AWS WAF Classic Regional ejemplos que utilizan AWS CLI

Para asociar una ACL web con un recurso

El siguiente comando associate-web-acl asocia una ACL web, especificada por web-acl-id, con un recurso, especificado por resource-arn. El ARN del recurso puede hacer referencia a un Equilibrador de carga de aplicación o a una puerta de enlace de la API:

aws waf-regional associate-web-acl \
    --web-acl-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --resource-arn 12cs345-67cd-890b-1cd2-c3a4567d89f1

Para obtener más información, consulte Trabajar con ACL web en la Guía para desarrolladores de AWS WAF.

Para crear una configuración de registro para el ARN de ACL web con el ARN de flujo de Kinesis Firehose especificado

El siguiente put-logging-configuration ejemplo muestra la configuración de registro para WAF con in Region. ALB/APIGateway us-east-1

aws waf-regional put-logging-configuration \
    --logging-configuration ResourceArn=arn:aws:waf-regional:us-east-1:123456789012:webacl/3bffd3ed-fa2e-445e-869f-a6a7cf153fd3,LogDestinationConfigs=arn:aws:firehose:us-east-1:123456789012:deliverystream/aws-waf-logs-firehose-stream,RedactedFields=[] \
    --region us-east-1

Salida:

{
    "LoggingConfiguration": {
        "ResourceArn": "arn:aws:waf-regional:us-east-1:123456789012:webacl/3bffd3ed-fa2e-445e-869f-a6a7cf153fd3",
        "LogDestinationConfigs": [
            "arn:aws:firehose:us-east-1:123456789012:deliverystream/aws-waf-logs-firehose-stream"
        ]
    }
}

Para actualizar un conjunto de coincidencias de bytes

El siguiente comando update-byte-match-set elimina un objeto ByteMatchTuple (filtro) de un ByteMatchSet. Como el valor updates tiene comillas dobles incrustadas, debe escribir el valor entre comillas simples.

aws waf-regional update-byte-match-set \
    --byte-match-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",ByteMatchTuple={FieldToMatch={Type="HEADER",Data="referer"},TargetString="badrefer1",TextTransformation="NONE",PositionalConstraint="CONTAINS"}'

Para obtener más información, consulte Trabajar con condiciones de coincidencia de cadena en la Guía para desarrolladores de AWS WAF.

Para actualizar un conjunto de IP

El siguiente comando update-ip-set actualiza un IPSet con una dirección IPv4 y elimina una dirección IPv6. Para obtener el valor de change-token, ejecute el comando get-change-token. Como el valor para las actualizaciones tiene comillas dobles incrustadas, debe escribir el valor entre comillas simples.

aws waf update-ip-set \
    --ip-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="INSERT",IPSetDescriptor={Type="IPV4",Value="12.34.56.78/16"},Action="DELETE",IPSetDescriptor={Type="IPV6",Value="1111:0000:0000:0000:0000:0000:0000:0111/128"}'

Como alternativa, puede utilizar un archivo JSON para especificar la entrada. Por ejemplo:

aws waf-regional update-ip-set \
    --ip-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1  \
    --updates file://change.json

Contenido del change.json

[
    {
        "Action": "INSERT",
        "IPSetDescriptor":
        {
            "Type": "IPV4",
            "Value": "12.34.56.78/16"
        }
    },
    {
        "Action": "DELETE",
        "IPSetDescriptor":
        {
            "Type": "IPV6",
            "Value": "1111:0000:0000:0000:0000:0000:0000:0111/128"
        }
    }
]

Para obtener más información, consulte Trabajar con condiciones de coincidencia de IP en la Guía para desarrolladores de AWS WAF.

Para actualizar una regla

El siguiente comando update-rule elimina un objeto Predicate de una regla. Como el valor updates tiene comillas dobles incrustadas, debe escribir el valor entero entre comillas simples.

aws waf-regional update-rule \
    --rule-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",Predicate={Negated=false,Type="ByteMatch",DataId="MyByteMatchSetID"}'

Para obtener más información, consulte Trabajar con reglas en la Guía para desarrolladores de AWS WAF.

Para actualizar un conjunto de restricciones de tamaño

El siguiente update-size-constraint-set comando elimina un objeto SizeConstraint `(filtros) de un conjunto de restricciones de tamaño. Como el valor updates tiene comillas dobles incrustadas, debe escribir el valor entero entre comillas simples.

aws waf-regional update-size-constraint-set \
    --size-constraint-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",SizeConstraint={FieldToMatch={Type="QUERY_STRING"},TextTransformation="NONE",ComparisonOperator="GT",Size=0}'

Para obtener más información, consulte Trabajar con condiciones de restricción de tamaño en la Guía para desarrolladores de AWS WAF.

Para actualizar un conjunto de coincidencias de inyección de código SQL

El siguiente comando update-sql-injection-match-set elimina un objeto SqlInjectionMatchTuple (filtros) de un conjunto de coincidencias de inyección de código SQL. Como el valor updates tiene comillas dobles incrustadas, debe escribir el valor entero entre comillas simples.

aws waf-regional update-sql-injection-match-set --sql-injection-match-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 --updates 'action="delete», = {= {type="query_string "}, ="URL_DECODE"} 'SqlInjectionMatchTupleFieldToMatchTextTransformation

Para obtener más información, consulte Trabajar con condiciones de coincidencia de inyección de código SQL en la Guía para desarrolladores de AWS WAF.

Para actualizar una ACL web

El siguiente comando update-web-acl elimina un objeto ActivatedRule de una WebACL. Como el valor updates tiene comillas dobles incrustadas, debe escribir el valor entero entre comillas simples.

aws waf-regional update-web-acl \
    --web-acl-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates Action="DELETE",ActivatedRule='{Priority=1,RuleId="WAFRule-1-Example",Action={Type="ALLOW"},Type="ALLOW"}'

Para obtener más información, consulte Trabajar con ACL web en la Guía para desarrolladores de AWS WAF.

Para actualizar un XSSMatchSet

El siguiente comando update-xss-match-set elimina un objeto XssMatchTuple (filtros) de un XssMatchSet. Como el valor updates tiene comillas dobles incrustadas, debe escribir el valor entero entre comillas simples.

aws waf-regional update-xss-match-set \
    --xss-match-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",XssMatchTuple={FieldToMatch={Type="QUERY_STRING"},TextTransformation="URL_DECODE"}'

Para obtener más información, consulte Cómo trabajar con las condiciones de coincidencia Cross-site de secuencias de comandos en la Guía para desarrolladores AWS de WAF.