WAF标准规则：我们真的必须手动配置所有内容吗？

Question

我正在尝试使用Api网关配置WAF，而令我惊讶的是AWS没有提供规则模板（例如owasp前10名）。

例如，对于SQL注入，每个人都使用相同的规则吗？

您知道一种无需手动配置即可导入主要安全规则的方法吗？

Answer 1

据我所知，有一个市场产品称为 AWS Web应用防火墙的托管规则 [1]，它可以完全满足您的要求。有第三方卖家（更确切地说是AWS合作伙伴公司）为OWASP Top 10提供规则。[2]

该产品自2017年11月开始存在。[3]
有关现有规则范围的更多信息，请参见2018年更新的博客文章。[4]

在WAF服务中，相应的实现在文档中称为 AWS Marketplace规则组。 [5]

参考文献

[1] https://aws.amazon.com/marketplace/solutions/security/waf-managed-rules
[2] https://aws.amazon.com/marketplace/search/results?x=0&y=0&searchTerms=owasp
[3] https://aws.amazon.com/about-aws/whats-new/2017/11/ready-to-use-managed-rules-now-available-on-aws-waf/?nc1=h_ls
[4] https://aws.amazon.com/about-aws/whats-new/2018/02/new-products-for-managed-rules-on-aws-waf/?nc1=h_ls
[5] https://docs.aws.amazon.com/waf/latest/developerguide/waf-managed-rule-groups.html

Answer 2

OWASP Top 10模板可用，其余的都需要创建。

https://aws.amazon.com/about-aws/whats-new/2017/07/use-aws-waf-to-mitigate-owasps-top-10-web-application-vulnerabilities/

可通过以下网址获得模板：https://s3.us-east-2.amazonaws.com/awswaf-owasp/owasp_10_base.yml