Verbesserung des DDoS-Schutzes durch verlängerte IP-Sperrdauer mittels ratenbasierter AWS WAF-Regeln

Böswillige Akteure nutzten die begrenzte IP-Sperrdauer von AWS WAF aus, um DDoS-Angriffe nach der Entsperrung wieder aufzunehmen, was wiederkehrende Bedrohungen schuf. Die Verlängerung der Sperrdauer stellte Herausforderungen dar, um die Sicherheit mit dem Zugriff legitimen Datenverkehrs in Einklang zu bringen, große IP-Sets zu verwalten, ohne die WAF zu überlasten, und Echtzeit-Updates zur Aufrechterhaltung eines effektiven Schutzes zu gewährleisten.

Die Lösung nutzt AWS-Dienste wie AWS CloudFormation, Amazon EventBridge, AWS Lambda, Amazon S3 und AWS WAF, um die Sperrung bösartiger IPs zu automatisieren und zu verlängern.

1. Bereitstellung des AWS CloudFormation Templates:
   Wenn das AWS CloudFormation Template bereitgestellt wird, wird die Sperrdauer für bösartige IPs in der Konfiguration festgelegt. Dies stellt sicher, dass die Sperrfrist je nach Schwere des Angriffs und den spezifischen Anforderungen des Dienstes angepasst werden kann.
2. Verwendung von Amazon EventBridge und AWS Lambda:
   Eine Amazon EventBridge-Regel ist so eingestellt, dass sie jede Minute eine AWS Lambda-Funktion auslöst. Diese Lambda-Funktion fragt die ratenbasierte Regel ab, um derzeit blockierte IP-Adressen zu identifizieren. Die Funktion verwendet dann die GetRateBasedStatementManagedKeys API von AWS WAFv2, um die Liste der blockierten IPs abzurufen.
3. Speichern blockierter IPs in Amazon S3:
   Sobald die IP-Adressen identifiziert sind, speichert die Lambda-Funktion diese zusammen mit den zugehörigen Zeitstempeln in einem Amazon S3-Bucket. Diese Daten werden verwendet, um zu verfolgen, wie lange jede IP-Adresse blockiert wurde, und stellen sicher, dass IPs, die die konfigurierte Sperrfrist überschreiten, ordnungsgemäß entfernt werden.
4. Aktualisierung benutzerdefinierter IP-Sets:
   Die in der S3-Datei gespeicherten IP-Adressen werden dann verwendet, um benutzerdefinierte IP-Sets in AWS WAF zu aktualisieren. Diese Sets werden von einer benutzerdefinierten WAF-Regel referenziert, die IP-Adressen blockiert. Jedes Mal, wenn die Lambda-Funktion ausgeführt wird, fügt sie neu blockierte IP-Adressen zur S3-Datei hinzu und entfernt gleichzeitig IPs, deren Sperrdauer überschritten wurde. Die benutzerdefinierten IP-Sets werden entsprechend aktualisiert, um sicherzustellen, dass nur bösartige IPs blockiert bleiben.
5. Kontinuierliche Aktualisierung der IP-Sperrliste:
   Indem dieser Prozess jede Minute ausgeführt wird, stellt die Lösung sicher, dass bösartige IP-Adressen für die erforderliche Dauer blockiert bleiben, und verhindert gleichzeitig, dass die Sperrliste zu groß oder veraltet wird.

Bereitstellung der Lösung

1. CloudFormation Template herunterladen:
   Laden Sie das angepasste AWS CloudFormation Template herunter (customized-block-period-template.yaml) aus dem GitHub-Repository der Lösung.
2. Stack in der CloudFormation-Konsole erstellen:
   Navigieren Sie zur AWS CloudFormation-Konsole und erstellen Sie einen neuen Stack mithilfe der heruntergeladenen Vorlage. Detaillierte Anweisungen zur Stack-Erstellung finden Sie im CloudFormation-Benutzerhandbuch.
3. Stack-Details angeben:
   Auf der Stack-Details angeben -Seite geben Sie einen eindeutigen Stack-Namen ein und stellen die erforderlichen Parameter bereit, einschließlich der Blockierungsdauer und anderer Konfigurationseinstellungen, wie im Abschnitt „Voraussetzungen“ der Dokumentation beschrieben.
4. Ressourcenbereitstellung:
   Die Vorlage stellt mehrere AWS-Ressourcen bereit, darunter:some text
   • AWS WAF IP-Sets, die die blockierten IPs speichern.
   • Eine Amazon EventBridge-Regel, die die Lambda-Funktion in regelmäßigen Abständen auslöst.
   • Amazon S3-Buckets zum Speichern der blockierten IP-Adressen und ihrer Zeitstempel.
   • AWS IAM-Rollen mit Berechtigungen, die es Lambda-Funktionen ermöglichen, AWS WAF abzufragen und auf andere erforderliche Ressourcen zuzugreifen.
   • Die AWS Lambda-Funktion selbst, die die Logik zum Verfolgen und Aktualisieren der blockierten IP-Adressen ausführt.
5. WAF-Regel bereitstellen und anwenden:
   Die Bereitstellung dauert in der Regel weniger als 15 Minuten. Nachdem der Stack den Status CREATE_COMPLETEerreicht hat, können Sie eine benutzerdefinierte AWS WAF-Regel erstellen, um die benutzerdefinierten IP-Sets anzuwenden und die identifizierten bösartigen IPs zu blockieren.

1. Verbesserte Serviceverfügbarkeit: Durch die effektive Abwehr von DDoS-Angriffen bleibt die Verfügbarkeit geschäftskritischer Dienste, Websites und Anwendungen erhalten. Dies minimiert Dienstausfallzeiten, stellt sicher, dass legitime Nutzer kontinuierlichen Zugriff haben, und verbessert das gesamte Nutzererlebnis.
2. Schutz des Markenrufs: DDoS-Angriffe können dem Ruf eines Unternehmens erheblichen Schaden zufügen. Dienstunterbrechungen oder längere Ausfallzeiten können den Eindruck der Unzuverlässigkeit erwecken, was das Kundenvertrauen schädigt. Durch die proaktive Abwehr solcher Angriffe schützt das Unternehmen seine Marke, wahrt sein öffentliches Image und erhält die Kundenbindung aufrecht.
3. Kosteneinsparungen: DDoS-Angriffe verursachen oft erhebliche Kosten, einschließlich Abwehrmaßnahmen, rechtlicher Haftung und entgangener Einnahmen durch Dienstausfälle. Durch die präventive Verhinderung dieser Angriffe können Unternehmen die hohen Kosten vermeiden, die mit der Wiederherstellung nach einem Angriff und Betriebsunterbrechungen verbunden sind, was zu langfristigen Kosteneinsparungen führt. Darüber hinaus ist die Lösung durch die Nutzung von AWS-Diensten kosteneffizient und skalierbar, was die Betriebskosten weiter senkt.

Zusammenfassend lässt sich sagen, dass diese Lösung AWS-Tools und -Dienste nutzt, um die Einschränkungen der standardmäßigen ratenbasierten WAF-Regeln zu beheben, wodurch Unternehmen die Dauer von IP-Sperren effektiv verlängern können. Dies verbessert nicht nur die Sicherheit, sondern gewährleistet auch die Kontinuität des Dienstes, was sowohl die Kundenzufriedenheit als auch das Geschäftsergebnis des Unternehmens steigert.