Cómo funciona el etiquetado en AWS WAF - AWS WAF, AWS Firewall ManagerAWS Shield Advanced, y director AWS Shield de seguridad de red

Presentamos una nueva experiencia de consola para AWS WAF

Ahora puede usar la experiencia actualizada para acceder a las AWS WAF funciones desde cualquier parte de la consola. Para obtener más información, consulta Trabajar con la experiencia de consola actualizada.

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cómo funciona el etiquetado en AWS WAF

En esta sección se explica cómo funcionan AWS WAF las etiquetas.

Cuando una regla coincide con una solicitud web, si la regla tiene etiquetas definidas, AWS WAF agrega las etiquetas a la solicitud al final de la evaluación de la regla. Las reglas que se evalúan después de la regla coincidente en el paquete de protección o en la ACL web pueden coincidir con las etiquetas que la regla ha agregado.

Quién añade etiquetas a las solicitudes

El paquete de protección o los componentes de la ACL web que evalúan las solicitudes pueden añadir etiquetas a las solicitudes.

  • Cualquier regla que no sea una instrucción de referencia de un grupo de reglas puede agregar etiquetas a las solicitudes web coincidentes. Los criterios de etiquetado forman parte de la definición de la regla y, cuando una solicitud web coincide con la regla, AWS WAF agrega las etiquetas de la regla a la solicitud. Para obtener información, consulte AWS WAF reglas que añaden etiquetas.

  • La instrucción de la regla de coincidencia geográfica agrega etiquetas de país y región a todas las solicitudes que inspecciona, independientemente de si encuentra o no una coincidencia. Para obtener información, consulte Instrucción de regla de coincidencia geográfica.

  • Las reglas AWS gestionadas para AWS WAF todos añaden etiquetas a las solicitudes que inspeccionan. Agregan algunas etiquetas en función de las coincidencias de reglas en el grupo de reglas y otras en función de los procesos de AWS que utilizan los grupos de reglas administradas, como el etiquetado de token que se agrega cuando se usa un grupo de reglas de mitigación de amenazas inteligente. Para obtener información sobre las etiquetas que agrega cada grupo de reglas administradas, consulte AWS Lista de grupos de reglas de Managed Rules.

¿Cómo AWS WAF gestiona las etiquetas

AWS WAF agrega las etiquetas de la regla a la solicitud al final de la inspección de la solicitud por parte de la regla. El etiquetado forma parte de las actividades de coincidencia de una regla, de forma similar a la acción.

Las etiquetas no se conservan en la solicitud web una vez finalizada la evaluación del paquete de protección o de la ACL web. Para que otras reglas coincidan con una etiqueta que añada por la regla, la acción de la regla no debe terminar la evaluación de la solicitud web por parte del paquete de protección o de la ACL web. La acción de regla debe estar establecida en Count, CAPTCHA, o Challenge. Cuando la evaluación del paquete de protección o de la ACL web no termina, las reglas subsiguientes del paquete de protección o de la ACL web pueden ejecutar sus criterios de coincidencia de etiquetas con la solicitud. Para obtener más información sobre las acciones de las reglas, consulte Uso de acciones de reglas en AWS WAF.

Acceda a las etiquetas durante la evaluación del paquete de protección o de la ACL web

Una vez agregadas, las etiquetas permanecen disponibles en la solicitud siempre que AWS WAF se evalúe la solicitud con respecto al paquete de protección o a la ACL web. Cualquier regla de un paquete de protección o ACL web puede acceder a las etiquetas agregadas por las reglas que ya se han ejecutado en el mismo paquete de protección o ACL web. Esto incluye las reglas que se definen directamente en el paquete de protección o ACL web y las reglas definidas dentro de los grupos de reglas que se utilizan en el paquete de protección o en la ACL web.

  • Para hacer coincidir los criterios de inspección de la solicitud de la regla con una etiqueta, utilice la instrucción de concordancia de etiquetas. Puede compararla con cualquier etiqueta que se adjunte a la solicitud. Para obtener información detallada sobre la instrucción, consulte Instrucción de regla de coincidencia de etiquetas.

  • La declaración de coincidencia geográfica agrega etiquetas con o sin coincidencia, pero solo están disponibles después de que la declaración que contiene el paquete de protección o la regla de ACL web haya completado la evaluación de la solicitud.

    • No puede usar una sola regla, por ejemplo, una instrucción lógica AND, para ejecutar una instrucción de concordancia geográfica seguida de una instrucción de concordancia de etiquetas con las etiquetas geográficas. Debe colocar la instrucción de coincidencia de etiquetas en una regla independiente que se ejecute después de la regla que contiene la instrucción de coincidencia geográfica.

    • Si utiliza una instrucción de coincidencia geográfica como una instrucción de restricción de acceso dentro de una instrucción de regla basada en tasas o una instrucción de referencia de un grupo de reglas administradas, las etiquetas que agrega la instrucción de coincidencia geográfica no están disponibles para que las inspeccione la instrucción de la regla contenedora. Si necesita inspeccionar el etiquetado geográfico en una instrucción de regla basada en tasas o en un grupo de reglas, debe ejecutar la instrucción de coincidencia geográfica en una regla independiente que se ejecute de antemano.

Acceda a la información de las etiquetas fuera del paquete de protección o de la evaluación de la ACL web

Las etiquetas no persisten con la solicitud web una vez finalizada la evaluación del paquete de protección o de la ACL web, sino que AWS WAF registran la información de las etiquetas en los registros y en las métricas.

Su paquete de protección o evaluación de ACL web puede aplicar más de 100 etiquetas a una solicitud web y compararlas con más de 100 etiquetas, pero AWS WAF solo registra las 100 primeras de los registros y las métricas.