweisung](waf-rule-statement-type-sqli-match.md) Funktion mit eingestellter Sensitivitätsstufe aufLow, um die Werte aller Abfrageparameter auf Muster zu untersuchen, die mit bösartigem SQL-Code übereinstimmen. Regelaktion: Block Label: `awswaf:managed:aws:sql-database:SQLi_QueryArguments` |
| SQLiExtendedPatterns\$1QUERYARGUMENTS | Prüft die Werte aller Abfrageparameter auf Muster, die mit bösartigem SQL-Code übereinstimmen. Die Muster, nach denen diese Regel sucht, werden von der Regel `SQLi_QUERYARGUMENTS` nicht abgedeckt. Regelaktion: Block Label: `awswaf:managed:aws:sql-database:SQLiExtendedPatterns_QueryArguments` |
| SQLi\$1BODY | Verwendet die integrierte Funktion AWS WAF [SQL-Injection-Angriff-Regelanweisung](waf-rule-statement-type-sqli-match.md) mit eingestellter Sensitivitätsstufe aufLow, um den Anfragetext auf Muster zu untersuchen, die mit bösartigem SQL-Code übereinstimmen. Mit dieser Regel wird der Hauptteil der Anfrage nur bis zur Größenbeschränkung für das Schutzpaket (Web-ACL) und den Ressourcentyp untersucht. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Protection Pack-Konfiguration (Web-ACL) auf bis zu 64 KB erhöhen. Diese Regel verwendet die `Continue` Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:sql-database:SQLi_Body` |
| SQLiExtendedPatterns\$1BODY | Prüft den Anfragetext auf Muster, die mit bösartigem SQL-Code übereinstimmen. Die Muster, nach denen diese Regel sucht, werden von der Regel nicht abgedeckt. `SQLi_BODY` Diese Regel untersucht den Hauptteil der Anfrage nur bis zur Körpergrößenbeschränkung für das Schutzpaket (Web-ACL) und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Protection Pack-Konfiguration (Web-ACL) auf bis zu 64 KB erhöhen. Diese Regel verwendet die `Continue` Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:sql-database:SQLiExtendedPatterns_Body` |
| SQLi\$1COOKIE | Verwendet die integrierte Funktion AWS WAF [SQL-Injection-Angriff-Regelanweisung](waf-rule-statement-type-sqli-match.md) mit eingestellter Sensitivitätsstufe aufLow, um die Header der Anforderungs-Cookies auf Muster zu untersuchen, die mit bösartigem SQL-Code übereinstimmen. Regelaktion: Block Label: `awswaf:managed:aws:sql-database:SQLi_Cookie` |
| SQLi\$1URIPATH | Verwendet die integrierten Funktionen AWS WAF [SQL-Injection-Angriff-Regelanweisung](waf-rule-statement-type-sqli-match.md) mit eingestellter Sensitivitätsstufe aufLow, um die Header der Anforderungs-Cookies auf Muster zu untersuchen, die bösartigem SQL-Code entsprechen. Regelaktion: Block Label: `awswaf:managed:aws:sql-database:SQLi_URIPath` |
## Verwaltete Regelgruppe „Linux Operating System“
VendorName:`AWS`, Name:`AWSManagedRulesLinuxRuleSet`, WCU: 200
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen das bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, was sie benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die Regelgruppe „Linux Operating System“ enthält Regeln, die mit der Ausnutzung Linux-spezifischer Schwachstellen verbundene Anfragemuster blockieren, einschließlich Linux-spezifischer Local File Inclusion (LFI)-Angriffe. Dies kann dazu beitragen, Angriffe zu verhindern, die Dateiinhalte offenlegen oder Code ausführen, auf den der Angreifer keinen Zugriff haben soll. Sie sollten diese Regelgruppe auswerten, wenn ein Teil Ihrer Anwendung unter Linux läuft. Sie sollten diese Regelgruppe in Verbindung mit der Regelgruppe [POSIX-Betriebssystem](#aws-managed-rule-groups-use-case-posix-os) verwenden.
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die in Ihrem Schutzpaket (Web-ACL) für Regeln verfügbar sind, die nach dieser Regelgruppe ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
| Regelname | Beschreibung und Kennzeichnung |
| --- | --- |
| LFI\$1URIPATH | Prüft den Anfragepfad auf Versuche, Local File Inclusion (LFI)-Schwachstellen in Webanwendungen auszunutzen. Beispiele für Muster umfassen Dateien wie `/proc/version`, die Angreifern Betriebssysteminformationen bereitstellen könnten. Regelaktion: Block Label: `awswaf:managed:aws:linux-os:LFI_URIPath` |
| LFI\$1QUERYSTRING | Prüft die Werte von querystring auf Versuche, Local File Inclusion (LFI)-Schwachstellen in Webanwendungen auszunutzen. Beispiele für Muster umfassen Dateien wie `/proc/version`, die Angreifern Betriebssysteminformationen bereitstellen könnten. Regelaktion: Block Label: `awswaf:managed:aws:linux-os:LFI_QueryString` |
| LFI\$1HEADER | Überprüft Anforderungsheader auf Versuche, LFI-Schwachstellen (Local File Inclusion) in Webanwendungen auszunutzen. Beispiele für Muster umfassen Dateien wie `/proc/version`, die Angreifern Betriebssysteminformationen bereitstellen könnten. Diese Regel untersucht nur die ersten 8 KB der Anforderungsheader oder die ersten 200 Header, je nachdem, welcher Grenzwert zuerst erreicht wird, und verwendet die Option für die Behandlung übergroßer Inhalte. `Continue` Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:linux-os:LFI_Header` |
## Verwaltete Regelgruppe „POSIX Operating System“
VendorName:`AWS`, Name:, WCU: `AWSManagedRulesUnixRuleSet` 100
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen das bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, was sie benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die Regelgruppe „POSIX Operating System“ enthält Regeln, die mit der Ausnutzung POSIX-spezifischer Schwachstellen und POSIX-ähnlicher Betriebssysteme verbundene Anfragemuster blockieren, einschließlich Local File Inclusion (LFI)-Angriffen. Dies kann dazu beitragen, Angriffe zu verhindern, die Dateiinhalte offenlegen oder Code ausführen, auf den der Angreifer keinen Zugriff haben soll. Sie sollten diese Regelgruppe evaluieren, wenn ein Teil Ihrer Anwendung auf einem POSIX- oder POSIX-ähnlichen Betriebssystem ausgeführt wird, wie Linux, AIX, HP-UX, macOS, Solaris, FreeBSD und OpenBSD.
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die in Ihrem Schutzpaket (Web-ACL) für Regeln verfügbar sind, die nach dieser Regelgruppe ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
| Regelname | Beschreibung und Kennzeichnung |
| --- | --- |
| UNIXShellCommandsVariables\$1QUERYSTRING | Überprüft die Werte der Abfragezeichenfolge auf Versuche, Sicherheitslücken wie Command Injection, LFI und Path Traversal in Webanwendungen auszunutzen, die auf Unix-Systemen ausgeführt werden. Beispiele für Muster umfassen `echo $HOME` und `echo $PATH`. Regelaktion: Block Label: `awswaf:managed:aws:posix-os:UNIXShellCommandsVariables_QueryString` |
| UNIXShellCommandsVariables\$1BODY | Prüft den Anfragetext auf Versuche, Schwachstellen wie Befehlseinschleusungen, LFI und Pfaddurchquerung in Webanwendungen auszunutzen, die auf Unix-Systemen ausgeführt werden. Beispiele für Muster umfassen `echo $HOME` und `echo $PATH`. Diese Regel untersucht den Hauptteil der Anfrage nur bis zur Größenbeschränkung für das Schutzpaket (Web-ACL) und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Protection Pack-Konfiguration (Web-ACL) auf bis zu 64 KB erhöhen. Diese Regel verwendet die `Continue` Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:posix-os:UNIXShellCommandsVariables_Body` |
| UNIXShellCommandsVariables\$1HEADER | Überprüft alle Anforderungsheader auf Versuche, Sicherheitslücken wie Command Injection, LFI und Path Traversal in Webanwendungen auszunutzen, die auf Unix-Systemen ausgeführt werden. Beispiele für Muster umfassen `echo $HOME` und `echo $PATH`. Diese Regel untersucht nur die ersten 8 KB der Anforderungsheader oder die ersten 200 Header, je nachdem, welcher Grenzwert zuerst erreicht wird, und verwendet die Option für die Behandlung übergroßer Inhalte. `Continue` Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:posix-os:UNIXShellCommandsVariables_Header` |
## Verwaltete Regelgruppe „Windows Operating System“
VendorName:`AWS`, Name:`AWSManagedRulesWindowsRuleSet`, WCU: 200
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen das bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, was sie benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die Regelgruppe des Windows-Betriebssystems enthält Regeln, die Anforderungsmuster blockieren, die mit der Ausnutzung von Windows-spezifischen Sicherheitslücken wie der Fernausführung von PowerShell Befehlen in Verbindung stehen. Dadurch kann verhindert werden, dass Sicherheitslücken ausgenutzt werden, die es einem Angreifer ermöglichen, nicht autorisierte Befehle oder bösartigen Code auszuführen. Evaluieren Sie diese Regelgruppe, wenn ein Teil Ihrer Anwendung auf einem Windows-Betriebssystem läuft.
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die für Regeln verfügbar sind, die nach dieser Regelgruppe in Ihrem Schutzpaket (Web-ACL) ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
| Regelname | Beschreibung und Kennzeichnung |
| --- | --- |
| WindowsShellCommands\$1COOKIE | Überprüft die Header der Anforderungs-Cookies auf Versuche, WindowsShell Befehle in Webanwendungen einzuschleusen. Die Übereinstimmungsmuster stellen Befehle darWindowsShell . Zu den Beispielmustern gehören `\|\|nslookup` und`;cmd`. Regelaktion: Block Label: `awswaf:managed:aws:windows-os:WindowsShellCommands_Cookie` |
| WindowsShellCommands\$1QUERYARGUMENTS | Prüft die Werte aller Abfrageparameter auf Versuche, WindowsShell Befehle in Webanwendungen einzuschleusen. Die Übereinstimmungsmuster stellen WindowsShell Befehle dar. Zu den Beispielmustern gehören `\|\|nslookup` und`;cmd`. Regelaktion: Block Label: `awswaf:managed:aws:windows-os:WindowsShellCommands_QueryArguments` |
| WindowsShellCommands\$1BODY | Überprüft den Anforderungstext auf Versuche, WindowsShell Befehle in Webanwendungen einzuschleusen. Die Übereinstimmungsmuster stellen WindowsShell Befehle dar. Zu den Beispielmustern gehören `\|\|nslookup` und`;cmd`. Diese Regel überprüft den Hauptteil der Anfrage nur bis zur Größenbeschränkung für das Schutzpaket (Web-ACL) und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Protection Pack-Konfiguration (Web-ACL) auf bis zu 64 KB erhöhen. Diese Regel verwendet die `Continue` Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:windows-os:WindowsShellCommands_Body` |
| PowerShellCommands\$1COOKIE | Überprüft die Header der Anforderungs-Cookies auf Versuche, PowerShell Befehle in Webanwendungen einzuschleusen. Die Übereinstimmungsmuster stellen Befehle darPowerShell . Beispiel, `Invoke-Expression`. Regelaktion: Block Label: `awswaf:managed:aws:windows-os:PowerShellCommands_Cookie` |
| PowerShellCommands\$1QUERYARGUMENTS | Prüft die Werte aller Abfrageparameter auf Versuche, PowerShell Befehle in Webanwendungen einzuschleusen. Die Übereinstimmungsmuster stellen PowerShell Befehle dar. Beispiel, `Invoke-Expression`. Regelaktion: Block Label: `awswaf:managed:aws:windows-os:PowerShellCommands_QueryArguments` |
| PowerShellCommands\$1BODY | Überprüft den Anforderungstext auf Versuche, PowerShell Befehle in Webanwendungen einzuschleusen. Die Übereinstimmungsmuster stellen PowerShell Befehle dar. Beispiel, `Invoke-Expression`. Diese Regel überprüft den Hauptteil der Anfrage nur bis zur Größenbeschränkung für das Schutzpaket (Web-ACL) und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Protection Pack-Konfiguration (Web-ACL) auf bis zu 64 KB erhöhen. Diese Regel verwendet die `Continue` Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:windows-os:PowerShellCommands_Body` |
## Über PHP-Anwendung verwaltete Regelgruppe
VendorName:`AWS`, Name:`AWSManagedRulesPHPRuleSet`, WCU: 100
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen das bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, was sie benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die Regelgruppe „PHP Application“ enthält Regeln, die mit der Ausnutzung von Schwachstellen im Zusammenhang mit der Programmiersprache PHP verbundene Anfragemuster blockieren, einschließlich der Einschleusung nicht sicherer PHP-Funktionen. Dadurch kann verhindert werden, dass Sicherheitslücken ausgenutzt werden, die es einem Angreifer ermöglichen, Code oder Befehle aus der Ferne auszuführen, für die er nicht autorisiert ist. Evaluieren Sie diese Regelgruppe, wenn PHP auf einem beliebigen Server installiert ist, mit dem Ihre Anwendung verbunden ist.
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die für Regeln verfügbar sind, die nach dieser Regelgruppe in Ihrem Schutzpaket (Web-ACL) ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
| Regelname | Beschreibung und Kennzeichnung |
| --- | --- |
| PHPHighRiskMethodsVariables\$1HEADER | Überprüft alle Header auf Versuche, PHP-Skriptcode einzuschleusen. Beispiele für Muster umfassen Funktionen wie `fsockopen` und die superglobale Variable `$_GET`. Diese Regel untersucht nur die ersten 8 KB der Anforderungsheader oder die ersten 200 Header, je nachdem, welcher Grenzwert zuerst erreicht wird, und verwendet die Option für die `Continue` Behandlung übergroßer Inhalte. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:php-app:PHPHighRiskMethodsVariables_Header` |
| PHPHighRiskMethodsVariables\$1QUERYSTRING | Prüft alles, was `?` in der Anfrage-URL nach dem ersten Wort steht, und sucht nach Versuchen, PHP-Skriptcode einzuschleusen. Beispiele für Muster umfassen Funktionen wie `fsockopen` und die superglobale Variable `$_GET`. Regelaktion: Block Label: `awswaf:managed:aws:php-app:PHPHighRiskMethodsVariables_QueryString` |
| PHPHighRiskMethodsVariables\$1BODY | Prüft die Werte des Anfragetexts auf Versuche, PHP-Skriptcode einzuschleusen. Beispiele für Muster umfassen Funktionen wie `fsockopen` und die superglobale Variable `$_GET`. Diese Regel überprüft den Hauptteil der Anfrage nur bis zur Größenbeschränkung für das Schutzpaket (Web-ACL) und den Ressourcentyp. Für Application Load Balancer und AWS AppSync ist das Limit auf 8 KB festgelegt. Für API Gateway CloudFront, Amazon Cognito, App Runner und Verified Access beträgt das Standardlimit 16 KB, und Sie können das Limit in Ihrer Protection Pack-Konfiguration (Web-ACL) auf bis zu 64 KB erhöhen. Diese Regel verwendet die `Continue` Option für den Umgang mit übergroßen Inhalten. Weitere Informationen finden Sie unter [Übergroße Webanforderungskomponenten in AWS WAF](waf-oversize-request-components.md). Regelaktion: Block Label: `awswaf:managed:aws:php-app:PHPHighRiskMethodsVariables_Body` |
| PHPHighRiskMethodsVariables\$1URIPATH | Prüft den Anforderungspfad auf Versuche, PHP-Skriptcode einzuschleusen. Beispiele für Muster umfassen Funktionen wie `fsockopen` und die superglobale Variable `$_GET`. Regelaktion: Block Label: `awswaf:managed:aws:php-app:PHPHighRiskMethodsVariables_URIPath` |
## WordPress Von der Anwendung verwaltete Regelgruppe
VendorName:`AWS`, Name:`AWSManagedRulesWordPressRuleSet`, WCU: 100
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen das bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, was sie benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die WordPress Regelgruppe für Programme enthält Regeln, die Anforderungsmuster blockieren, die mit der Ausnutzung von Sicherheitslücken in bestimmten WordPress Websites zusammenhängen. Sie sollten diese Regelgruppe auswerten, wenn Sie sie ausführenWordPress. Diese Regelgruppe sollte in Verbindung mit den Regelgruppen [PHP-Anwendung](#aws-managed-rule-groups-use-case-php-app) und [SQL-Datenbank](#aws-managed-rule-groups-use-case-sql-db) verwendet werden.
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die für Regeln verfügbar sind, die nach dieser Regelgruppe in Ihrem Protection Pack (Web-ACL) ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
| Regelname | Beschreibung und Kennzeichnung |
| --- | --- |
| WordPressExploitableCommands\$1QUERYSTRING | Überprüft die Anforderungsabfragezeichenfolge auf WordPress Befehle mit hohem Risiko, die in anfälligen Installationen oder Plug-ins ausgenutzt werden können. Beispiele für Muster sind Befehle wie `do-reset-wordpress`. Regelaktion: Block Label: `awswaf:managed:aws:wordpress-app:WordPressExploitableCommands_QUERYSTRING` |
| WordPressExploitablePaths\$1URIPATH | Überprüft den URI-Pfad der Anfrage auf WordPress Dateien wie`xmlrpc.php`, von denen bekannt ist, dass sie leicht ausnutzbare Sicherheitslücken aufweisen. Regelaktion: Block Label: `awswaf:managed:aws:wordpress-app:WordPressExploitablePaths_URIPATH` |
# IP-Reputationsregelgruppen
IP-Reputationsregelgruppen blockieren Anfragen auf der Grundlage ihrer Quell-IP-Adresse.
**Anmerkung**
Diese Regeln verwenden die Quell-IP-Adresse aus dem Ursprung der Webanfrage. Wenn Ihr Datenverkehr über einen oder mehrere Proxys oder Load Balancer läuft, enthält der Ursprung der Webanfrage die Adresse des letzten Proxys und nicht die ursprüngliche Adresse des Clients.
Wählen Sie eine oder mehrere dieser Regelgruppen aus, wenn Sie die Gefährdung durch Bot-Datenverkehr oder Exploits reduzieren oder geografische Einschränkungen für Ihre Inhalte durchsetzen möchten. Informationen zur Bot-Verwaltung finden Sie auch unter [AWS WAF Regelgruppe „Bot-Kontrolle“](aws-managed-rule-groups-bot.md).
Die Regelgruppen in dieser Kategorie bieten keine Versionsverwaltungs- oder SNS-Aktualisierungsbenachrichtigungen.
## Amazon IP-Reputationsliste
VendorName:`AWS`, Name:`AWSManagedRulesAmazonIpReputationList`, WCU: 25
**Anmerkung**
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen alles bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, was sie benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die Regelgruppe „Amazon IP Reputation List“ enthält Regeln, die auf interner Threat Intelligence von Amazon basieren. Dies ist hilfreich, wenn Sie IP-Adressen blockieren möchten, die typischerweise mit Bots oder anderen Bedrohungen verbunden sind. Das Blockieren dieser IP-Adressen kann dazu beitragen, Bots zu minimieren und das Risiko zu verringern, dass ein schädlicher Akteur eine gefährdete Anwendung entdeckt.
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die in Ihrem Schutzpaket (Web-ACL) für Regeln verfügbar sind, die nach dieser Regelgruppe ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
| Regelname | Beschreibung und Kennzeichnung |
| --- | --- |
| AWSManagedIPReputationList | Sucht nach IP-Adressen, bei denen festgestellt wurde, dass sie aktiv an böswilligen Aktivitäten beteiligt sind. AWS WAF sammelt die IP-Adressliste aus verschiedenen Quellen, einschließlich eines Threat Intelligence-Tools MadPot, das Amazon verwendet, um Kunden vor Cyberkriminalität zu schützen. Weitere Informationen zu finden Sie MadPot unter[https://www.aboutamazon.com/news/aws/amazon-madpot-stops-cybersecurity-crime](https://www.aboutamazon.com/news/aws/amazon-madpot-stops-cybersecurity-crime). Regelaktion: Block Label: `awswaf:managed:aws:amazon-ip-list:AWSManagedIPReputationList` |
| AWSManagedReconnaissanceList | Sucht nach Verbindungen von IP-Adressen, die Ressourcen ausfindig machen. AWS Regelaktion: Block Label: `awswaf:managed:aws:amazon-ip-list:AWSManagedReconnaissanceList` |
| AWSManagedIPDDoSList | Sucht nach IP-Adressen, bei denen festgestellt wurde, dass sie aktiv an S-Aktivitäten beteiligt sind. DDo Regelaktion: Count Label: `awswaf:managed:aws:amazon-ip-list:AWSManagedIPDDoSList` |
## Verwaltete Regelgruppe „Anonymous IP list“
VendorName:`AWS`, Name:`AWSManagedRulesAnonymousIpList`, WCU: 50
**Anmerkung**
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen alles bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, was sie benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die Regelgruppe Liste anonymer IP-Adressen enthält Regeln zum Blockieren von Anfragen von Diensten, die die Verschleierung der Identität des Betrachters ermöglichen. Dazu gehören Anfragen von ProxysVPNs, Tor-Knoten und Webhosting-Anbietern. Diese Regelgruppe ist nützlich, wenn Sie Betrachter herausfiltern möchten, die möglicherweise versuchen, ihre Identität vor Ihrer Anwendung zu verbergen. Das Blockieren der IP-Adressen dieser Services kann dazu beitragen, Bots und Möglichkeiten zur Umgehung geografischer Einschränkungen zu minimieren.
Diese verwaltete Regelgruppe fügt den Webanfragen, die sie auswertet, Labels hinzu, die für Regeln verfügbar sind, die nach dieser Regelgruppe in Ihrem Schutzpaket (Web-ACL) ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
| Regelname | Beschreibung und Kennzeichnung |
| --- | --- |
| AnonymousIPList | Prüft auf eine Liste von IP-Adressen von Quellen, die Clientinformationen anonymisieren, wie Tor-Knoten, temporäre Proxys und andere Maskierungsdienste. Regelaktion: Block Label: `awswaf:managed:aws:anonymous-ip-list:AnonymousIPList` |
| HostingProviderIPList | Sucht nach einer Liste mit IP-Adressen von Webhosting- und Cloud-Anbietern, von denen die Wahrscheinlichkeit geringer ist, dass sie Endbenutzer-Traffic generieren. Die IP-Liste enthält keine AWS IP-Adressen. Regelaktion: Block Label: `awswaf:managed:aws:anonymous-ip-list:HostingProviderIPList` |
# AWS WAF Regelgruppe Betrugsprävention (ACFP) zur Kontoerstellung bei der Betrugsbekämpfung
In diesem Abschnitt wird die Funktionsweise der AWS WAF verwalteten Regelgruppe Fraud Control Account Creation Fraud Prevention (ACFP) erläutert.
VendorName:`AWS`, Name:`AWSManagedRulesACFPRuleSet`, WCU: 50
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen das bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, was sie benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die AWS WAF verwaltete Regelgruppe Fraud Control Account Creation Fraud Prevention (ACFP) kennzeichnet und verwaltet Anfragen, die Teil betrügerischer Kontoerstellungsversuche sein könnten. Zu diesem Zweck überprüft die Regelgruppe Anfragen zur Kontoerstellung, die Kunden an die Registrierungs- und Kontoerstellungsendpunkte Ihrer Anwendung senden.
Die ACFP-Regelgruppe überprüft Versuche zur Kontoerstellung auf verschiedene Weise, um Ihnen Transparenz und Kontrolle über potenziell bösartige Interaktionen zu geben. Die Regelgruppe verwendet Anforderungstoken, um Informationen über den Client-Browser und den Grad der menschlichen Interaktivität bei der Erstellung der Anfrage zur Kontoerstellung zu sammeln. Die Regelgruppe erkennt und verwaltet Versuche zur Erstellung mehrerer Konten, indem sie Anfragen nach IP-Adresse und Clientsitzung aggregiert und anhand der bereitgestellten Kontoinformationen wie der physischen Adresse und Telefonnummer aggregiert. Darüber hinaus erkennt und blockiert die Regelgruppe die Erstellung neuer Konten unter Verwendung kompromittierter Anmeldeinformationen. Dies trägt zum Schutz der Sicherheitslage Ihrer Anwendung und Ihrer neuen Benutzer bei.
## Überlegungen zur Verwendung dieser Regelgruppe
Diese Regelgruppe erfordert eine benutzerdefinierte Konfiguration, die die Angabe der Kontoregistrierungs- und Kontoerstellungspfade Ihrer Anwendung umfasst. Sofern nicht anders angegeben, überprüfen die Regeln in dieser Regelgruppe alle Anfragen, die Ihre Clients an diese beiden Endpunkte senden. Anleitungen zur Konfiguration und Implementierung dieser Regelgruppe finden Sie unter [AWS WAF Einrichtung von Konten bei der Betrugsbekämpfung und Betrugsprävention (ACFP)](waf-acfp.md).
**Anmerkung**
Ihnen werden zusätzliche Gebühren berechnet, wenn Sie diese verwaltete Regelgruppe verwenden. Weitere Informationen finden Sie unter [AWS WAF – Preise](https://aws.amazon.com/waf/pricing/).
Diese Regelgruppe ist Teil der intelligenten Schutzmaßnahmen zur Abwehr von Bedrohungen in. AWS WAF Weitere Informationen finden Sie unter [Intelligente Bedrohungsabwehr in AWS WAF](waf-managed-protections.md).
Um Ihre Kosten niedrig zu halten und sicherzustellen, dass Sie Ihren Web-Traffic nach Ihren Wünschen verwalten, verwenden Sie diese Regelgruppe gemäß den Anweisungen unter. [Bewährte Methoden für intelligente Bedrohungsabwehr in AWS WAF](waf-managed-protections-best-practices.md)
Diese Regelgruppe ist nicht für die Verwendung mit Amazon Cognito Cognito-Benutzerpools verfügbar. Sie können ein Schutzpaket (Web-ACL), das diese Regelgruppe verwendet, keinem Benutzerpool zuordnen, und Sie können diese Regelgruppe nicht zu einem Schutzpaket (Web-ACL) hinzufügen, das bereits einem Benutzerpool zugeordnet ist.
## Von dieser Regelgruppe hinzugefügte Bezeichnungen
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die für Regeln verfügbar sind, die nach dieser Regelgruppe in Ihrem Schutzpaket (Web-ACL) ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
### Token-Labels
Diese Regelgruppe verwendet AWS WAF Tokenverwaltung, um Webanfragen anhand des Status ihrer AWS WAF Token zu überprüfen und zu kennzeichnen. AWS WAF verwendet Token für die Nachverfolgung und Überprüfung von Clientsitzungen.
Hinweise zu Token und Tokenverwaltung finden Sie unter[Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md).
Informationen zu den hier beschriebenen Label-Komponenten finden Sie unter[Anforderungen an Labelsyntax und Benennung in AWS WAF](waf-rule-label-requirements.md).
**Bezeichnung der Clientsitzung**
Das Label `awswaf:managed:token:id:identifier` enthält eine eindeutige Kennung, anhand derer die AWS WAF Tokenverwaltung die Clientsitzung identifiziert. Die Kennung kann sich ändern, wenn der Client ein neues Token erwirbt, beispielsweise nachdem er das Token, das er verwendet hat, verworfen hat.
**Anmerkung**
AWS WAF meldet keine CloudWatch Amazon-Metriken für dieses Label.
**Fingerabdruck-Label des Browsers**
Das Etikett `awswaf:managed:token:fingerprint:fingerprint-identifier` enthält eine robuste Browser-Fingerabdruck-ID, die das AWS WAF Token-Management aus verschiedenen Client-Browsersignalen berechnet. Diese Kennung bleibt auch bei mehreren Token-Akquisitionsversuchen gleich. Die Fingerabdruck-ID ist nicht eindeutig für einen einzelnen Client.
**Anmerkung**
AWS WAF meldet keine CloudWatch Amazon-Metriken für dieses Label.
**Token-Statusbezeichnungen: Namespace-Präfixe für Labels**
Token-Statusbezeichnungen geben Auskunft über den Status des Tokens und der darin enthaltenen Challenge- und CAPTCHA-Informationen.
Jedes Token-Statuslabel beginnt mit einem der folgenden Namespace-Präfixe:
+ `awswaf:managed:token:`— Wird verwendet, um den allgemeinen Status des Tokens und den Status der Challenge-Informationen des Tokens zu melden.
+ `awswaf:managed:captcha:`— Wird verwendet, um über den Status der CAPTCHA-Informationen des Tokens zu berichten.
**Token-Statusbezeichnungen: Labelnamen**
Nach dem Präfix enthält der Rest des Labels detaillierte Informationen zum Token-Status:
+ `accepted`— Das Anforderungstoken ist vorhanden und enthält Folgendes:
+ Eine gültige Challenge oder CAPTCHA-Lösung.
+ Eine noch nicht abgelaufene Herausforderung oder ein CAPTCHA-Zeitstempel.
+ Eine Domainspezifikation, die für das Protection Pack (Web-ACL) gültig ist.
Beispiel: Das Label `awswaf:managed:token:accepted` gibt an, dass das Token der Webanfragen eine gültige Challenge-Lösung, einen noch nicht abgelaufenen Challenge-Zeitstempel und eine gültige Domain enthält.
+ `rejected`— Das Anforderungstoken ist vorhanden, erfüllt aber nicht die Akzeptanzkriterien.
Zusammen mit dem abgelehnten Label fügt die Tokenverwaltung einen benutzerdefinierten Label-Namespace und einen Namen hinzu, um den Grund anzugeben.
+ `rejected:not_solved`— Dem Token fehlt die Challenge- oder CAPTCHA-Lösung.
+ `rejected:expired`— Der Challenge- oder CAPTCHA-Zeitstempel des Tokens ist gemäß den konfigurierten Token-Immunitätszeiten Ihres Schutzpakets (Web-ACL) abgelaufen.
+ `rejected:domain_mismatch`— Die Domain des Tokens entspricht nicht der Token-Domain-Konfiguration Ihres Schutzpakets (Web-ACL).
+ `rejected:invalid`— Das angegebene Token AWS WAF konnte nicht gelesen werden.
Beispiel: Die beiden Bezeichnungen `awswaf:managed:captcha:rejected` deuten `awswaf:managed:captcha:rejected:expired` zusammen darauf hin, dass für die Anfrage keine gültige CAPTCHA-Lösung gefunden wurde, da der CAPTCHA-Zeitstempel im Token die Immunitätszeit des CAPTCHA-Tokens überschritten hat, die im Schutzpaket (Web-ACL) konfiguriert ist.
+ `absent`— Die Anfrage enthält das Token nicht oder der Token-Manager konnte es nicht lesen.
Beispiel: Das Label `awswaf:managed:captcha:absent` gibt an, dass die Anfrage das Token nicht enthält.
### ACFP-Etiketten
Diese Regelgruppe generiert Labels mit dem Namespace-Präfix, `awswaf:managed:aws:acfp:` gefolgt vom benutzerdefinierten Namespace und dem Labelnamen. Die Regelgruppe kann einer Anfrage mehr als ein Label hinzufügen.
Sie können alle Labels für eine Regelgruppe über die API abrufen, indem Sie aufrufen`DescribeManagedRuleGroup`. Die Kennzeichnungen werden in der Eigenschaft `AvailableLabels` in der Antwort aufgeführt.
## Liste der Regeln zur Kontoerstellung und Betrugsprävention
In diesem Abschnitt sind die ACFP-Regeln `AWSManagedRulesACFPRuleSet` und die Bezeichnungen aufgeführt, die die Regeln der Regelgruppe Webanfragen hinzufügen.
Für alle Regeln in dieser Regelgruppe ist ein Webanforderungstoken erforderlich, mit Ausnahme der ersten beiden `UnsupportedCognitoIDP` und`AllRequests`. Eine Beschreibung der Informationen, die das Token bereitstellt, finden Sie unter[AWS WAF Token-Eigenschaften](waf-tokens-details.md).
Sofern nicht anders angegeben, überprüfen die Regeln in dieser Regelgruppe alle Anfragen, die Ihre Kunden an die Pfade zur Kontoregistrierung und Kontoerstellung senden, die Sie in der Regelgruppenkonfiguration angeben. Informationen zur Konfiguration dieser Regelgruppe finden Sie unter[AWS WAF Einrichtung von Konten bei der Betrugsbekämpfung und Betrugsprävention (ACFP)](waf-acfp.md).
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen das bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, was sie benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
| Regelname | Beschreibung und Kennzeichnung |
| --- | --- |
| UnsupportedCognitoIDP | Prüft, ob Web-Traffic an einen Amazon Cognito Cognito-Benutzerpool gesendet wird. ACFP ist nicht für die Verwendung mit Amazon Cognito Cognito-Benutzerpools verfügbar, und diese Regel trägt dazu bei, dass die anderen ACFP-Regelgruppenregeln nicht zur Auswertung des Benutzerpool-Traffics verwendet werden. Regelaktion: Block Beschriftungen: und `awswaf:managed:aws:acfp:unsupported:cognito_idp` `awswaf:managed:aws:acfp:UnsupportedCognitoIDP` |
| AllRequests | Wendet die Regelaktion auf Anfragen an, die auf den Pfad der Registrierungsseite zugreifen. Sie konfigurieren den Pfad der Registrierungsseite, wenn Sie die Regelgruppe konfigurieren. Standardmäßig gilt diese Regel für Challenge Anfragen. Durch die Anwendung dieser Aktion stellt die Regel sicher, dass der Client ein Challenge-Token erhält, bevor Anfragen von den übrigen Regeln in der Regelgruppe ausgewertet werden. Stellen Sie sicher, dass Ihre Endbenutzer den Pfad der Registrierungsseite laden, bevor sie eine Anfrage zur Kontoerstellung einreichen. Token werden Anfragen durch die Client-Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Für die effizienteste Token-Akquisition empfehlen wir Ihnen dringend, die Anwendungsintegration zu verwenden SDKs. Weitere Informationen finden Sie unter [Integrationen von Client-Anwendungen in AWS WAF](waf-application-integration.md). Regelaktion: Challenge Beschriftungen: Keine |
| RiskScoreHigh | Prüft auf Anfragen zur Kontoerstellung mit IP-Adressen oder anderen Faktoren, die als äußerst verdächtig angesehen werden. Diese Bewertung basiert in der Regel auf mehreren Faktoren, die dazu beitragen. Sie können den `risk_score` Bezeichnungen entnehmen, die die Regelgruppe der Anfrage hinzufügt. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:acfp:risk_score:high` und `awswaf:managed:aws:acfp:RiskScoreHigh` Die Regel kann auch Labels `medium` oder `low` Risikoeinstufungen auf die Anfrage anwenden. Wenn die Bewertung der Risikobewertung für die Webanfrage AWS WAF nicht erfolgreich ist, fügt die Regel die Bezeichnung hinzu `awswaf:managed:aws:acfp:risk_score:evaluation_failed ` Darüber hinaus fügt die Regel dem Namespace `awswaf:managed:aws:acfp:risk_score:contributor:` Labels hinzu, die den Status der Risikobewertung und Ergebnisse für bestimmte Faktoren, die zur Risikobewertung beitragen, enthalten, z. B. Bewertungen der IP-Reputation und der Bewertung gestohlener Anmeldeinformationen. |
| SignalCredentialCompromised | Durchsucht die Datenbank mit gestohlenen Anmeldeinformationen nach den Anmeldeinformationen, die in der Anfrage zur Kontoerstellung übermittelt wurden. Diese Regel stellt sicher, dass neue Kunden ihre Konten mit einer positiven Sicherheitslage initialisieren. Sie können eine benutzerdefinierte Blockierungsantwort hinzufügen, um Ihrem Endbenutzer das Problem zu beschreiben und ihm mitzuteilen, wie er vorgehen soll. Weitere Informationen finden Sie unter [ACFP-Beispiel: Benutzerdefinierte Antwort auf kompromittierte Anmeldeinformationen](waf-acfp-control-example-compromised-credentials.md). Regelaktion: Block Beschriftungen: `awswaf:managed:aws:acfp:signal:credential_compromised` und `awswaf:managed:aws:acfp:SignalCredentialCompromised` Die Regelgruppe wendet das folgende zugehörige Label an, unternimmt jedoch keine Maßnahmen, da nicht alle Anfragen bei der Kontoerstellung über Anmeldeinformationen verfügen: `awswaf:managed:aws:acfp:signal:missing_credential` |
| SignalClientHumanInteractivityAbsentLow | Überprüft das Token der Anfrage zur Kontoerstellung auf Daten, die auf eine abnormale menschliche Interaktion mit der Anwendung hinweisen. Menschliche Interaktivität wird anhand von Interaktionen wie Mausbewegungen und Tastendrücken erkannt. Wenn die Seite über ein HTML-Formular verfügt, umfasst die menschliche Interaktivität Interaktionen mit dem Formular. Diese Regel prüft nur Anfragen an den Pfad zur Kontoerstellung und wird nur ausgewertet, wenn Sie die Anwendungsintegration implementiert haben. SDKs Die SDK-Implementierungen erfassen passiv menschliche Interaktivität und speichern die Informationen im Anforderungstoken. Weitere Informationen erhalten Sie unter [AWS WAF Token-Eigenschaften](waf-tokens-details.md) und [Integrationen von Client-Anwendungen in AWS WAF](waf-application-integration.md). Regelaktion: CAPTCHA Beschriftungen: Keine. Die Regel bestimmt eine Übereinstimmung auf der Grundlage verschiedener Faktoren, sodass es keine individuelle Bezeichnung gibt, die für jedes mögliche Übereinstimmungsszenario gilt. Die Regelgruppe kann eine oder mehrere der folgenden Bezeichnungen auf Anfragen anwenden: `awswaf:managed:aws:acfp:signal:client:human_interactivity:low\|medium\|high` `awswaf:managed:aws:acfp:SignalClientHumanInteractivityAbsentLow\|Medium\|High` `awswaf:managed:aws:acfp:signal:client:human_interactivity:insufficient_data` `awswaf:managed:aws:acfp:signal:form_detected`. |
| AutomatedBrowser | Prüft auf Anzeichen dafür, dass der Client-Browser möglicherweise automatisiert ist. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:acfp:signal:automated_browser` und `awswaf:managed:aws:acfp:AutomatedBrowser` |
| BrowserInconsistency | Überprüft das Token der Anfrage auf inkonsistente Browser-Abfragedaten. Weitere Informationen finden Sie unter [AWS WAF Token-Eigenschaften](waf-tokens-details.md). Regelaktion: CAPTCHA `awswaf:managed:aws:acfp:signal:browser_inconsistency`Beschriftungen: und `awswaf:managed:aws:acfp:BrowserInconsistency` |
| VolumetricIpHigh | Prüft, ob große Mengen von Anfragen zur Kontoerstellung von einzelnen IP-Adressen gesendet werden. Ein hohes Volumen besteht aus mehr als 20 Anfragen innerhalb eines Zeitfensters von 10 Minuten. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Bei einem hohen Volumen können einige Anfragen das Limit überschreiten, bevor die Regelaktion angewendet wird. Regelaktion: CAPTCHA Beschriftungen: `awswaf:managed:aws:acfp:aggregate:volumetric:ip:creation:high` und `awswaf:managed:aws:acfp:VolumetricIpHigh` Die Regel wendet die folgenden Bezeichnungen auf Anfragen mit mittlerem Volumen (mehr als 15 Anfragen pro 10-Minuten-Fenster) und geringem Volumen (mehr als 10 Anfragen pro 10-Minuten-Fenster) an, ergreift jedoch keine Maßnahmen dafür: `awswaf:managed:aws:acfp:aggregate:volumetric:ip:creation:medium` und`awswaf:managed:aws:acfp:aggregate:volumetric:ip:creation:low`. |
| VolumetricSessionHigh | Prüft auf große Mengen von Anfragen zur Kontoerstellung, die aus einzelnen Kundensitzungen gesendet wurden. Bei einem hohen Volumen handelt es sich um mehr als 10 Anfragen innerhalb eines Zeitfensters von 30 Minuten. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor die Regelaktion angewendet wird. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:acfp:aggregate:volumetric:session:creation:high` und `awswaf:managed:aws:acfp:VolumetricSessionHigh` Die Regelgruppe wendet die folgenden Bezeichnungen auf Anfragen mit mittlerem Volumen (mehr als 5 Anfragen pro 30-Minuten-Fenster) und geringem Volumen (mehr als 1 Anfrage pro 30-Minuten-Fenster) an, ergreift jedoch keine Maßnahmen dafür: `awswaf:managed:aws:acfp:aggregate:volumetric:session:creation:medium` und`awswaf:managed:aws:acfp:aggregate:volumetric:session:creation:low`. |
| AttributeUsernameTraversalHigh | Prüft auf eine hohe Anzahl von Anfragen zur Kontoerstellung aus einer einzelnen Clientsitzung, die unterschiedliche Benutzernamen verwenden. Der Schwellenwert für eine hohe Bewertung liegt bei mehr als 10 Anfragen innerhalb von 30 Minuten. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor die Regelaktion angewendet wird. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:acfp:aggregate:attribute:username_traversal:creation:high` und `awswaf:managed:aws:acfp:AttributeUsernameTraversalHigh` Die Regelgruppe wendet die folgenden Bezeichnungen auf Anfragen mit mittlerem Volumen (mehr als 5 Anfragen pro 30-Minuten-Fenster) und geringem Volumen (mehr als 1 Anfrage pro 30-Minuten-Fenster) an Anfragen zur Durchquerung von Benutzernamen an, ergreift jedoch keine Maßnahmen dafür: `awswaf:managed:aws:acfp:aggregate:attribute:username_traversal:creation:medium` und. `awswaf:managed:aws:acfp:aggregate:attribute:username_traversal:creation:low` |
| VolumetricPhoneNumberHigh | Prüft auf große Mengen von Anfragen zur Kontoerstellung, für die dieselbe Telefonnummer verwendet wird. Der Schwellenwert für eine hohe Bewertung liegt bei mehr als 10 Anfragen innerhalb von 30 Minuten. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor die Regelaktion angewendet wird. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:acfp:aggregate:volumetric:phone_number:high` und `awswaf:managed:aws:acfp:VolumetricPhoneNumberHigh` Die Regelgruppe wendet die folgenden Bezeichnungen auf Anfragen mit mittlerem Volumen (mehr als 5 Anfragen pro 30-Minuten-Fenster) und geringem Volumen (mehr als 1 Anfrage pro 30-Minuten-Fenster) an, ergreift jedoch keine Maßnahmen dafür: `awswaf:managed:aws:acfp:aggregate:volumetric:phone_number:medium` und`awswaf:managed:aws:acfp:aggregate:volumetric:phone_number:low`. |
| VolumetricAddressHigh | Prüft auf große Mengen von Anfragen zur Kontoerstellung, die dieselbe physische Adresse verwenden. Der Schwellenwert für eine hohe Bewertung liegt bei mehr als 100 Anfragen pro 30-Minuten-Fenster. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor die Regelaktion angewendet wird. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:acfp:aggregate:volumetric:address:high` und `awswaf:managed:aws:acfp:VolumetricAddressHigh` |
| VolumetricAddressLow | Prüft auf geringe und mittlere Mengen von Anfragen zur Kontoerstellung, die dieselbe physische Adresse verwenden. Der Schwellenwert für eine mittlere Bewertung liegt bei mehr als 50 Anfragen pro 30-Minuten-Fenster und bei einer niedrigen Bewertung bei mehr als 10 Anfragen pro 30-Minuten-Fenster. Die Regel wendet die Aktion entweder für mittlere oder niedrige Volumen an. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor die Regelaktion angewendet wird. Regelaktion: CAPTCHA Beschriftungen: `awswaf:managed:aws:acfp:aggregate:volumetric:address:low\|medium` und `awswaf:managed:aws:acfp:VolumetricAddressLow\|Medium` |
| VolumetricIPSuccessfulResponse | Prüft, ob eine große Anzahl erfolgreicher Anfragen zur Kontoerstellung für eine einzelne IP-Adresse vorliegt. Diese Regel fasst erfolgreiche Antworten von der geschützten Ressource auf Anfragen zur Kontoerstellung zusammen. Der Schwellenwert für eine hohe Bewertung liegt bei mehr als 10 Anfragen pro 10-Minuten-Fenster. Diese Regel schützt vor Versuchen, Konten massenweise zu erstellen. Sie hat einen niedrigeren Schwellenwert als die Regel`VolumetricIpHigh`, bei der nur die Anfragen gezählt werden. Wenn Sie die Regelgruppe so konfiguriert haben, dass sie den Antworttext oder die JSON-Komponenten überprüft, AWS WAF können Sie die ersten 65.536 Byte (64 KB) dieser Komponententypen auf Erfolgs- oder Fehlerindikatoren überprüfen. Diese Regel wendet die Regelaktion und -kennzeichnung auf neue Webanfragen von einer IP-Adresse an und basiert auf den Erfolgs- und Fehlschlagantworten der geschützten Ressource auf die letzten Anmeldeversuche von derselben IP-Adresse aus. Bei der Konfiguration der Regelgruppe legen Sie fest, wie Erfolge und Misserfolge gezählt werden. AWS WAF wertet diese Regel nur in Schutzpaketen (Web ACLs) aus, die CloudFront Amazon-Distributionen schützen. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Es ist möglich, dass der Client mehr erfolgreiche Versuche zur Kontoerstellung sendet, als zulässig sind, bevor die Regel bei nachfolgenden Versuchen mit dem Abgleich beginnt. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:acfp:aggregate:volumetric:ip:successful_creation_response:high` und `awswaf:managed:aws:acfp:VolumetricIPSuccessfulResponse` Die Regelgruppe wendet außerdem die folgenden verwandten Bezeichnungen auf Anfragen an, ohne dass eine Aktion damit verknüpft ist. Alle Zählungen beziehen sich auf ein Zeitfenster von 10 Minuten. `awswaf:managed:aws:acfp:aggregate:volumetric:ip:successful_creation_response:medium`für mehr als 5 erfolgreiche Anfragen, `awswaf:managed:aws:acfp:aggregate:volumetric:ip:successful_creation_response:low` für mehr als eine erfolgreiche Anfrage, `awswaf:managed:aws:acfp:aggregate:volumetric:ip:failed_creation_response:high` für mehr als 10 fehlgeschlagene Anfragen, `awswaf:managed:aws:acfp:aggregate:volumetric:ip:failed_creation_response:medium` für mehr als 5 fehlgeschlagene Anfragen und `awswaf:managed:aws:acfp:aggregate:volumetric:ip:failed_creation_response:low` für mehr als eine fehlgeschlagene Anfrage. |
| VolumetricSessionSuccessfulResponse | Überprüft, ob die geschützte Ressource nur wenige erfolgreiche Antworten auf Anfragen zur Kontoerstellung gesendet hat, die von einer einzelnen Clientsitzung aus gesendet wurden. Dies trägt zum Schutz vor Versuchen zur Erstellung mehrerer Konten bei. Der Schwellenwert für eine niedrige Bewertung liegt bei mehr als 1 Anfrage pro 30-Minuten-Fenster. Dies schützt vor Versuchen, Konten in großen Mengen zu erstellen. Diese Regel verwendet einen niedrigeren Schwellenwert als die Regel`VolumetricSessionHigh`, die nur die Anfragen verfolgt. Wenn Sie die Regelgruppe so konfiguriert haben, dass sie den Antworttext oder die JSON-Komponenten überprüft, AWS WAF können Sie die ersten 65.536 Byte (64 KB) dieser Komponententypen auf Erfolgs- oder Fehlerindikatoren überprüfen. Diese Regel wendet die Regelaktion und -kennzeichnung auf neue Webanfragen aus einer Clientsitzung an und basiert auf den Erfolgs- und Fehlschlagantworten der geschützten Ressource auf die letzten Anmeldeversuche aus derselben Clientsitzung. Bei der Konfiguration der Regelgruppe legen Sie fest, wie Erfolge und Fehlschläge gezählt werden. AWS WAF wertet diese Regel nur in Schutzpaketen (Web ACLs) aus, die CloudFront Amazon-Distributionen schützen. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Es ist möglich, dass der Client mehr fehlgeschlagene Versuche zur Kontoerstellung sendet, als zulässig sind, bevor die Regel bei nachfolgenden Versuchen mit dem Abgleich beginnt. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:acfp:aggregate:volumetric:session:successful_creation_response:low` und `awswaf:managed:aws:acfp:VolumetricSessionSuccessfulResponse` Die Regelgruppe wendet außerdem die folgenden verwandten Bezeichnungen auf Anfragen an. Alle Zählungen beziehen sich auf ein Zeitfenster von 30 Minuten. `awswaf:managed:aws:acfp:aggregate:volumetric:session:successful_creation_response:high`für mehr als 10 erfolgreiche Anfragen, `awswaf:managed:aws:acfp:aggregate:volumetric:session:successful_creation_response:medium` für mehr als 5 erfolgreiche Anfragen, `awswaf:managed:aws:acfp:aggregate:volumetric:session:failed_creation_response:high` für mehr als 10 fehlgeschlagene Anfragen, `awswaf:managed:aws:acfp:aggregate:volumetric:session:failed_creation_response:medium` für mehr als 5 fehlgeschlagene Anfragen und `awswaf:managed:aws:acfp:aggregate:volumetric:session:failed_creation_response:low` für mehr als eine fehlgeschlagene Anfrage. |
| VolumetricSessionTokenReuseIp | Prüft Anfragen zur Kontoerstellung auf die Verwendung eines einzelnen Tokens unter mehr als 5 verschiedenen IP-Adressen. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor die Regelaktion angewendet wird. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:acfp:aggregate:volumetric:session:creation:token_reuse:ip` und `awswaf:managed:aws:acfp:VolumetricSessionTokenReuseIp` |
# AWS WAF Regelgruppe zur Verhinderung von Kontoübernahmen (ATP) zur Betrugsbekämpfung
In diesem Abschnitt wird erklärt, was die verwaltete Regelgruppe zur Verhinderung von Kontoübernahmen ( AWS WAF Fraud Control Account Takeover Prevention, ATP) bewirkt.
VendorName:`AWS`, Name:`AWSManagedRulesATPRuleSet`, WCU: 50
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen alles bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die verwaltete Regelgruppe zur Verhinderung von Kontoübernahmen ( AWS WAF Fraud Control Account Takeover Prevention, ATP) kennzeichnet und verwaltet Anfragen, die Teil böswilliger Kontoübernahmeversuche sein könnten. Zu diesem Zweck untersucht die Regelgruppe Anmeldeversuche, die Clients an den Anmeldeendpunkt Ihrer Anwendung senden.
+ **Überprüfung von Anfragen** — ATP bietet Ihnen Transparenz und Kontrolle über ungewöhnliche Anmeldeversuche und Anmeldeversuche, bei denen gestohlene Anmeldeinformationen verwendet werden, um Kontoübernahmen zu verhindern, die zu betrügerischen Aktivitäten führen könnten. ATP überprüft E-Mail- und Passwortkombinationen anhand seiner Datenbank mit gestohlenen Anmeldeinformationen, die regelmäßig aktualisiert wird, sobald neue durchgesickerte Anmeldeinformationen im Dark Web gefunden werden. ATP aggregiert Daten nach IP-Adresse und Clientsitzung, um Clients zu erkennen und zu blockieren, die zu viele Anfragen verdächtiger Art senden.
+ **Überprüfung der Antworten** — Bei CloudFront Verteilungen untersucht die ATP-Regelgruppe nicht nur eingehende Anmeldeanfragen, sondern auch die Antworten Ihrer Anwendung auf Anmeldeversuche, um Erfolgs- und Fehlschlagquoten nachzuverfolgen. Mithilfe dieser Informationen kann ATP vorübergehend Clientsitzungen oder IP-Adressen blockieren, bei denen zu viele Anmeldefehler aufgetreten sind. AWS WAF führt die Antwortprüfung asynchron durch, sodass die Latenz Ihres Webverkehrs dadurch nicht erhöht wird.
## Überlegungen zur Verwendung dieser Regelgruppe
Für diese Regelgruppe ist eine spezielle Konfiguration erforderlich. Anleitungen zur Konfiguration und Implementierung dieser Regelgruppe finden Sie unter [AWS WAF Verhinderung von Kontoübernahmen bei der Betrugsbekämpfung (ATP)](waf-atp.md).
Diese Regelgruppe ist Teil der intelligenten Schutzmaßnahmen zur Abwehr von Bedrohungen in. AWS WAF Weitere Informationen finden Sie unter [Intelligente Bedrohungsabwehr in AWS WAF](waf-managed-protections.md).
**Anmerkung**
Wenn Sie diese verwaltete Regelgruppe verwenden, werden Ihnen zusätzliche Gebühren berechnet. Weitere Informationen finden Sie unter [AWS WAF – Preise](https://aws.amazon.com/waf/pricing/).
Um Ihre Kosten niedrig zu halten und sicherzustellen, dass Sie Ihren Web-Traffic nach Ihren Wünschen verwalten, verwenden Sie diese Regelgruppe gemäß den Anweisungen unter[Bewährte Methoden für intelligente Bedrohungsabwehr in AWS WAF](waf-managed-protections-best-practices.md).
Diese Regelgruppe ist nicht für die Verwendung mit Amazon Cognito Cognito-Benutzerpools verfügbar. Sie können ein Schutzpaket (Web-ACL), das diese Regelgruppe verwendet, keinem Benutzerpool zuordnen, und Sie können diese Regelgruppe nicht zu einem Schutzpaket (Web-ACL) hinzufügen, das bereits einem Benutzerpool zugeordnet ist.
## Von dieser Regelgruppe hinzugefügte Bezeichnungen
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die für Regeln verfügbar sind, die nach dieser Regelgruppe in Ihrem Schutzpaket (Web-ACL) ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
### Token-Labels
Diese Regelgruppe verwendet AWS WAF Tokenverwaltung, um Webanfragen anhand des Status ihrer AWS WAF Token zu überprüfen und zu kennzeichnen. AWS WAF verwendet Token für die Nachverfolgung und Überprüfung von Clientsitzungen.
Hinweise zu Token und Tokenverwaltung finden Sie unter[Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md).
Informationen zu den hier beschriebenen Label-Komponenten finden Sie unter[Anforderungen an Labelsyntax und Benennung in AWS WAF](waf-rule-label-requirements.md).
**Bezeichnung der Clientsitzung**
Das Label `awswaf:managed:token:id:identifier` enthält eine eindeutige Kennung, anhand derer die AWS WAF Tokenverwaltung die Clientsitzung identifiziert. Die Kennung kann sich ändern, wenn der Client ein neues Token erwirbt, beispielsweise nachdem er das Token, das er verwendet hat, verworfen hat.
**Anmerkung**
AWS WAF meldet keine CloudWatch Amazon-Metriken für dieses Label.
**Fingerabdruck-Label des Browsers**
Das Etikett `awswaf:managed:token:fingerprint:fingerprint-identifier` enthält eine robuste Browser-Fingerabdruck-ID, die das AWS WAF Token-Management aus verschiedenen Client-Browsersignalen berechnet. Diese Kennung bleibt auch bei mehreren Token-Akquisitionsversuchen gleich. Die Fingerabdruck-ID ist nicht eindeutig für einen einzelnen Client.
**Anmerkung**
AWS WAF meldet keine CloudWatch Amazon-Metriken für dieses Label.
**Token-Statusbezeichnungen: Namespace-Präfixe für Labels**
Token-Statusbezeichnungen geben Auskunft über den Status des Tokens und der darin enthaltenen Challenge- und CAPTCHA-Informationen.
Jedes Token-Statuslabel beginnt mit einem der folgenden Namespace-Präfixe:
+ `awswaf:managed:token:`— Wird verwendet, um den allgemeinen Status des Tokens und den Status der Challenge-Informationen des Tokens zu melden.
+ `awswaf:managed:captcha:`— Wird verwendet, um über den Status der CAPTCHA-Informationen des Tokens zu berichten.
**Token-Statusbezeichnungen: Labelnamen**
Nach dem Präfix enthält der Rest des Labels detaillierte Informationen zum Token-Status:
+ `accepted`— Das Anforderungstoken ist vorhanden und enthält Folgendes:
+ Eine gültige Challenge oder CAPTCHA-Lösung.
+ Eine noch nicht abgelaufene Herausforderung oder ein CAPTCHA-Zeitstempel.
+ Eine Domainspezifikation, die für das Protection Pack (Web-ACL) gültig ist.
Beispiel: Das Label `awswaf:managed:token:accepted` gibt an, dass das Token der Webanfragen eine gültige Challenge-Lösung, einen noch nicht abgelaufenen Challenge-Zeitstempel und eine gültige Domain enthält.
+ `rejected`— Das Anforderungstoken ist vorhanden, erfüllt aber nicht die Akzeptanzkriterien.
Zusammen mit dem abgelehnten Label fügt die Tokenverwaltung einen benutzerdefinierten Label-Namespace und einen Namen hinzu, um den Grund anzugeben.
+ `rejected:not_solved`— Dem Token fehlt die Challenge- oder CAPTCHA-Lösung.
+ `rejected:expired`— Der Challenge- oder CAPTCHA-Zeitstempel des Tokens ist gemäß den konfigurierten Token-Immunitätszeiten Ihres Schutzpakets (Web-ACL) abgelaufen.
+ `rejected:domain_mismatch`— Die Domain des Tokens entspricht nicht der Token-Domain-Konfiguration Ihres Schutzpakets (Web-ACL).
+ `rejected:invalid`— Das angegebene Token AWS WAF konnte nicht gelesen werden.
Beispiel: Die beiden Bezeichnungen `awswaf:managed:captcha:rejected` deuten `awswaf:managed:captcha:rejected:expired` zusammen darauf hin, dass für die Anfrage keine gültige CAPTCHA-Lösung gefunden wurde, da der CAPTCHA-Zeitstempel im Token die Immunitätszeit des CAPTCHA-Tokens überschritten hat, die im Schutzpaket (Web-ACL) konfiguriert ist.
+ `absent`— Die Anfrage enthält das Token nicht oder der Token-Manager konnte es nicht lesen.
Beispiel: Das Label `awswaf:managed:captcha:absent` gibt an, dass die Anfrage das Token nicht enthält.
### ATP-Etiketten
Die von ATP verwaltete Regelgruppe generiert Labels mit dem Namespace-Präfix, `awswaf:managed:aws:atp:` gefolgt vom benutzerdefinierten Namespace und dem Labelnamen.
Die Regelgruppe kann zusätzlich zu den Bezeichnungen, die in der Regelliste aufgeführt sind, eines der folgenden Labels hinzufügen:
+ `awswaf:managed:aws:atp:signal:credential_compromised`— Zeigt an, dass sich die Anmeldeinformationen, die in der Anfrage übermittelt wurden, in der Datenbank mit gestohlenen Anmeldeinformationen befinden.
+ `awswaf:managed:aws:atp:aggregate:attribute:suspicious_tls_fingerprint`— Nur für geschützte CloudFront Amazon-Distributionen verfügbar. Zeigt an, dass eine Clientsitzung mehrere Anfragen gesendet hat, bei denen ein verdächtiger TLS-Fingerabdruck verwendet wurde.
+ `awswaf:managed:aws:atp:aggregate:volumetric:session:token_reuse:ip`— Weist auf die Verwendung eines einzelnen Tokens unter mehr als 5 verschiedenen IP-Adressen hin. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor das Etikett angewendet wird.
Sie können alle Labels für eine Regelgruppe über die API abrufen, indem Sie aufrufen`DescribeManagedRuleGroup`. Die Kennzeichnungen werden in der Eigenschaft `AvailableLabels` in der Antwort aufgeführt.
## Liste der Regeln zur Verhinderung von Kontoübernahmen
In diesem Abschnitt sind die ATP-Regeln `AWSManagedRulesATPRuleSet` und die Bezeichnungen aufgeführt, die die Regeln der Regelgruppe Webanfragen hinzufügen.
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen alles bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
| Regelname | Beschreibung und Kennzeichnung |
| --- | --- |
| UnsupportedCognitoIDP | Prüft, ob Web-Traffic an einen Amazon Cognito Cognito-Benutzerpool gesendet wird. ATP ist nicht für die Verwendung mit Amazon Cognito Cognito-Benutzerpools verfügbar, und diese Regel trägt dazu bei, dass die anderen ATP-Regelgruppenregeln nicht zur Auswertung des Benutzerpool-Datenverkehrs verwendet werden. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:unsupported:cognito_idp` und `awswaf:managed:aws:atp:UnsupportedCognitoIDP` |
| VolumetricIpHigh | Prüft auf eine hohe Anzahl von Anforderungen, die von einzelnen IP-Adressen gesendet werden. Ein hohes Volumen bedeutet mehr als 20 Anfragen in einem 10-Minuten-Fenster. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Bei einem hohen Volumen können einige Anfragen das Limit überschreiten, bevor die Regelaktion angewendet wird. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:aggregate:volumetric:ip:high` und `awswaf:managed:aws:atp:VolumetricIpHigh` Die Regelgruppe wendet die folgenden Bezeichnungen auf Anfragen mit mittlerem Volumen (mehr als 15 Anfragen pro 10-Minuten-Fenster) und geringem Volumen (mehr als 10 Anfragen pro 10-Minuten-Fenster) an, ergreift jedoch keine Maßnahmen dafür: `awswaf:managed:aws:atp:aggregate:volumetric:ip:medium` und`awswaf:managed:aws:atp:aggregate:volumetric:ip:low`. |
| VolumetricSession | Prüft, ob große Mengen von Anfragen aus einzelnen Clientsitzungen gesendet wurden. Der Schwellenwert liegt bei mehr als 20 Anfragen pro 30-Minuten-Fenster. Diese Inspektion gilt nur, wenn die Webanforderung über ein Token verfügt. Token werden Anfragen durch die Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Weitere Informationen finden Sie unter [Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor die Regelaktion angewendet wird. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:aggregate:volumetric:session` und `awswaf:managed:aws:atp:VolumetricSession` |
| AttributeCompromisedCredentials | Prüft, ob mehrere Anfragen aus derselben Clientsitzung stammen und für die gestohlene Anmeldeinformationen verwendet wurden. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:aggregate:attribute:compromised_credentials` und `awswaf:managed:aws:atp:AttributeCompromisedCredentials` |
| AttributeUsernameTraversal | Prüft, ob mehrere Anfragen aus derselben Clientsitzung stammen und die Benutzernamendurchquerung verwenden. Regelaktion: Block Labels: und `awswaf:managed:aws:atp:aggregate:attribute:username_traversal` `awswaf:managed:aws:atp:AttributeUsernameTraversal` |
| AttributePasswordTraversal | Prüft, ob mehrere Anfragen mit demselben Benutzernamen vorhanden sind, die das Durchqueren von Passwörtern verwenden. Regelaktion: Block Labels: und `awswaf:managed:aws:atp:aggregate:attribute:password_traversal` `awswaf:managed:aws:atp:AttributePasswordTraversal` |
| AttributeLongSession | Prüft, ob mehrere Anfragen aus derselben Clientsitzung stammen, für die lang andauernde Sitzungen verwendet werden. Der Schwellenwert liegt bei mehr als 6 Stunden Traffic, bei dem alle 30 Minuten mindestens eine Anmeldeanfrage gestellt wird. Diese Prüfung gilt nur, wenn die Webanforderung ein Token enthält. Token werden Anfragen durch die Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Weitere Informationen finden Sie unter [Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:aggregate:attribute:long_session` und `awswaf:managed:aws:atp:AttributeLongSession` |
| TokenRejected | Prüft auf Anfragen mit Tokens, die von der AWS WAF Tokenverwaltung abgelehnt wurden. Diese Inspektion gilt nur, wenn die Webanforderung ein Token enthält. Token werden Anfragen durch die Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Weitere Informationen finden Sie unter [Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Regelaktion: Block Beschriftungen: Keine. Um zu überprüfen, ob das Token abgelehnt wurde, verwenden Sie eine Label-Abgleichsregel für den Abgleich auf dem Etikett:`awswaf:managed:token:rejected`. |
| SignalMissingCredential | Prüft auf Anfragen mit Anmeldeinformationen, bei denen der Benutzername oder das Passwort fehlen. Regelaktion: Block Labels: `awswaf:managed:aws:atp:signal:missing_credential` und `awswaf:managed:aws:atp:SignalMissingCredential` |
| VolumetricIpFailedLoginResponseHigh | Prüft nach IP-Adressen, auf die in letzter Zeit eine zu hohe Anzahl fehlgeschlagener Anmeldeversuche zurückzuführen ist. Ein hohes Volumen besteht aus mehr als 10 fehlgeschlagenen Anmeldeanfragen von einer IP-Adresse innerhalb eines Zeitfensters von 10 Minuten. Wenn Sie die Regelgruppe so konfiguriert haben, dass sie den Antworttext oder die JSON-Komponenten überprüft, AWS WAF können Sie die ersten 65.536 Byte (64 KB) dieser Komponententypen auf Erfolgs- oder Fehlerindikatoren überprüfen. Diese Regel wendet die Regelaktion und -kennzeichnung auf neue Webanfragen von einer IP-Adresse an und basiert auf den Erfolgs- und Fehlschlagantworten der geschützten Ressource auf die letzten Anmeldeversuche von derselben IP-Adresse. Bei der Konfiguration der Regelgruppe legen Sie fest, wie Erfolge und Misserfolge gezählt werden. AWS WAF wertet diese Regel nur in Schutzpaketen (Web ACLs) aus, die CloudFront Amazon-Distributionen schützen. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Es ist möglich, dass der Client mehr fehlgeschlagene Anmeldeversuche sendet, als zulässig sind, bevor die Regel bei nachfolgenden Versuchen mit dem Abgleich beginnt. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:aggregate:volumetric:ip:failed_login_response:high` und `awswaf:managed:aws:atp:VolumetricIpFailedLoginResponseHigh` Die Regelgruppe wendet außerdem die folgenden verwandten Bezeichnungen auf Anfragen an, ohne dass eine Aktion damit verknüpft ist. Alle Zählungen beziehen sich auf ein Zeitfenster von 10 Minuten. `awswaf:managed:aws:atp:aggregate:volumetric:ip:failed_login_response:medium`für mehr als 5 fehlgeschlagene Anfragen, `awswaf:managed:aws:atp:aggregate:volumetric:ip:failed_login_response:low` für mehr als 1 fehlgeschlagene Anfrage, `awswaf:managed:aws:atp:aggregate:volumetric:ip:successful_login_response:high` für mehr als 10 erfolgreiche Anfragen, `awswaf:managed:aws:atp:aggregate:volumetric:ip:successful_login_response:medium` für mehr als 5 erfolgreiche Anfragen und `awswaf:managed:aws:atp:aggregate:volumetric:ip:successful_login_response:low` für mehr als 1 erfolgreiche Anfrage. |
| VolumetricSessionFailedLoginResponseHigh | Sucht nach Clientsitzungen, die in letzter Zeit zu viele fehlgeschlagene Anmeldeversuche verursacht haben. Ein hohes Volumen besteht aus mehr als 10 fehlgeschlagenen Anmeldeanfragen aus einer Clientsitzung innerhalb eines Zeitfensters von 30 Minuten. Wenn Sie die Regelgruppe so konfiguriert haben, dass sie den Antworttext oder die JSON-Komponenten überprüft, AWS WAF können Sie die ersten 65.536 Byte (64 KB) dieser Komponententypen auf Erfolgs- oder Fehlerindikatoren überprüfen. Diese Regel wendet die Regelaktion und -kennzeichnung auf neue Webanfragen aus einer Clientsitzung an und basiert auf den Erfolgs- und Fehlschlagantworten der geschützten Ressource auf die letzten Anmeldeversuche aus derselben Clientsitzung. Bei der Konfiguration der Regelgruppe legen Sie fest, wie Erfolge und Fehlschläge gezählt werden. AWS WAF wertet diese Regel nur in Schutzpaketen (Web ACLs) aus, die CloudFront Amazon-Distributionen schützen. Die Schwellenwerte, für die diese Regel gilt, können aufgrund der Latenz leicht variieren. Es ist möglich, dass der Client mehr fehlgeschlagene Anmeldeversuche sendet, als zulässig sind, bevor die Regel bei nachfolgenden Versuchen mit dem Abgleich beginnt. Diese Prüfung gilt nur, wenn die Webanforderung ein Token enthält. Token werden Anfragen durch die Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Weitere Informationen finden Sie unter [Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Regelaktion: Block Beschriftungen: `awswaf:managed:aws:atp:aggregate:volumetric:session:failed_login_response:high` und `awswaf:managed:aws:atp:VolumetricSessionFailedLoginResponseHigh` Die Regelgruppe wendet außerdem die folgenden verwandten Bezeichnungen auf Anfragen an, ohne dass eine Aktion damit verknüpft ist. Alle Zählungen beziehen sich auf ein 30-Minuten-Fenster. `awswaf:managed:aws:atp:aggregate:volumetric:session:failed_login_response:medium`für mehr als 5 fehlgeschlagene Anfragen, `awswaf:managed:aws:atp:aggregate:volumetric:session:failed_login_response:low` für mehr als 1 fehlgeschlagene Anfrage, `awswaf:managed:aws:atp:aggregate:volumetric:session:successful_login_response:high` für mehr als 10 erfolgreiche Anfragen, `awswaf:managed:aws:atp:aggregate:volumetric:session:successful_login_response:medium` für mehr als 5 erfolgreiche Anfragen und `awswaf:managed:aws:atp:aggregate:volumetric:session:successful_login_response:low` für mehr als 1 erfolgreiche Anfrage. |
# AWS WAF Regelgruppe „Bot-Kontrolle“
In diesem Abschnitt wird erklärt, was die von Bot Control verwaltete Regelgruppe tut.
VendorName:`AWS`, Name:`AWSManagedRulesBotControlRuleSet`, WCU: 50
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen das bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, um die Regeln zu umgehen.
Wenn Sie eine neue Bot-Klassifizierung für die Bot-Kontrolle beantragen möchten oder zusätzliche Informationen benötigen, die hier nicht behandelt werden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die verwaltete Regelgruppe von Bot Control stellt Regeln zur Verwaltung von Anfragen von Bots bereit. Bots können überschüssige Ressourcen verbrauchen, Geschäftskennzahlen verfälschen, Ausfallzeiten verursachen und böswillige Aktivitäten ausführen.
## Schutzstufen
Die von Bot Control verwaltete Regelgruppe bietet zwei Schutzstufen, aus denen Sie wählen können:
+ **Allgemein** — Erkennt eine Vielzahl von sich selbst identifizierenden Bots, z. B. Web-Scraping-Frameworks, Suchmaschinen und automatisierte Browser. Bot-Control-Schutzmaßnahmen auf dieser Ebene identifizieren häufig auftretende Bots mithilfe herkömmlicher Bot-Erkennungstechniken, wie z. B. der Analyse statischer Anforderungsdaten. Die Regeln kennzeichnen den Traffic dieser Bots und blockieren diejenigen, die sie nicht verifizieren können.
+ **Gezielt** — Beinhaltet Schutzmaßnahmen auf allgemeiner Ebene und bietet eine gezielte Erkennung für ausgeklügelte Bots, die sich nicht selbst identifizieren. Gezielte Schutzmaßnahmen reduzieren Bot-Aktivitäten mithilfe einer Kombination aus Ratenbegrenzung und CAPTCHA sowie Browser-Herausforderungen im Hintergrund.
+ **`TGT_`**— Regeln, die gezielten Schutz bieten, haben Namen, die mit beginnen. `TGT_` Alle gezielten Schutzmaßnahmen verwenden Erkennungstechniken wie Browserabfragen, Fingerabdrücke und Verhaltensheuristiken, um bösartigen Bot-Traffic zu identifizieren.
+ **`TGT_ML_`**— Gezielte Schutzregeln, die maschinelles Lernen verwenden, haben Namen, die mit beginnen. `TGT_ML_` Diese Regeln verwenden automatisierte, maschinelle Lernanalysen der Besucherstatistiken von Websites, um ungewöhnliches Verhalten zu erkennen, das auf verteilte, koordinierte Bot-Aktivitäten hindeutet. AWS WAF analysiert Statistiken über Ihren Website-Verkehr wie Zeitstempel, Browsereigenschaften und die zuvor besuchte URL, um das maschinelle Lernmodell von Bot Control zu verbessern. Funktionen für maschinelles Lernen sind standardmäßig aktiviert, Sie können sie jedoch in Ihrer Regelgruppenkonfiguration deaktivieren. Wenn maschinelles Lernen deaktiviert ist, werden diese Regeln AWS WAF nicht ausgewertet.
Sowohl die angestrebte Schutzstufe als auch die AWS WAF ratenbasierte Regelaussage bieten eine Ratenbegrenzung. Einen Vergleich der beiden Optionen finden Sie unter. [Optionen zur Ratenbegrenzung in ratenbasierten Regeln und gezielten Bot-Kontrollregeln](waf-rate-limiting-options.md)
## Überlegungen zur Verwendung dieser Regelgruppe
Diese Regelgruppe ist Teil der intelligenten Schutzmaßnahmen zur Abwehr von Bedrohungen in. AWS WAF Weitere Informationen finden Sie unter [Intelligente Bedrohungsabwehr in AWS WAF](waf-managed-protections.md).
**Anmerkung**
Wenn Sie diese verwaltete Regelgruppe verwenden, werden Ihnen zusätzliche Gebühren berechnet. Weitere Informationen finden Sie unter [AWS WAF – Preise](https://aws.amazon.com/waf/pricing/).
Um Ihre Kosten niedrig zu halten und sicherzustellen, dass Sie Ihren Web-Traffic nach Ihren Wünschen verwalten, verwenden Sie diese Regelgruppe gemäß den Anweisungen unter[Bewährte Methoden für intelligente Bedrohungsabwehr in AWS WAF](waf-managed-protections-best-practices.md).
Wir aktualisieren regelmäßig unsere Modelle für maschinelles Lernen (ML) für die angestrebte Schutzstufe, um die ML-basierten Regeln zu verbessern, um die Bot-Vorhersagen zu verbessern. Die Namen der ML-basierten Regeln beginnen mit. `TGT_ML_` Wenn Sie eine plötzliche und wesentliche Änderung der Bot-Vorhersagen aufgrund dieser Regeln feststellen, kontaktieren Sie uns über Ihren Kundenbetreuer oder eröffnen Sie einen Fall im [AWS Support Center](https://console.aws.amazon.com/support/home#/).
## Von dieser Regelgruppe hinzugefügte Labels
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die für Regeln verfügbar sind, die nach dieser Regelgruppe in Ihrem Schutzpaket (Web-ACL) ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
### Token-Labels
Diese Regelgruppe verwendet AWS WAF Tokenverwaltung, um Webanfragen anhand des Status ihrer AWS WAF Token zu überprüfen und zu kennzeichnen. AWS WAF verwendet Token für die Nachverfolgung und Überprüfung von Clientsitzungen.
Hinweise zu Token und Tokenverwaltung finden Sie unter[Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md).
Informationen zu den hier beschriebenen Label-Komponenten finden Sie unter[Anforderungen an Labelsyntax und Benennung in AWS WAF](waf-rule-label-requirements.md).
**Bezeichnung der Clientsitzung**
Das Label `awswaf:managed:token:id:identifier` enthält eine eindeutige Kennung, anhand derer die AWS WAF Tokenverwaltung die Clientsitzung identifiziert. Die Kennung kann sich ändern, wenn der Client ein neues Token erwirbt, beispielsweise nachdem er das Token, das er verwendet hat, verworfen hat.
**Anmerkung**
AWS WAF meldet keine CloudWatch Amazon-Metriken für dieses Label.
**Fingerabdruck-Label des Browsers**
Das Etikett `awswaf:managed:token:fingerprint:fingerprint-identifier` enthält eine robuste Browser-Fingerabdruck-ID, die das AWS WAF Token-Management aus verschiedenen Client-Browsersignalen berechnet. Diese Kennung bleibt auch bei mehreren Token-Akquisitionsversuchen gleich. Die Fingerabdruck-ID ist nicht eindeutig für einen einzelnen Client.
**Anmerkung**
AWS WAF meldet keine CloudWatch Amazon-Metriken für dieses Label.
**Token-Statusbezeichnungen: Namespace-Präfixe für Labels**
Token-Statusbezeichnungen geben Auskunft über den Status des Tokens und der darin enthaltenen Challenge- und CAPTCHA-Informationen.
Jedes Token-Statuslabel beginnt mit einem der folgenden Namespace-Präfixe:
+ `awswaf:managed:token:`— Wird verwendet, um den allgemeinen Status des Tokens und den Status der Challenge-Informationen des Tokens zu melden.
+ `awswaf:managed:captcha:`— Wird verwendet, um über den Status der CAPTCHA-Informationen des Tokens zu berichten.
**Token-Statusbezeichnungen: Labelnamen**
Nach dem Präfix enthält der Rest des Labels detaillierte Informationen zum Token-Status:
+ `accepted`— Das Anforderungstoken ist vorhanden und enthält Folgendes:
+ Eine gültige Challenge oder CAPTCHA-Lösung.
+ Eine noch nicht abgelaufene Herausforderung oder ein CAPTCHA-Zeitstempel.
+ Eine Domainspezifikation, die für das Protection Pack (Web-ACL) gültig ist.
Beispiel: Das Label `awswaf:managed:token:accepted` gibt an, dass das Token der Webanfragen eine gültige Challenge-Lösung, einen noch nicht abgelaufenen Challenge-Zeitstempel und eine gültige Domain enthält.
+ `rejected`— Das Anforderungstoken ist vorhanden, erfüllt aber nicht die Akzeptanzkriterien.
Zusammen mit dem abgelehnten Label fügt die Tokenverwaltung einen benutzerdefinierten Label-Namespace und einen Namen hinzu, um den Grund anzugeben.
+ `rejected:not_solved`— Dem Token fehlt die Challenge- oder CAPTCHA-Lösung.
+ `rejected:expired`— Der Challenge- oder CAPTCHA-Zeitstempel des Tokens ist gemäß den konfigurierten Token-Immunitätszeiten Ihres Schutzpakets (Web-ACL) abgelaufen.
+ `rejected:domain_mismatch`— Die Domain des Tokens entspricht nicht der Token-Domain-Konfiguration Ihres Schutzpakets (Web-ACL).
+ `rejected:invalid`— Das angegebene Token AWS WAF konnte nicht gelesen werden.
Beispiel: Die beiden Bezeichnungen `awswaf:managed:captcha:rejected` deuten `awswaf:managed:captcha:rejected:expired` zusammen darauf hin, dass für die Anfrage keine gültige CAPTCHA-Lösung gefunden wurde, da der CAPTCHA-Zeitstempel im Token die im Schutzpaket (Web-ACL) konfigurierte Immunitätszeit des CAPTCHA-Tokens überschritten hat.
+ `absent`— Die Anfrage enthält das Token nicht oder der Token-Manager konnte es nicht lesen.
Beispiel: Das Label `awswaf:managed:captcha:absent` gibt an, dass die Anfrage das Token nicht enthält.
### Beschriftungen von Bot Control
Die von Bot Control verwaltete Regelgruppe generiert Labels mit dem Namespace-Präfix, `awswaf:managed:aws:bot-control:` gefolgt vom benutzerdefinierten Namespace und dem Labelnamen. Die Regelgruppe kann einer Anfrage mehr als ein Label hinzufügen.
Jedes Label spiegelt die Ergebnisse der Bot-Control-Regel wider:
+ `awswaf:managed:aws:bot-control:bot:`— Informationen über den Bot, der mit der Anfrage verknüpft ist.
+ `awswaf:managed:aws:bot-control:bot:name:`— Der Bot-Name, falls einer verfügbar ist, z. B. die benutzerdefinierten Namespaces`bot:name:slurp`, `bot:name:googlebot` und. `bot:name:pocket_parser`
+ `awswaf:managed:aws:bot-control:bot:name:`— Identifiziert den spezifischen Bot anhand des RFC-Produkt-Tokens aus der WBA-Signatur. Dies wird verwendet, um detaillierte benutzerdefinierte Regeln für bestimmte Bots zu erstellen. Erlauben Sie beispielsweise andere Crawler, `GoogleBot` aber setzen Sie deren Rate ein.
+ `awswaf:managed:aws:bot-control:bot:category:`— Die Bot-Kategorie, wie sie beispielsweise durch AWS WAF und definiert wird. `bot:category:search_engine` `bot:category:content_fetcher`
+ `awswaf:managed:aws:bot-control:bot:account:`— Nur für Bots, die Amazon Bedrock Agent Core verwenden. Dieses Label enthält einen undurchsichtigen Hash, der das AWS Konto, dem der Agent gehört, eindeutig identifiziert. Verwenden Sie dieses Label, um benutzerdefinierte Regeln zu erstellen, die Bots von bestimmten AWS Konten aus zulassen, blockieren oder einschränken, ohne dass Konten in Protokollen offengelegt werden. IDs
+ `awswaf:managed:aws:bot-control:bot:web_bot_auth:`— Wird angewendet, wenn die Validierung der Web-Bot-Authentifizierung (WBA) für eine Anfrage durchgeführt wird. Das Statussuffix gibt das Ergebnis der Überprüfung an:
+ `web_bot_auth:verified`— Die Signatur wurde erfolgreich anhand des Verzeichnisses mit öffentlichen Schlüsseln validiert
+ `web_bot_auth:invalid`— Signatur vorhanden, aber die kryptografische Validierung ist fehlgeschlagen
+ `web_bot_auth:expired`— Für die Signatur wurde ein abgelaufener kryptografischer Schlüssel verwendet
+ `web_bot_auth:unknown_bot`— Die Schlüssel-ID wurde im Schlüsselverzeichnis nicht gefunden
**Anmerkung**
Wenn das `web_bot_auth:verified` Label vorhanden ist, stimmen die `CategoryAI` und `TGT_TokenAbsent` -Regeln nicht überein, sodass verifizierte WBA-Hosts fortfahren können.
+ `awswaf:managed:aws:bot-control:bot:organization:`— Der Herausgeber des Bots, zum Beispiel. `bot:organization:google`
+ `awswaf:managed:aws:bot-control:bot:verified`— Wird verwendet, um auf einen Bot hinzuweisen, der sich selbst identifiziert und den Bot Control verifizieren konnte. Dies wird für gängige wünschenswerte Bots verwendet und kann in Kombination mit Kategoriekennzeichnungen wie `bot:category:search_engine` oder Namenskennzeichnungen wie `bot:name:googlebot` nützlich sein.
**Anmerkung**
Bot Control verwendet die IP-Adresse aus der Herkunft der Webanfrage, um festzustellen, ob ein Bot verifiziert ist. Sie können es nicht so konfigurieren, dass es die AWS WAF weitergeleitete IP-Konfiguration verwendet, um eine andere IP-Adressquelle zu überprüfen. Wenn Sie Bots verifiziert haben, die über einen Proxy oder Load Balancer weiterleiten, können Sie zu diesem Zweck eine Regel hinzufügen, die vor der Regelgruppe Bot Control ausgeführt wird. Konfigurieren Sie Ihre neue Regel so, dass sie die weitergeleitete IP-Adresse verwendet und Anfragen von verifizierten Bots explizit zulässt. Informationen zur Verwendung weitergeleiteter IP-Adressen finden Sie unter[Verwendung weitergeleiteter IP-Adressen in AWS WAF](waf-rule-statement-forwarded-ip-address.md).
+ `awswaf:managed:aws:bot-control:bot:vendor:`— Identifiziert den Anbieter oder Betreiber eines verifizierten Bots. Derzeit nur für Agentcore verfügbar. Wird verwendet, um benutzerdefinierte Regeln zu erstellen, die bestimmte Bot-Anbieter unabhängig von den einzelnen Bot-Namen zulassen oder blockieren.
+ `awswaf:managed:aws:bot-control:bot:user_triggered:verified`— Wird verwendet, um auf einen Bot hinzuweisen, der einem verifizierten Bot ähnelt, der aber möglicherweise direkt von Endbenutzern aufgerufen wird. Diese Bot-Kategorie wird nach den Bot-Kontrollregeln wie ein nicht verifizierter Bot behandelt.
+ `awswaf:managed:aws:bot-control:bot:developer_platform:verified`— Wird verwendet, um auf einen Bot hinzuweisen, der einem verifizierten Bot ähnelt, der aber von Entwicklerplattformen für die Skripterstellung verwendet wird, beispielsweise Google Apps Script. Diese Kategorie von Bots wird nach den Bot-Kontrollregeln wie ein nicht verifizierter Bot behandelt.
+ `awswaf:managed:aws:bot-control:bot:unverified`— Wird verwendet, um auf einen Bot hinzuweisen, der sich selbst identifiziert, sodass er benannt und kategorisiert werden kann, der aber keine Informationen veröffentlicht, anhand derer seine Identität unabhängig überprüft werden kann. Diese Arten von Bot-Signaturen können gefälscht werden und werden daher als nicht verifiziert behandelt.
+ `awswaf:managed:aws:bot-control:targeted: `— Wird für Labels verwendet, die spezifisch für die gezielten Schutzmaßnahmen von Bot Control sind.
+ `awswaf:managed:aws:bot-control:signal:`und `awswaf:managed:aws:bot-control:targeted:signal: ` — Wird in einigen Situationen verwendet, um zusätzliche Informationen zur Anfrage bereitzustellen.
Im Folgenden finden Sie Beispiele für Signalbezeichnungen. Diese Liste ist nicht vollständig:
+ `awswaf:managed:aws:bot-control:signal:cloud_service_provider:`— Gibt einen Clouddienstanbieter (CSP) für die Anfrage an. CSPs Beispiele hierfür sind `aws` für die Amazon Web Services Services-Infrastruktur, `gcp` für die Google Cloud Platform (GCP) -Infrastruktur, `azure` für Microsoft Azure-Cloud-Dienste und `oracle` für Oracle Cloud-Dienste.
+ `awswaf:managed:aws:bot-control:targeted:signal:browser_automation_extension`— Weist auf die Erkennung einer Browsererweiterung hin, die die Automatisierung unterstützt, z. B. Selenium IDE.
Dieses Label wird immer dann hinzugefügt, wenn ein Benutzer diese Art von Erweiterung installiert hat, auch wenn er sie nicht aktiv verwendet. Wenn Sie hierfür eine Regel zum Abgleich von Bezeichnungen implementieren, sollten Sie sich dieser Möglichkeit von Fehlalarmen in Ihrer Regellogik und Ihren Aktionseinstellungen bewusst sein. Sie könnten beispielsweise eine CAPTCHA Aktion anstelle von Label-Matches verwenden Block oder diesen Label-Abgleich mit anderen Label-Übereinstimmungen kombinieren, um Ihr Vertrauen zu erhöhen, dass Automatisierung verwendet wird.
+ `awswaf:managed:aws:bot-control:signal:automated_browser`— Zeigt an, dass die Anfrage Hinweise darauf enthält, dass der Client-Browser möglicherweise automatisiert ist.
+ `awswaf:managed:aws:bot-control:targeted:signal:automated_browser`— Weist darauf hin, dass das AWS WAF Token der Anfrage Hinweise darauf enthält, dass der Client-Browser automatisiert sein könnte.
Sie können alle Labels für eine Regelgruppe über die API abrufen, indem Sie aufrufen`DescribeManagedRuleGroup`. Die Kennzeichnungen werden in der Eigenschaft `AvailableLabels` in der Antwort aufgeführt.
Die von Bot Control verwaltete Regelgruppe wendet Kennzeichnungen auf eine Reihe verifizierbarer Bots an, die üblicherweise zulässig sind. Die Regelgruppe blockiert diese verifizierten Bots nicht. Wenn Sie möchten, können Sie sie oder einen Teil davon blockieren, indem Sie eine benutzerdefinierte Regel schreiben, die die Labels verwendet, die von der verwalteten Regelgruppe Bot Control zugewiesen wurden. Weitere Informationen und Beispiele finden Sie unter [AWS WAF Bot-Steuerung](waf-bot-control.md).
## Liste der Bot-Control-Regeln
In diesem Abschnitt sind die Bot-Control-Regeln aufgeführt.
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen das bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, um die Regeln zu umgehen.
Wenn Sie eine neue Bot-Klassifizierung für die Bot-Kontrolle beantragen möchten oder zusätzliche Informationen benötigen, die hier nicht behandelt werden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
| Regelname | Description |
| --- | --- |
| CategoryAdvertising | Prüft auf Bots, die zu Werbezwecken verwendet werden. Beispielsweise können Sie Werbedienste von Drittanbietern verwenden, die programmgesteuert auf Ihre Website zugreifen müssen. Regelaktion, die nur auf nicht verifizierte Bots angewendet wird: Block Labels: `awswaf:managed:aws:bot-control:bot:category:advertising` und `awswaf:managed:aws:bot-control:CategoryAdvertising` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategoryArchiver | Prüft auf Bots, die zu Archivierungszwecken verwendet werden. Diese Bots crawlen das Internet und erfassen Inhalte, um Archive zu erstellen. Regelaktion, die nur auf nicht verifizierte Bots angewendet wird: Block Labels: `awswaf:managed:aws:bot-control:bot:category:archiver` und `awswaf:managed:aws:bot-control:CategoryArchiver` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategoryContentFetcher | Prüft nach Bots, die die Website der Anwendung im Namen eines Benutzers besuchen, um Inhalte wie RSS-Feeds abzurufen oder Ihre Inhalte zu verifizieren oder zu validieren. Regelaktion, die nur auf nicht verifizierte Bots angewendet wird: Block Labels: `awswaf:managed:aws:bot-control:bot:category:content_fetcher` und `awswaf:managed:aws:bot-control:CategoryContentFetcher` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategoryEmailClient | Sucht nach Bots, die Links in E-Mails überprüfen, die auf die Website der Anwendung verweisen. Dazu können Bots gehören, die von Unternehmen und E-Mail-Anbietern betrieben werden, um Links in E-Mails zu verifizieren und verdächtige E-Mails zu kennzeichnen. Regelaktion, die nur auf nicht verifizierte Bots angewendet wird: Block Labels: `awswaf:managed:aws:bot-control:bot:category:email_client` und `awswaf:managed:aws:bot-control:CategoryEmailClient` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategoryHttpLibrary | Prüft auf Anfragen, die von Bots aus den HTTP-Bibliotheken verschiedener Programmiersprachen generiert wurden. Dazu können API-Anfragen gehören, die Sie zulassen oder überwachen möchten. Regelaktion, die nur auf nicht verifizierte Bots angewendet wird: Block Labels: `awswaf:managed:aws:bot-control:bot:category:http_library` und `awswaf:managed:aws:bot-control:CategoryHttpLibrary` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategoryLinkChecker | Prüft auf Bots, die nach defekten Links suchen. Regelaktion, die nur auf nicht verifizierte Bots angewendet wird: Block Labels: `awswaf:managed:aws:bot-control:bot:category:link_checker` und `awswaf:managed:aws:bot-control:CategoryLinkChecker` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategoryMiscellaneous | Sucht nach verschiedenen Bots, die nicht mit anderen Kategorien übereinstimmen. Regelaktion, gilt nur für nicht verifizierte Bots: Block Labels: `awswaf:managed:aws:bot-control:bot:category:miscellaneous` und `awswaf:managed:aws:bot-control:CategoryMiscellaneous` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategoryMonitoring | Prüft auf Bots, die zu Überwachungszwecken verwendet werden. Sie können beispielsweise Bot-Überwachungsdienste verwenden, die regelmäßig einen Ping-Befehl an die Website Ihrer Anwendung senden, um beispielsweise Leistung und Verfügbarkeit zu überwachen. Regelaktion, die nur auf nicht verifizierte Bots angewendet wird: Block Labels: `awswaf:managed:aws:bot-control:bot:category:monitoring` und `awswaf:managed:aws:bot-control:CategoryMonitoring` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategoryPagePreview | Prüft auf Bots, die Seitenvorschauen und Linkvorschauen generieren, wenn Inhalte auf Messaging-Plattformen, sozialen Medien oder Tools für die Zusammenarbeit geteilt werden. Regelaktion, die nur auf nicht verifizierte Bots angewendet wird: Block Labels: `awswaf:managed:aws:bot-control:bot:category:page_preview` und `awswaf:managed:aws:bot-control:CategoryPagePreview` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategoryScrapingFramework | Sucht nach Bots aus Web-Scraping-Frameworks, die zum Automatisieren des Crawlens und Extrahieren von Inhalten von Websites verwendet werden. Regelaktion, die nur auf nicht verifizierte Bots angewendet wird: Block Labels: `awswaf:managed:aws:bot-control:bot:category:scraping_framework` und `awswaf:managed:aws:bot-control:CategoryScrapingFramework` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategorySearchEngine | Sucht nach Suchmaschinen-Bots, die Websites crawlen, um Inhalte zu indexieren und die Informationen für Suchmaschinenergebnisse verfügbar zu machen. Regelaktion, gilt nur für nicht verifizierte Bots: Block Labels: `awswaf:managed:aws:bot-control:bot:category:search_engine` und `awswaf:managed:aws:bot-control:CategorySearchEngine` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategorySecurity | Prüft nach Bots, die Webanwendungen auf Sicherheitslücken scannen oder Sicherheitsüberprüfungen durchführen. Sie könnten beispielsweise einen Drittanbieter für Sicherheitslösungen beauftragen, der die Sicherheit Ihrer Webanwendung scannt, überwacht oder überprüft. Regelaktion, die nur auf nicht verifizierte Bots angewendet wird: Block Labels: `awswaf:managed:aws:bot-control:bot:category:security` und `awswaf:managed:aws:bot-control:CategorySecurity` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategorySeo | Prüft auf Bots, die für die Suchmaschinenoptimierung verwendet werden. Sie könnten beispielsweise Suchmaschinentools verwenden, die Ihre Website crawlen, um Ihre Platzierungen in Suchmaschinen zu verbessern. Regelaktion, die nur auf nicht verifizierte Bots angewendet wird: Block Labels: `awswaf:managed:aws:bot-control:bot:category:seo` und `awswaf:managed:aws:bot-control:CategorySeo` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategorySocialMedia | Sucht nach Bots, die von Social-Media-Plattformen verwendet werden, um Inhaltszusammenfassungen bereitzustellen, wenn Benutzer Ihre Inhalte teilen. Regelaktion, gilt nur für nicht verifizierte Bots: Block Labels: `awswaf:managed:aws:bot-control:bot:category:social_media` und `awswaf:managed:aws:bot-control:CategorySocialMedia` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategoryWebhooks | Prüft nach Bots, die automatische Benachrichtigungen und Datenaktualisierungen von einer Anwendung zur anderen über HTTP-Callbacks übermitteln. Regelaktion, die nur auf nicht verifizierte Bots angewendet wird: Block Labels: `awswaf:managed:aws:bot-control:bot:category:webhooks` und `awswaf:managed:aws:bot-control:CategoryWebhooks` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und ergreift keine Maßnahmen. Sie fügt jedoch den Bot-Namen und die Kategoriebezeichnung sowie die Bezeichnung hinzu`awswaf:managed:aws:bot-control:bot:verified`. |
| CategoryAI | Prüft nach Bots mit künstlicher Intelligenz (KI). Diese Regel wendet die Aktion auf alle Treffer an, unabhängig davon, ob die Bots verifiziert oder nicht verifiziert sind. Regelaktion: Block Labels: `awswaf:managed:aws:bot-control:bot:category:ai` und `awswaf:managed:aws:bot-control:CategoryAI` Bei verifizierten Bots entspricht die Regelgruppe dieser Regel und ergreift eine Aktion. Zusätzlich werden der Bot-Name und die Kategoriekennzeichnung, die Regelbeschriftung sowie die Bezeichnung hinzugefügt`awswaf:managed:aws:bot-control:bot:verified`. |
| SignalAutomatedBrowser | Überprüft Anfragen, die nicht von verifizierten Bots stammen, auf Anzeichen dafür, dass der Client-Browser möglicherweise automatisiert ist. Automatisierte Browser können zum Testen oder Scraping verwendet werden. Sie können diese Browsertypen beispielsweise verwenden, um Ihre Anwendungswebsite zu überwachen oder zu verifizieren. Regelaktion: Block Labels: `awswaf:managed:aws:bot-control:signal:automated_browser` und `awswaf:managed:aws:bot-control:SignalAutomatedBrowser` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und verwendet keine Signal- oder Regelbezeichnungen. |
| SignalKnownBotDataCenter | Überprüft Anfragen, die nicht von verifizierten Bots stammen, auf Indikatoren für Rechenzentren, die normalerweise von Bots genutzt werden. Regelaktion: Block Labels: `awswaf:managed:aws:bot-control:signal:known_bot_data_center` und `awswaf:managed:aws:bot-control:SignalKnownBotDataCenter` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und verwendet keine Signal- oder Regelbezeichnungen. |
| SignalNonBrowserUserAgent | Überprüft Anfragen, die nicht von verifizierten Bots stammen, auf User-Agent-Strings, die anscheinend nicht von einem Webbrowser stammen. Diese Kategorie kann API-Anfragen beinhalten. Regelaktion: Block Labels: `awswaf:managed:aws:bot-control:signal:non_browser_user_agent` und `awswaf:managed:aws:bot-control:SignalNonBrowserUserAgent` Bei verifizierten Bots entspricht die Regelgruppe nicht dieser Regel und verwendet keine Signal- oder Regelbezeichnungen. |
| TGT\$1VolumetricIpTokenAbsent | Prüft Anfragen, die nicht von verifizierten Bots stammen, mit 5 oder mehr Anfragen von einem einzelnen Client in den letzten 5 Minuten, die kein gültiges Challenge-Token enthalten. Informationen zu Tokens finden Sie unter[Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Es ist möglich, dass diese Regel bei einer Anfrage mit einem Token übereinstimmt, wenn bei Anfragen desselben Clients in letzter Zeit Token fehlten. Der Schwellenwert, für den diese Regel gilt, kann aufgrund der Latenz leicht variieren. Diese Regel behandelt fehlende Token anders als die Token-Kennzeichnung:`awswaf:managed:token:absent`. Das Token-Labeling kennzeichnet einzelne Anfragen, die kein Token haben. Diese Regel erfasst für jede Client-IP die Anzahl der Anfragen, denen ihr Token fehlt, und vergleicht sie mit Clients, die das Limit überschreiten. Regelaktion: Challenge Beschriftungen: `awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:ip:token_absent` und `awswaf:managed:aws:bot-control:TGT_VolumetricIpTokenAbsent` |
| TGT\$1TokenAbsent | Prüft Anfragen, die nicht von verifizierten Bots stammen und kein gültiges Challenge-Token enthalten. Informationen zu Tokens finden Sie unter[Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Regelaktion: Count Beschriftungen: `awswaf:managed:aws:bot-control:TGT_TokenAbsent` |
| TGT\$1VolumetricSession | Prüft innerhalb von 5 Minuten nach einer ungewöhnlich hohen Anzahl von Anfragen, die nicht von verifizierten Bots stammen und aus einer einzelnen Client-Sitzung stammen. Die Bewertung basiert auf einem Vergleich mit volumetrischen Standardbasislinien, bei dem historische Verkehrsmuster verwendet werden. AWS WAF Diese Prüfung gilt nur, wenn die Webanforderung über ein Token verfügt. Token werden Anfragen durch die Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Weitere Informationen finden Sie unter [Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Es kann 5 Minuten dauern, bis diese Regel wirksam wird, nachdem Sie sie aktiviert haben. Bot Control identifiziert anomales Verhalten in Ihrem Web-Traffic, indem es den aktuellen Traffic mit den von Ihnen berechneten Traffic-Baselines vergleicht. AWS WAF Regelaktion: CAPTCHA `awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:high`Labels: und `awswaf:managed:aws:bot-control:TGT_VolumetricSession` Die Regelgruppe wendet die folgenden Bezeichnungen auf Anfragen mit mittlerem und niedrigerem Volumen an, die über einem Mindestschwellenwert liegen. Für diese Stufen ergreift die Regel keine Aktion, unabhängig davon, ob der Client verifiziert ist: `awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:medium` und`awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:low`. |
| TGT\$1VolumetricSessionMaximum | Prüft innerhalb von 5 Minuten nach einer ungewöhnlich hohen Anzahl von Anfragen, die nicht von verifizierten Bots stammen und aus einer einzelnen Client-Sitzung stammen. Die Bewertung basiert auf einem Vergleich mit volumetrischen Standardbasislinien, bei dem historische Verkehrsmuster verwendet werden. AWS WAF Diese Regel gibt das maximale Vertrauen in die Bewertung an. Diese Prüfung gilt nur, wenn die Webanforderung ein Token enthält. Token werden Anfragen durch die Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Weitere Informationen finden Sie unter [Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Es kann 5 Minuten dauern, bis diese Regel wirksam wird, nachdem Sie sie aktiviert haben. Bot Control identifiziert anomales Verhalten in Ihrem Web-Traffic, indem es den aktuellen Traffic mit den von Ihnen berechneten Traffic-Baselines vergleicht. AWS WAF Regelaktion: Block `awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:maximum`Labels: und `awswaf:managed:aws:bot-control:TGT_VolumetricSessionMaximum` |
| TGT\$1SignalAutomatedBrowser | Überprüft die Tokens von Anfragen, die nicht von verifizierten Bots stammen, auf Anzeichen dafür, dass der Client-Browser möglicherweise automatisiert ist. Weitere Informationen finden Sie unter [AWS WAF Token-Eigenschaften](waf-tokens-details.md). Diese Prüfung gilt nur, wenn die Webanforderung ein Token enthält. Token werden Anfragen durch die Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Weitere Informationen finden Sie unter [Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Regelaktion: CAPTCHA Beschriftungen: `awswaf:managed:aws:bot-control:targeted:signal:automated_browser` und `awswaf:managed:aws:bot-control:TGT_SignalAutomatedBrowser` |
| TGT\$1SignalBrowserAutomationExtension | Prüft Anfragen, die nicht von verifizierten Bots stammen und auf das Vorhandensein einer Browsererweiterung hinweisen, die die Automatisierung unterstützt, wie z. B. Selenium IDE. Diese Regel gilt immer dann, wenn ein Benutzer diese Art von Erweiterung installiert hat, auch wenn er sie nicht aktiv verwendet. Diese Überprüfung gilt nur, wenn die Webanforderung ein Token enthält. Token werden Anfragen durch die Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Weitere Informationen finden Sie unter [Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Regelaktion: CAPTCHA Beschriftungen: `awswaf:managed:aws:bot-control:targeted:signal:browser_automation_extension` und `awswaf:managed:aws:bot-control:TGT_SignalBrowserAutomationExtension` |
| TGT\$1SignalBrowserInconsistency | Überprüft Anfragen, die nicht von verifizierten Bots stammen, auf inkonsistente Browser-Abfragedaten. Weitere Informationen finden Sie unter [AWS WAF Token-Eigenschaften](waf-tokens-details.md). Diese Prüfung gilt nur, wenn die Webanforderung ein Token enthält. Token werden Anfragen durch die Anwendungsintegration SDKs und durch die Regelaktionen CAPTCHA und hinzugefügtChallenge. Weitere Informationen finden Sie unter [Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md). Regelaktion: CAPTCHA Beschriftungen: `awswaf:managed:aws:bot-control:targeted:signal:browser_inconsistency` und `awswaf:managed:aws:bot-control:TGT_SignalBrowserInconsistency` |
| TGT\$1ML\$1CoordinatedActivityLow, TGT\$1ML\$1CoordinatedActivityMedium, TGT\$1ML\$1CoordinatedActivityHigh | Prüft Anfragen, die nicht von verifizierten Bots stammen, auf ungewöhnliches Verhalten, das mit verteilten, koordinierten Bot-Aktivitäten übereinstimmt. Die Regelstufen geben an, mit welcher Sicherheit eine Gruppe von Anfragen an einem koordinierten Angriff beteiligt ist. Diese Regeln werden nur ausgeführt, wenn die Regelgruppe für maschinelles Lernen (ML) konfiguriert ist. Informationen zur Konfiguration dieser Auswahl finden Sie unter[Hinzufügen der von AWS WAF Bot Control verwalteten Regelgruppe zu Ihrer Web-ACL](waf-bot-control-rg-using.md). Die Schwellenwerte, für die diese Regeln gelten, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor die Regelaktion angewendet wird. AWS WAF führt diese Inspektion durch maschinelles Lernen durch, indem die Besucherstatistiken der Website analysiert werden. AWS WAF analysiert den Webverkehr alle paar Minuten und optimiert die Analyse für die Erkennung von Bots mit geringer Intensität und langer Dauer, die über viele IP-Adressen verteilt sind. Diese Regeln stimmen möglicherweise bei einer sehr kleinen Anzahl von Anfragen überein, bevor festgestellt wird, dass kein koordinierter Angriff im Gange ist. Wenn Sie also nur ein oder zwei Übereinstimmungen sehen, sind die Ergebnisse möglicherweise falsch positiv. Wenn Sie jedoch feststellen, dass viele Spiele aufgrund dieser Regeln auftreten, handelt es sich wahrscheinlich um einen koordinierten Angriff. Es kann bis zu 24 Stunden dauern, bis diese Regeln in Kraft treten, nachdem Sie die gezielten Bot-Control-Regeln mit der ML-Option aktiviert haben. Bot Control identifiziert ungewöhnliches Verhalten in Ihrem Web-Traffic, indem es den aktuellen Traffic mit den berechneten Traffic-Baselines vergleicht. AWS WAF AWS WAF berechnet nur die Baselines, wenn Sie die gezielten Regeln von Bot Control mit der ML-Option verwenden. Die Erstellung aussagekräftiger Baselines kann bis zu 24 Stunden dauern. Wir aktualisieren unsere Modelle für maschinelles Lernen regelmäßig für diese Regeln, um die Bot-Vorhersagen zu verbessern. Wenn Sie eine plötzliche und wesentliche Änderung der Bot-Vorhersagen, die diese Regeln enthalten, feststellen, wenden Sie sich an Ihren Kundenbetreuer oder eröffnen Sie einen Fall im [AWS Support Center](https://console.aws.amazon.com/support/home#/). Regelaktionen: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/waf/latest/developerguide/aws-managed-rule-groups-bot.html) Labels: `awswaf:managed:aws:bot-control:targeted:aggregate:coordinated_activity:low\|medium\|high` und `awswaf:managed:aws:bot-control:TGT_ML_CoordinatedActivityLow\|Medium\|High` |
| TGT\$1TokenReuseIpLow, TGT\$1TokenReuseIpMedium, TGT\$1TokenReuseIpHigh | Prüft Anfragen, die nicht von verifizierten Bots zur Verwendung eines einzelnen Tokens unter mehreren IPs in den letzten 5 Minuten stammen. Jede Stufe hat ein Limit für die Anzahl verschiedener: IPs [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/waf/latest/developerguide/aws-managed-rule-groups-bot.html) Die Schwellenwerte, für die diese Regeln gelten, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor die Regelaktion angewendet wird. Regelaktionen: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/waf/latest/developerguide/aws-managed-rule-groups-bot.html) Labels: `awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:token_reuse:ip:low\|medium\|high` und `awswaf:managed:aws:bot-control:TGT_TokenReuseIpLow\|Medium\|High` |
| TGT\$1TokenReuseCountryLow, TGT\$1TokenReuseCountryMedium, TGT\$1TokenReuseCountryHigh | Prüft Anfragen, die nicht von verifizierten Bots zur Verwendung eines einzelnen Tokens stammen, in den letzten 5 Minuten in mehreren Ländern. Jede Stufe hat eine Obergrenze für die Anzahl der verschiedenen Länder: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/waf/latest/developerguide/aws-managed-rule-groups-bot.html) Die Schwellenwerte, für die diese Regeln gelten, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor die Regelaktion angewendet wird. Regelaktionen: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/waf/latest/developerguide/aws-managed-rule-groups-bot.html) Labels: `awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:token_reuse:country:low\|medium\|high` und `awswaf:managed:aws:bot-control:TGT_TokenReuseCountryLow\|Medium\|High` |
| TGT\$1TokenReuseAsnLow, TGT\$1TokenReuseAsnMedium, TGT\$1TokenReuseAsnHigh | Prüft in den letzten 5 Minuten Anfragen, die nicht von verifizierten Bots für die Verwendung eines einzelnen Tokens für mehrere autonome Netzwerksystemnummern (ASNs) stammen. Jede Stufe hat ein Limit für die Anzahl verschiedener: ASNs [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/waf/latest/developerguide/aws-managed-rule-groups-bot.html) Die Schwellenwerte, für die diese Regeln gelten, können aufgrund der Latenz leicht variieren. Bei einigen Anfragen wird möglicherweise das Limit überschritten, bevor die Regelaktion angewendet wird. Regelaktionen: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/waf/latest/developerguide/aws-managed-rule-groups-bot.html) Labels: `awswaf:managed:aws:bot-control:targeted:aggregate:volumetric:session:token_reuse:asn:low\|medium\|high` und `awswaf:managed:aws:bot-control:TGT_TokenReuseAsnLow\|Medium\|High` |
# AWS WAF Regelgruppe zur Verhinderung von Distributed Denial of Service (DDoS)
In diesem Abschnitt wird die AWS WAF verwaltete Regelgruppe zum Schutz vor Distributed Denial of Service (DDoS) -Angriffen beschrieben.
VendorName:`AWS`, Name:`AWSManagedRulesAntiDDoSRuleSet`, WCU: 50
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen alles bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Die verwaltete DDo Anti-S-Regelgruppe enthält Regeln zur Erkennung und Verwaltung von Anfragen, die an DDo S-Angriffen beteiligt sind oder wahrscheinlich daran beteiligt sind. Darüber hinaus kennzeichnet die Regelgruppe alle Anfragen, die sie während eines wahrscheinlichen Ereignisses bewertet.
## Überlegungen zur Verwendung dieser Regelgruppe
Diese Regelgruppe bietet sanfte und harte Abhilfemaßnahmen für Webanfragen, die an Ressourcen gesendet werden, die einem DDo S-Angriff ausgesetzt sind. Um unterschiedliche Bedrohungsstufen zu erkennen, können Sie die Empfindlichkeit beider Schutzarten auf hohe, mittlere oder niedrige Verdachtsstufen einstellen.
+ **Weiche Abwehr** — Die Regelgruppe kann als Antwort auf Anfragen, die die Herausforderung interstitiell bewältigen können, automatische Browseranfragen senden. Informationen zu den Anforderungen für die Ausführung der Herausforderung finden Sie unter. [CAPTCHAund Challenge Handlungsverhalten](waf-captcha-and-challenge-actions.md)
+ **Harte Abwehr** — Die Regelgruppe kann Anfragen vollständig blockieren.
Weitere Informationen zur Funktionsweise und Konfiguration der Regelgruppe finden Sie unter[Erweiterter DDo Anti-S-Schutz mithilfe der verwalteten AWS WAF DDo Anti-S-Regelgruppe](waf-anti-ddos-advanced.md).
**Anmerkung**
Ihnen werden zusätzliche Gebühren berechnet, wenn Sie diese verwaltete Regelgruppe verwenden. Weitere Informationen finden Sie unter [AWS WAF – Preise](https://aws.amazon.com/waf/pricing/).
Diese Regelgruppe ist Teil der intelligenten Schutzmaßnahmen zur Abwehr von Bedrohungen in. AWS WAF Weitere Informationen finden Sie unter [Intelligente Bedrohungsabwehr in AWS WAF](waf-managed-protections.md).
Verwenden Sie diese Regelgruppe gemäß den Richtlinien für bewährte Verfahren, um die Kosten zu minimieren und das Verkehrsmanagement zu optimieren. Siehe [Bewährte Methoden für intelligente Bedrohungsabwehr in AWS WAF](waf-managed-protections-best-practices.md).
## Von dieser Regelgruppe hinzugefügte Bezeichnungen
Diese verwaltete Regelgruppe fügt den Webanforderungen, die sie auswertet, Labels hinzu, die für Regeln verfügbar sind, die nach dieser Regelgruppe in Ihrem Schutzpaket (Web-ACL) ausgeführt werden. AWS WAF zeichnet die Labels auch anhand von CloudWatch Amazon-Metriken auf. Allgemeine Informationen zu Labels und Label-Metriken finden Sie unter [Etikettierung von Webanfragen](waf-labels.md) und[Kennzeichnen Sie Metriken und Dimensionen](waf-metrics.md#waf-metrics-label).
### Token-Labels
Diese Regelgruppe verwendet AWS WAF Tokenverwaltung, um Webanfragen anhand des Status ihrer AWS WAF Token zu überprüfen und zu kennzeichnen. AWS WAF verwendet Token für die Nachverfolgung und Überprüfung von Clientsitzungen.
Hinweise zu Token und Tokenverwaltung finden Sie unter[Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr](waf-tokens.md).
Informationen zu den hier beschriebenen Label-Komponenten finden Sie unter[Anforderungen an Labelsyntax und Benennung in AWS WAF](waf-rule-label-requirements.md).
**Bezeichnung der Clientsitzung**
Das Label `awswaf:managed:token:id:identifier` enthält eine eindeutige Kennung, anhand derer die AWS WAF Tokenverwaltung die Clientsitzung identifiziert. Die Kennung kann sich ändern, wenn der Client ein neues Token erwirbt, beispielsweise nachdem er das Token, das er verwendet hat, verworfen hat.
**Anmerkung**
AWS WAF meldet keine CloudWatch Amazon-Metriken für dieses Label.
**Fingerabdruck-Label des Browsers**
Das Etikett `awswaf:managed:token:fingerprint:fingerprint-identifier` enthält eine robuste Browser-Fingerabdruck-ID, die das AWS WAF Token-Management aus verschiedenen Client-Browsersignalen berechnet. Diese Kennung bleibt auch bei mehreren Token-Akquisitionsversuchen gleich. Die Fingerabdruck-ID ist nicht eindeutig für einen einzelnen Client.
**Anmerkung**
AWS WAF meldet keine CloudWatch Amazon-Metriken für dieses Label.
**Token-Statusbezeichnungen: Namespace-Präfixe für Labels**
Token-Statusbezeichnungen geben Auskunft über den Status des Tokens und der darin enthaltenen Challenge- und CAPTCHA-Informationen.
Jedes Token-Statuslabel beginnt mit einem der folgenden Namespace-Präfixe:
+ `awswaf:managed:token:`— Wird verwendet, um den allgemeinen Status des Tokens und den Status der Challenge-Informationen des Tokens zu melden.
+ `awswaf:managed:captcha:`— Wird verwendet, um über den Status der CAPTCHA-Informationen des Tokens zu berichten.
**Token-Statusbezeichnungen: Labelnamen**
Nach dem Präfix enthält der Rest des Labels detaillierte Informationen zum Token-Status:
+ `accepted`— Das Anforderungstoken ist vorhanden und enthält Folgendes:
+ Eine gültige Challenge oder CAPTCHA-Lösung.
+ Eine noch nicht abgelaufene Herausforderung oder ein CAPTCHA-Zeitstempel.
+ Eine Domainspezifikation, die für das Protection Pack (Web-ACL) gültig ist.
Beispiel: Das Label `awswaf:managed:token:accepted` gibt an, dass das Token der Webanfragen eine gültige Challenge-Lösung, einen noch nicht abgelaufenen Challenge-Zeitstempel und eine gültige Domain enthält.
+ `rejected`— Das Anforderungstoken ist vorhanden, erfüllt aber nicht die Akzeptanzkriterien.
Zusammen mit dem abgelehnten Label fügt die Tokenverwaltung einen benutzerdefinierten Label-Namespace und einen Namen hinzu, um den Grund anzugeben.
+ `rejected:not_solved`— Dem Token fehlt die Challenge- oder CAPTCHA-Lösung.
+ `rejected:expired`— Der Challenge- oder CAPTCHA-Zeitstempel des Tokens ist gemäß den konfigurierten Token-Immunitätszeiten Ihres Schutzpakets (Web-ACL) abgelaufen.
+ `rejected:domain_mismatch`— Die Domain des Tokens entspricht nicht der Token-Domain-Konfiguration Ihres Schutzpakets (Web-ACL).
+ `rejected:invalid`— Das angegebene Token AWS WAF konnte nicht gelesen werden.
Beispiel: Die beiden Bezeichnungen `awswaf:managed:captcha:rejected` deuten `awswaf:managed:captcha:rejected:expired` zusammen darauf hin, dass für die Anfrage keine gültige CAPTCHA-Lösung gefunden wurde, da der CAPTCHA-Zeitstempel im Token die Immunitätszeit des CAPTCHA-Tokens überschritten hat, die im Schutzpaket (Web-ACL) konfiguriert ist.
+ `absent`— Die Anfrage enthält das Token nicht oder der Token-Manager konnte es nicht lesen.
Beispiel: Das Label `awswaf:managed:captcha:absent` gibt an, dass die Anfrage das Token nicht enthält.
### DDoAnti-S-Etiketten
Die verwaltete DDo Anti-S-Regelgruppe generiert Labels mit dem Namespace-Präfix, `awswaf:managed:aws:anti-ddos:` gefolgt von einem beliebigen benutzerdefinierten Namespace und dem Labelnamen. Jedes Etikett spiegelt einen Aspekt der Anti-S-Ergebnisse widerDDo.
Die Regelgruppe kann einer Anfrage zusätzlich zu den Bezeichnungen, die durch einzelne Regeln hinzugefügt werden, mehr als eines der folgenden Labels hinzufügen.
+ `awswaf:managed:aws:anti-ddos:event-detected`— Zeigt an, dass die Anforderung an eine geschützte Ressource geht, für die die verwaltete Regelgruppe ein DDo S-Ereignis erkennt. Die verwaltete Regelgruppe erkennt Ereignisse, wenn der Datenverkehr zur Ressource erheblich von der Datenverkehrsbasis der Ressource abweicht.
Die Regelgruppe fügt dieses Label jeder Anfrage hinzu, die an die Ressource gesendet wird, während sie sich in diesem Status befindet, sodass legitimer Datenverkehr und Angriffsverkehr diese Bezeichnung erhalten.
+ `awswaf:managed:aws:anti-ddos:ddos-request`— Zeigt an, dass die Anfrage von einer Quelle stammt, von der vermutet wird, dass sie an einem Ereignis teilgenommen hat.
Zusätzlich zur allgemeinen Bezeichnung fügt die Regelgruppe die folgenden Bezeichnungen hinzu, die das Konfidenzniveau angeben.
`awswaf:managed:aws:anti-ddos:low-suspicion-ddos-request`— Weist auf eine wahrscheinliche DDo S-Angriffsanforderung hin.
`awswaf:managed:aws:anti-ddos:medium-suspicion-ddos-request`— Weist auf eine sehr wahrscheinliche DDo S-Angriffsanforderung hin.
`awswaf:managed:aws:anti-ddos:high-suspicion-ddos-request`— Weist auf eine DDo S-Angriffsanforderung mit hoher Wahrscheinlichkeit hin.
+ `awswaf:managed:aws:anti-ddos:challengeable-request`— Zeigt an, dass der Anforderungs-URI die Challenge Aktion verarbeiten kann. Die verwaltete Regelgruppe wendet dies auf jede Anfrage an, deren URI nicht ausgenommen ist. URIs sind ausgenommen, wenn sie den regulären Ausdrücken der ausgenommenen URI der Regelgruppe entsprechen.
Informationen zu den Anforderungen für Anfragen, die eine automatische Browser-Anfrage annehmen können, finden Sie unter[CAPTCHAund Challenge Handlungsverhalten](waf-captcha-and-challenge-actions.md).
Sie können alle Labels für eine Regelgruppe über die API abrufen, indem Sie aufrufen`DescribeManagedRuleGroup`. Die Kennzeichnungen werden in der Eigenschaft `AvailableLabels` in der Antwort aufgeführt.
Die verwaltete DDo Anti-S-Regelgruppe wendet Labels auf Anfragen an, reagiert aber nicht immer darauf. Die Verwaltung von Anfragen hängt von der Zuverlässigkeit ab, mit der die Regelgruppe die Teilnahme an einem Angriff feststellt. Wenn Sie möchten, können Sie Anfragen verwalten, die von der Regelgruppe gekennzeichnet werden, indem Sie eine Regel für den Labelabgleich hinzufügen, die nach der Regelgruppe ausgeführt wird. Weitere Informationen und Beispiele finden Sie unter [AWS WAF Verhinderung von Distributed Denial of Service (DDoS)](waf-anti-ddos.md).
## Liste der DDo Anti-S-Regeln
In diesem Abschnitt sind die DDo Anti-S-Regeln aufgeführt.
**Anmerkung**
Diese Dokumentation behandelt die neueste statische Version dieser verwalteten Regelgruppe. Wir melden Versionsänderungen im Changelog-Protokoll unter[AWS Änderungsprotokoll für verwaltete Regeln](aws-managed-rule-groups-changelog.md). Für Informationen zu anderen Versionen verwenden Sie den API-Befehl [DescribeManagedRuleGroup](https://docs.aws.amazon.com/waf/latest/APIReference/API_DescribeManagedRuleGroup.html).
Die Informationen, die wir für die Regeln in den Regelgruppen „ AWS Verwaltete Regeln“ veröffentlichen, sollen Ihnen alles bieten, was Sie für die Verwendung der Regeln benötigen, ohne dass böswillige Akteure das benötigen, um die Regeln zu umgehen.
Wenn Sie mehr Informationen benötigen, als Sie hier finden, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
| Regelname | Description |
| --- | --- |
| ChallengeAllDuringEvent | Findet Anfragen, die das Label `awswaf:managed:aws:anti-ddos:challengeable-request` für eine geschützte Ressource tragen, die derzeit angegriffen wird. Regelaktion: Challenge Sie können diese Regelaktion nur mit Allow oder überschreibenCount. Die Verwendung von Allow wird nicht empfohlen. Bei jeder Einstellung für Regelaktionen entspricht die Regel nur Anfragen, die das `challengeable-request` Label tragen. Die Konfiguration dieser Regel wirkt sich auf die Auswertung der nächsten Regel aus`ChallengeDDoSRequests`. AWS WAF wertet diese Regel nur aus, wenn für die Aktion für diese Regel in der Web-ACL-Konfiguration der verwalteten Regelgruppe Override auf gesetzt ist. Count Wenn Ihr Workload anfällig für unerwartete Änderungen des Anforderungsvolumens ist, empfehlen wir, alle anfechtbaren Anfragen herauszufordern, indem Sie die Standardeinstellung für Aktionen beibehalten. Challenge Für weniger sensible Anwendungen können Sie die Aktion für diese Regel auf festlegen Count und dann die Sensitivität Ihrer Challenge Antworten anhand der Regel `ChallengeDDoSRequests` anpassen. Beschriftungen: `awswaf:managed:aws:anti-ddos:ChallengeAllDuringEvent` |
| ChallengeDDoSRequests | Findet Anfragen für eine geschützte Ressource, die die von der Regelgruppe konfigurierte Einstellung zur Sensitivität von Sicherheitsbedrohungen erfüllen oder überschreiten, wenn die Ressource angegriffen wird. Regelaktion: Challenge Sie können diese Regelaktion nur mit Allow oder überschreibenCount. Die Verwendung von Allow wird nicht empfohlen. In jedem Fall entspricht die Regel nur Anfragen, die das `challengeable-request` Label tragen. AWS WAF wertet diese Regel nur aus, wenn Sie die Aktion Count in der vorherigen Regel überschreiben. `ChallengeAllDuringEvent` Beschriftungen: `awswaf:managed:aws:anti-ddos:ChallengeDDoSRequests` |
| DDoSRequests | Findet Anfragen nach einer geschützten Ressource, die die für die Regelgruppe konfigurierte Einstellung zur Blocksensitivität erfüllen oder überschreiten, wenn die Ressource angegriffen wird. Regelaktion: Block Beschriftungen: `awswaf:managed:aws:anti-ddos:DDoSRequests` |