CAPTCHAund Challenge Handlungsverhalten - AWS WAF, AWS Firewall ManagerAWS Shield Advanced, und Direktor für AWS Shield Netzwerksicherheit

Wir stellen vor: ein neues Konsolenerlebnis für AWS WAF

Sie können das aktualisierte Erlebnis jetzt verwenden, um überall in der Konsole auf AWS WAF Funktionen zuzugreifen. Weitere Details finden Sie unter Arbeiten mit der aktualisierten Konsolenerfahrung.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

CAPTCHAund Challenge Handlungsverhalten

In diesem Abschnitt wird erklärt, was die Challenge Aktionen CAPTCHA und bewirken.

Wenn eine Webanforderung den Prüfkriterien einer Regel mit CAPTCHA oder einer Challenge Aktion entspricht, AWS WAF wird anhand des Status des Tokens und der Konfiguration der Immunitätszeit festgelegt, wie die Anfrage behandelt werden soll. AWS WAF berücksichtigt auch, ob die Anfrage die CAPTCHA-Puzzle- oder Challenge-Skriptinterstitials verarbeiten kann. Die Skripts sind so konzipiert, dass sie als HTML-Inhalt behandelt werden können, und sie können nur von einem Client korrekt verarbeitet werden, der HTML-Inhalt erwartet.

Anmerkung

Ihnen werden zusätzliche Gebühren berechnet, wenn Sie die Challenge Regelaktion CAPTCHA oder in einer Ihrer Regeln oder als Überschreibung von Regelaktionen in einer Regelgruppe verwenden. Weitere Informationen finden Sie unter AWS WAF  – Preise.

Wie die Aktion mit der Webanfrage umgeht

AWS WAF wendet die Challenge Aktion CAPTCHA oder wie folgt auf eine Webanforderung an:

  • Gültiges Token — AWS WAF behandelt dies ähnlich wie eine Count Aktion. AWS WAF wendet alle Labels an und fordert Anpassungen an, die Sie für die Regelaktion konfiguriert haben, und setzt dann die Auswertung der Anfrage anhand der verbleibenden Regeln im Protection Pack oder der Web-ACL fort.

  • Fehlendes, ungültiges oder abgelaufenes Token — beendet AWS WAF die Prüfung der Anfrage durch das Protection Pack oder die Web-ACL und verhindert, dass sie an das vorgesehene Ziel weitergeleitet wird.

    AWS WAF generiert eine Antwort, die entsprechend dem Aktionstyp der Regel an den Client zurückgesendet wird:

    • Challenge— AWS WAF schließt Folgendes in die Antwort ein:

      • Den Header x-amzn-waf-action mit einem Wert von challenge.

        Anmerkung

        Für Javascript-Anwendungen, die im Clientbrowser ausgeführt werden, ist dieser Header nur innerhalb der Domäne der Anwendung verfügbar. Der Header ist nicht für den domänenübergreifenden Abruf verfügbar. Einzelheiten finden Sie im folgenden Abschnitt.

      • Den HTTP-Statuscode 202 Request Accepted.

      • Wenn die Anfrage einen Accept Header mit dem Wert von enthälttext/html, enthält die Antwort ein JavaScript Seiteninterstitial mit einem Challenge-Skript.

    • CAPTCHA— AWS WAF beinhaltet Folgendes in der Antwort:

      • Den Header x-amzn-waf-action mit einem Wert von captcha.

        Anmerkung

        Für Javascript-Anwendungen, die im Clientbrowser ausgeführt werden, ist dieser Header nur innerhalb der Domäne der Anwendung verfügbar. Der Header ist nicht für den domänenübergreifenden Abruf verfügbar. Einzelheiten finden Sie im folgenden Abschnitt.

      • Den HTTP-Statuscode 405 Method Not Allowed.

      • Wenn die Anfrage einen Accept Header mit dem Wert von enthälttext/html, enthält die Antwort ein JavaScript Seiteninterstitial mit einem CAPTCHA-Skript.

Informationen zur Konfiguration des Ablaufs des Tokens auf Schutzpaket-, Web-ACL- oder Regelebene finden Sie unter. Einstellen der Ablaufzeiten von Zeitstempeln und Token-Immunitätszeiten in AWS WAF

Header sind für JavaScript Anwendungen, die im Clientbrowser ausgeführt werden, nicht verfügbar

Wenn AWS WAF auf eine Client-Anfrage mit einem CAPTCHA oder einer Challenge-Antwort geantwortet wird, sind keine CORS-Header (Cross-Origin Resource Sharing) enthalten. CORS-Header sind eine Reihe von Zugriffskontroll-Headern, die dem Client-Webbrowser mitteilen, welche Domänen, HTTP-Methoden und HTTP-Header von Anwendungen verwendet werden können. JavaScript Ohne CORS-Header erhalten JavaScript Anwendungen, die in einem Clientbrowser ausgeführt werden, keinen Zugriff auf HTTP-Header und können daher den in den Antworten und angegebenen x-amzn-waf-action Header nicht lesen. CAPTCHA Challenge

Was bewirken die Challenge und die CAPTCHA-Interstitials

Wenn ein Challenge-Interstitial ausgeführt wird, nachdem der Client erfolgreich geantwortet hat und er noch kein Token hat, initialisiert das Interstitial eines dafür. Dann aktualisiert es das Token mit dem Zeitstempel für die Problemlösung.

Wenn ein CAPTCHA-Interstitial ausgeführt wird und der Client noch kein Token hat, ruft das CAPTCHA-Interstitial zuerst das Challenge-Skript auf, um den Browser herauszufordern und das Token zu initialisieren. Dann führt das Interstitial sein CAPTCHA-Puzzle aus. Wenn der Endbenutzer das Rätsel erfolgreich gelöst hat, aktualisiert das Interstitial das Token mit dem CAPTCHA-Lösungszeitstempel.

In beiden Fällen sendet das Skript, nachdem der Client erfolgreich geantwortet hat und das Skript das Token aktualisiert hat, die ursprüngliche Webanfrage unter Verwendung des aktualisierten Tokens erneut.

Sie können konfigurieren, wie mit Tokens AWS WAF umgegangen wird. Weitere Informationen finden Sie unter Verwendung von Token bei der AWS WAF intelligenten Bedrohungsabwehr.