AWS WAF Classic regionale esempi utilizzando AWS CLI

Come associare una lista di controllo degli accessi (ACL) a una risorsa

Il comando associate-web-acl seguente associa un WebACL, specificato da web-acl-id, a una risorsa specificata da resource-arn. L’ARN della risorsa può fare riferimento a un Application Load Balancer o a un Gateway API:

aws waf-regional associate-web-acl \
    --web-acl-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --resource-arn 12cs345-67cd-890b-1cd2-c3a4567d89f1

Per ulteriori informazioni, consulta Utilizzo delle ACL Web nella Guida per gli sviluppatori di AWS WAF.

Come creare una configurazione di registrazione di log per l’ARN WebACL con il flusso ARN di Kinesis Firehose specificato

L'put-logging-configurationesempio seguente mostra la configurazione di registrazione per WAF con ALB/APIGateway in Region. us-east-1

aws waf-regional put-logging-configuration \
    --logging-configuration ResourceArn=arn:aws:waf-regional:us-east-1:123456789012:webacl/3bffd3ed-fa2e-445e-869f-a6a7cf153fd3,LogDestinationConfigs=arn:aws:firehose:us-east-1:123456789012:deliverystream/aws-waf-logs-firehose-stream,RedactedFields=[] \
    --region us-east-1

Output:

{
    "LoggingConfiguration": {
        "ResourceArn": "arn:aws:waf-regional:us-east-1:123456789012:webacl/3bffd3ed-fa2e-445e-869f-a6a7cf153fd3",
        "LogDestinationConfigs": [
            "arn:aws:firehose:us-east-1:123456789012:deliverystream/aws-waf-logs-firehose-stream"
        ]
    }
}

Come aggiornare un set di corrispondenze di byte

Il comando update-byte-match-set seguente elimina un oggetto ByteMatchTuple (filtro) in un ByteMatchSet. Poiché il valore updates ha virgolette doppie incorporate, è necessario racchiudere il valore tra virgolette singole.

aws waf-regional update-byte-match-set \
    --byte-match-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",ByteMatchTuple={FieldToMatch={Type="HEADER",Data="referer"},TargetString="badrefer1",TextTransformation="NONE",PositionalConstraint="CONTAINS"}'

Per ulteriori informazioni, consulta Utilizzo di condizioni di corrispondenza per stringa nella Guida per gli sviluppatori di AWS WAF.

Come creare un set di IP

Il comando update-ip-set seguente aggiorna un IPSet con un indirizzo IPv4 ed elimina un indirizzo IPv6. Ottieni il valore per change-token eseguendo il comando get-change-token. Poiché il valore per gli aggiornamenti include virgolette doppie incorporate, è necessario racchiudere il valore tra virgolette singole.

aws waf update-ip-set \
    --ip-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="INSERT",IPSetDescriptor={Type="IPV4",Value="12.34.56.78/16"},Action="DELETE",IPSetDescriptor={Type="IPV6",Value="1111:0000:0000:0000:0000:0000:0000:0111/128"}'

In alternativa, è possibile utilizzare un file JSON per specificare l’input. Esempio:

aws waf-regional update-ip-set \
    --ip-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1  \
    --updates file://change.json

Contenuto di change.json

[
    {
        "Action": "INSERT",
        "IPSetDescriptor":
        {
            "Type": "IPV4",
            "Value": "12.34.56.78/16"
        }
    },
    {
        "Action": "DELETE",
        "IPSetDescriptor":
        {
            "Type": "IPV6",
            "Value": "1111:0000:0000:0000:0000:0000:0000:0111/128"
        }
    }
]

Per ulteriori informazioni, consulta Utilizzo di condizioni di corrispondenza IP nella Guida per gli sviluppatori di AWS WAF.

Come aggiornare una regola

Il comando update-rule seguente elimina un oggetto Predicate in una regola. Poiché il valore updates ha virgolette doppie incorporate, è necessario racchiudere l’intero valore tra virgolette singole.

aws waf-regional update-rule \
    --rule-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",Predicate={Negated=false,Type="ByteMatch",DataId="MyByteMatchSetID"}'

Per ulteriori informazioni, consulta Utilizzo delle regole nella Guida per gli sviluppatori di AWS WAF.

Come aggiornare un set di vincoli di dimensione

Il update-size-constraint-set comando seguente elimina un oggetto SizeConstraint `(filtri) in un set di vincoli di dimensione. Poiché il valore updates contiene virgolette doppie incorporate, è necessario racchiudere l’intero valore tra virgolette singole.

aws waf-regional update-size-constraint-set \
    --size-constraint-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",SizeConstraint={FieldToMatch={Type="QUERY_STRING"},TextTransformation="NONE",ComparisonOperator="GT",Size=0}'

Per ulteriori informazioni, consulta Utilizzo di condizioni per i vincoli di dimensioni nella Guida per gli sviluppatori di AWS WAF.

Come aggiornare un set di corrispondenze dell’iniezione SQL

Il comando update-sql-injection-match-set seguente elimina un oggetto SqlInjectionMatchTuple (filtri) in un set di corrispondenze dell’iniezione SQL. Poiché il valore updates contiene virgolette doppie incorporate, è necessario racchiudere l’intero valore tra virgolette singole.

aws waf-regional update-sql-injection-match-set --sql-injection-match-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 --updates 'action="delete», = {= {type="query_string "}, ="URL_DECODIFICA"} 'SqlInjectionMatchTupleFieldToMatchTextTransformation

Per ulteriori informazioni, consulta Utilizzo di condizioni di corrispondenza SQL injection nella Guida per gli sviluppatori di AWS WAF.

Come aggiornare una lista di controllo degli accessi (ACL) web

Il comando update-web-acl seguente elimina un oggetto ActivatedRule in un WebACL. Poiché il valore updates contiene virgolette doppie incorporate, è necessario racchiudere l’intero valore tra virgolette singole.

aws waf-regional update-web-acl \
    --web-acl-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates Action="DELETE",ActivatedRule='{Priority=1,RuleId="WAFRule-1-Example",Action={Type="ALLOW"},Type="ALLOW"}'

Per ulteriori informazioni, consulta Utilizzo delle ACL Web nella Guida per gli sviluppatori di AWS WAF.

Per aggiornare un XSSMatchSet

Il comando update-xss-match-set seguente elimina un oggetto XssMatchTuple (filtri) in un XssMatchSet. Poiché il valore updates contiene virgolette doppie incorporate, è necessario racchiudere l’intero valore tra virgolette singole.

aws waf-regional update-xss-match-set \
    --xss-match-set-id a123fae4-b567-8e90-1234-5ab67ac8ca90 \
    --change-token 12cs345-67cd-890b-1cd2-c3a4567d89f1 \
    --updates 'Action="DELETE",XssMatchTuple={FieldToMatch={Type="QUERY_STRING"},TextTransformation="URL_DECODE"}'

Per ulteriori informazioni, consulta Working with Cross-site Scripting Match Conditions nella AWS WAF Developer Guide.