本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 功能和优势
<a name="features-and-benefits"></a>

AWS WAF 安全自动化解决方案提供以下功能和优势。

## 使用 AWS 托管规则规则组保护您的 Web 应用程序
<a name="secure-web-apps"></a>

 适用@@ [于 AWS WAF 的 AWS 托管规则](https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups.html)提供针对常见应用程序漏洞或其他有害流量的保护。该解决方案包括 [AWS 托管 IP 信誉规则组](https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-ip-rep.html)、[AWS 托管基准规则组](https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-baseline.html)和 [AWS 托管用例特定规则](https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-use-case.html)组。您可以选择为 Web ACL 选择一个或多个规则组，最高不超过 Web ACL 容量单位 (WCU) 的最大配额。

## 使用预定义的 HTTP Flood 自定义规则提供第 7 层洪水防护
<a name="layer-7"></a>

**HTTP Floo** d 自定义规则可在客户定义的时间段内抵御网络层分布式 Denial-of-Service (DDoS) 攻击。您可以选择以下选项之一来激活此规则：
+ AWS WAF 基于费率的规则
+ Lambda 日志解析器
+  [亚马逊 Athena 日志解](https://aws.amazon.com/athena/)析器

Lambda 日志解析器或 Athena 日志解析器选项允许您定义小于 100 的请求配额。这种方法可以帮助您不达到 AWS WAF 基于费[率](https://docs.aws.amazon.com/waf/latest/developerguide/waf-rule-statement-type-rate-based.html)的规则所要求的配额。有关更多信息，请参阅[日志解析器选项](log-parser-options.md)。

您还可以通过在筛选条件中添加国家/地区和统一资源标识符 (URI) 来增强 Athena 日志解析器。这种方法可以识别并阻止具有不可预测的 URI 模式的 HTTP 洪水攻击。有关更多信息，请参阅[在 HTTP Flood Athena 日志解析器中使用国家/地区和 URI](use-country-and-uri-in-http-flood-athena-log-parser.md)。

## 使用预定义的扫描器&amp;探测器自定义规则阻止对漏洞的利用
<a name="block-with-scanners-and-probes"></a>

Sc **anners &** Probes 自定义规则解析应用程序访问日志，以搜索可疑行为，例如源生成的异常错误。然后，它会在客户定义的一段时间内屏蔽这些可疑的源 IP 地址。您可以选择以下选项之一来激活此规则：Lambda 日志解析器或 Athena 日志解析器。有关更多信息，请参阅[日志解析器选项](log-parser-options.md)。

## 使用预定义的 Bad Bot 自定义规则检测和转移入侵
<a name="detect-and-deflect"></a>

Ba **d Bot** 自定义规则设置了 honeypot 端点，这是一种旨在引诱和转移未遂攻击的安全机制。您可以在网站中插入端点，以检测来自内容抓取工具和恶意机器人的入站请求。一旦检测到，来自相同来源的任何后续请求都将被阻止。有关更多信息，请参阅[在您的 Web 应用程序中嵌入 Honeypot 链接](embed-the-honeypot-link-in-your-web-application-optional.md)。

## 使用预定义 IP 信誉屏蔽恶意 IP 地址列表自定义规则
<a name="block-ip"></a>

**IP 信誉列表**自定义规则每小时都会检查第三方 IP 信誉列表，寻找要屏蔽的新 IP 范围。[这些列表包括 [Spamhaus](https://www.spamhaus.org/drop/) Don't Route Or Peer (DROP) 和 Extended DROP (EDROP) 列表、Proofpoint [新兴威胁 IP 列表和 Tor 退出节点列表](https://rules.emergingthreats.net/fwrules/emerging-Block-IPs.txt)。](https://check.torproject.org/exit-addresses)

## 使用预定义的允许和拒绝 IP 列表自定义规则，提供手动 IP 配置
<a name="manual-ip"></a>

**允许和拒绝的 IP 列表**自定义规则允许您手动插入要允许或拒绝的 IP 地址。您还可以将 “[允许的 IP” 和 “拒绝 IP” 列表上的 IP 保留](configure-ip-retention-on-allowed-and-denied-aws-waf-ip-sets.md)配置为在设定的时间使 IP 过期。

## 创建自己的监控控制面板
<a name="dashboard-ip"></a>

此解决方案会发布 [Amazon CloudWatch](https://aws.amazon.com/cloudwatch/) 指标，例如允许的请求、已阻止的请求和其他相关指标。您可以构建自定义控制面板来可视化这些指标，并深入了解 AWS WAF 提供的攻击模式和保护。有关更多信息，请参阅[生成监控面板](build-monitoring-dashboard.md)。