迁移 Web ACL：其他注意事项 - Amazon WAF、Amazon Firewall Manager 和 Amazon Shield Advanced
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

迁移 Web ACL：其他注意事项

查看您的新 Web ACL，并考虑新 Amazon WAF 版本中提供的选项，以确保配置尽可能高效并使用最新的可用安全选项。

其他Amazon托管规则

考虑在 Web ACL 中实施额外的Amazon托管规则，以提高应用程序的安全状况。这些都包含Amazon WAF在内，不会产生额外的成本。 Amazon托管规则包含以下类型的规则组：

  • 基准规则组针对各种常见威胁提供了一般保护，例如阻止已知错误输入进入应用程序并防止访问管理页面。

  • 使用案例特定的规则组为许多不同的使用案例和环境提供增量保护。

  • IP 信誉列表基于客户端的源 IP 提供威胁情报。

有关更多信息，请参阅Amazon的托管规则Amazon WAF：

规则优化和清理

重新访问旧规则，并考虑通过重写它们或删除过时的规则来优化它们。例如，如果您过去部署了 OWASP 十大 Web 应用程序漏洞、《为使用 OWASP 十大 Web 应用程序漏洞做好准备》Amazon WAF和《我们的新白皮书》的技术p aper 文中的Amazon CloudFormation模板，则应考虑将其替换为Amazon托管规则。虽然文档中的概念仍然适用，可以帮助您编写自己的规则，但模板创建的规则已在很大程度上被Amazon托管规则所取代。

Amazon CloudWatch 指标和告警

重新访问您的亚马逊 CloudWatch 指标并根据需要设置警报。迁移不会带入 CloudWatch 警报，并且您的指标名称可能并不符合您需要。

与您的应用程序团队一起审核

与您的应用程序团队合作并检查安全状况。找出应用程序经常解析哪些字段，并添加规则以相应地清理输入。如果应用程序的业务逻辑无法处理边缘案例，请检查是否存在任何边缘案例，并添加规则以捕获这些案例。

规划切换

与您的应用程序团队一起规划切换的时间。从旧的 Web ACL 关联切换到新的 Web ACL 关联可能需要很少的时间才能传播到存储资源的所有区域。传播时间可以从几秒钟到几分钟不等。在此期间，一些请求将由旧的 Web ACL 处理，而其他请求将由新的 Web ACL 处理。在整个交换过程中，您的资源将受到保护，但是在切换过程中，您可能会注意到请求处理中的不一致性。

准备好切换时，请按照迁移 Web ACL：切换中的步骤操作。