迁移保护包（web ACL）：其他注意事项 - AWS WAF、AWS Firewall Manager、AWS Shield Advanced 和 AWS Shield 网络安全分析器

介绍 AWS WAF 的全新控制台体验

现在，您可以使用更新后的体验访问控制台中任意位置的 AWS WAF 功能。有关更多详细信息，请参阅 使用更新的控制台体验。

迁移保护包（web ACL）：其他注意事项

查看新的保护包（web ACL），并考虑新 AWS WAF 版本中提供的选项，以确保配置尽可能高效并使用最新的可用安全选项。

其他 AWS 托管规则

考虑在保护包（web ACL）中实施其他 AWS 托管规则，以提高应用程序的安全状况。这些服务随 AWS WAF 提供，没有任何额外费用。AWS托管规则具有以下类型的规则组：

  • 基准规则组针对各种常见威胁提供了一般保护，例如阻止已知错误输入进入应用程序并防止访问管理页面。

  • 使用案例特定的规则组为许多不同的使用案例和环境提供增量保护。

  • IP 声誉列表基于客户端的源 IP 提供威胁情报。

有关更多信息，请参阅 适用于 AWS WAF 的 AWS 托管规则。

规则优化和清理

重新访问旧规则，并考虑通过重写它们或删除过时的规则来优化它们。例如，如果您在过去部署了《OWASP 十大 Web 应用程序漏洞》技术论文中提供的 AWS CloudFormation 模板（使用 AWS WAF 和我们的新白皮书为 OWASP 十大 Web 应用程序漏洞做准备），则应考虑将其替换为 AWS。虽然此论文中的概念仍然适用，并可帮助您编写自己的规则，但使用此模板创建的规则在很大程度上已被 AWS 托管规则取代。

Amazon CloudWatch 指标和警报

重新访问您的 Amazon CloudWatch 指标并根据需要设置警报。迁移不会带入 CloudWatch 警报，并且您的指标名称可能并不符合您需要。

与您的应用程序团队一起审核

与您的应用程序团队合作并检查安全状况。找出应用程序经常解析哪些字段，并添加规则以相应地清理输入。如果应用程序的业务逻辑无法处理边缘案例，请检查是否存在任何边缘案例，并添加规则以捕获这些案例。

规划切换

与您的应用程序团队一起规划切换的时间。从旧的保护包（web ACL）关联切换到新的保护包（web ACL）关联可能需要很少的时间才能传播到存储资源的所有区域。传播时间可以从几秒钟到几分钟不等。在此期间，有些请求将由旧的保护包（web ACL）处理，而其他请求将由新的保护包（web ACL）处理。在整个交换过程中，您的资源都将受到保护，但是您可能会注意到在切换进行期间请求处理存在不一致之处。

准备好切换时，请按照迁移保护包（web ACL）：切换中的步骤操作。