使用標準流量篩選器規則保護 AEM 網站

了解如何使用 Adobe 建議的標準流量篩選器則，在 AEM as a Cloud Service 中保護 AEM 網站不受阻斷服務 (DoS)、分散式阻斷服務 (DDoS) 攻擊與機器人濫用的侵害。

學習目標

實作概觀

實作步驟包括：

先決條件

繼續進行之前，請確保您已完成如何設定流量篩選器和 WAF 規則教學課程中所述的必要準備工作。此外，您已複製 AEM WKND 網站專案並將其部署至您的 AEM 環境。

規則的關鍵動作

在深入了解標準流量篩選器規則的詳細資料之前，我們先認識這些規則所執行的關鍵動作。每條規則中的 action 屬性定義流量篩選器在條件滿足時的回應方式。相關動作包括：

審閱和定義規則

以 Adobe 建議的標準流量篩選器規則做為識別潛在惡意流量模式的基礎層，透過記錄事件 (例如超出 IP 速率限制) 進行監視，並封鎖來自特定國家/地區的流量。這些記錄有助於團隊驗證臨界值和做出明智的決策，以便最終在不干擾合法流量的情況下，轉換為封鎖模式​規則。

讓我們審閱您應該新增到 AEM WKND 專案 /config/cdn.yaml 檔案的三個標準流量篩選器規則：

​1. 在邊緣防止 DoS 攻擊

此規則會在偵測到可能於 CDN 發生的阻斷服務 (DoS) 攻擊時​發送警報。當某個使用者在邊緣的每個 CDN POP (網路服務提供點) 超出​每秒 500 個要求 (以 10 秒為平均基準) 時，就會滿足推薦準則條件而觸發此規則。

其計算​ 所有的 ​要求，並按用戶端 IP 進行分類。

kind: "CDN"
version: "1"
metadata:
  envTypes: ["dev", "stage", "prod"]
data:
  trafficFilters:
    rules:
    - name: prevent-dos-attacks-edge
      when:
        reqProperty: tier
        equals: 'publish'
      rateLimit:
        limit: 500
        window: 10
        penalty: 300
        count: all
        groupBy:
          - reqProperty: clientIp
      action:
        type: log
        alert: true

action 屬性指定該規則應在條件滿足時，記錄事件並觸發警報。因此，那有助於監視潛在的阻斷服務 (DoS) 攻擊，卻不會封鎖合法流量。然而，您的目標是在驗證流量模式並調整臨界值之後，最終將此規則轉換為封鎖模式。

​2. 在來源防止 DoS 攻擊

此規則會在偵測到可能於來源發生的阻斷服務 (DoS) 攻擊時​發送警報。該推薦準則是某個使用者在來源的每個用戶端 IP 超過​每秒 100 個要求 (以 10 秒為平均基準) 時，即會觸發此規則。

其計算​擷取 (繞過快取的要求) 次數，並按用戶端 IP 進行分組。

...
    - name: prevent-dos-attacks-origin
      when:
        reqProperty: tier
        equals: 'publish'
      rateLimit:
        limit: 100
        window: 10
        penalty: 300
        count: fetches
        groupBy:
          - reqProperty: clientIp
      action:
        type: log
        alert: true

action 屬性指定該規則應在條件滿足時，記錄事件並觸發警報。因此，那有助於監視潛在的阻斷服務 (DoS) 攻擊，卻不會封鎖合法流量。然而，您的目標是在驗證流量模式並調整臨界值之後，最終將此規則轉換為封鎖模式。

​3. 封鎖 OFAC 國家/地區

此規則封鎖受到 OFAC 限制之特定國家/地區的存取。
您可以視情況所需審閱和修改國家/地區清單。

...
    - name: block-ofac-countries
      when:
        allOf:
          - { reqProperty: tier, in: ["author", "publish"] }
          - reqProperty: clientCountry
            in:
              - SY
              - BY
              - MM
              - KP
              - IQ
              - CD
              - SD
              - IR
              - LR
              - ZW
              - CU
              - CI
      action: block

action 屬性指定該規則應封鎖來自指定國家/地區的存取。這有助於您防止可能有安全性風險的地區存取您的 AEM 網站。

具有上述規則的完整 cdn.yaml 檔案顯示如下：

部署規則

若要部署上述規則，請依照以下步驟進行：

測試規則

為了驗證標準流量篩選器規則在 CDN Edge 和​ 來源 ​的有效性，可使用多功能的 HTTP 負載測試工具 Vegeta 模擬高要求流量。

審閱警報

在觸發流量篩選器規則時會產生警報。您可以在 AEM 行動中心審閱這些警報。

分析結果

您可以使用 AEMCS CDN 記錄和 ELK 儀表板工具分析流量篩選器規則的結果。依照 CDN 記錄攝取設定部分的指示，將 CDN 記錄攝取至 ELK 堆疊。

您可以在下方的螢幕截圖中，看到 AEM Dev 環境的 CDN 記錄已攝取至 ELK 堆疊。

在 ELK 應用程式中，CDN 流量儀表板​應該顯示在模擬 DoS 攻擊期間，Edge 和​ 來源 ​出現的流量峰值。

兩個面板​ 邊緣每個用戶端 IP 和 POP 的 RPS ​和​來源每個用 IP 和 POP 的 RPS 分別顯示邊緣和來源的每秒要求數 (RPS)，並依用戶端 IP 與網路服務提供點 (POP) 進行分組。

您也可以使用 CDN 流量儀表板中的其他面板來分析流量模式，例如​熱門用戶端 IP、熱門國家/地區​和​熱門使用者代理程式。這些面板有助於識別潛在威脅，並依此調整流量篩選器規則。

Splunk 整合

已將 Splunk 記錄轉送啟用的客戶可以建立新的儀表板來分析流量模式。

若要在 Splunk 中建立儀表板，請依照用於 AEMCS CDN 記錄分析的 Splunk 儀表板步驟。

下方的螢幕截圖展示一個 Splunk 儀表板範例，其中顯示每個 IP 的來源與邊緣最大要求數，有助於識別潛在的 DoS 攻擊。

調整改善規則的時機和方式

您的目標是避免封鎖合法流量，同時保護您的 AEM 網站不受潛在的威脅。標準流量篩選器規則是針對警告和記錄 (以及最終在模式切換時封鎖) 威脅所設計，並不會封鎖合法流量。

請考量以下步驟以調整改善規則：

摘要

在本教學課程可以了解如何使用 Adobe 建議的標準流量篩選器規則，在 AEM as a Cloud Service 中保護 AEM 網站不受阻斷服務 (DoS)、分散式阻斷服務 (DDoS) 攻擊與機器人濫用的侵害。

建議的 WAF 規則

了解如何實作 Adobe 建議的 WAF 規則，以保護您的 AEM 網站免於使用進階技術來繞過傳統安全措施的複雜威脅。

使用 WAF 流量篩選器規則保護 AEM 網站

了解如何使用 Adobe 建議的 Web 應用程式防火牆 (WAF) 流量篩選器規則，在 AEM as a Cloud Service 中保護網站不受包括 DoS、DDoS 及機器人濫用攻擊等在內的複雜威脅。

啟動 WAF

使用案例－超越標準規則

針對較進階的案例，您可以參考以下使用案例，了解如何根據特定業務需求實作自訂的流量篩選器規則。

監視敏感性要求

了解如何透過使用 AEM as a Cloud Service 中的流量篩選器規則記錄敏感性要求以進行監視。

了解更多

限制存取權

了解如何使用 AEM as a Cloud Service 中的流量篩選器規則封鎖特定要求以限制存取。

了解更多

標準化要求

了解如何在 AEM as a Cloud Service 中，透過流量篩選器規則轉換要求以進行標準化處理。

了解更多

其他資源