迁移 Web ACL：其他注意事项 - Amazon WAFAmazon Firewall Manager、和 Amazon Shield Advanced
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

迁移 Web ACL：其他注意事项

查看您的新 Web ACL 并考虑新 Amazon WAF 的 Web ACL 中可用的选项，以确保配置尽可能高效，并且使用的是最新的可用安全选项。

其他 Amazon 托管规则

考虑在 Web ACL 中实施其他 Amazon 托管规则，以提高应用程序的安全状况。这些都包含 Amazon WAF 在内，不收取额外费用。 Amazon 托管规则具有以下类型的规则组：

  • 基准规则组针对各种常见威胁提供了一般保护，例如阻止已知错误输入进入应用程序并防止访问管理页面。

  • 使用案例特定的规则组为许多不同的使用案例和环境提供增量保护。

  • IP 声誉列表基于客户端的源 IP 提供威胁情报。

有关更多信息，请参阅 Amazon 的托管规则 Amazon WAF。

规则优化和清理

重新访问旧规则，并考虑通过重写它们或删除过时的规则来优化它们。例如，如果您过去部署了技术论文《OWASP 十大 Web 应用程序漏洞》、《为 OWASP 十大 Web 应用程序漏洞使用做好准备》 Amazon WAF 和《我们的新白皮书》中的 Amazon CloudFormation 模板，则应考虑将其替换为托管规则。 Amazon 虽然文档中的概念仍然适用，可以帮助您编写自己的规则，但模板创建的规则在很大程度上已被 Amazon 托管规则所取代。

Amazon CloudWatch 指标和警报

重新访问您的 Amazon CloudWatch 指标并根据需要设置警报。迁移不会延续CloudWatch 警报，而且您的指标名称可能不是您想要的。

与您的应用程序团队一起审核

与您的应用程序团队合作并检查安全状况。找出应用程序经常解析哪些字段，并添加规则以相应地清理输入。如果应用程序的业务逻辑无法处理边缘案例，请检查是否存在任何边缘案例，并添加规则以捕获这些案例。

规划切换

与您的应用程序团队一起规划切换的时间。从旧的 Web ACL 关联切换到新的 Web ACL 关联可能需要很少的时间才能传播到存储资源的所有区域。传播时间可以从几秒钟到几分钟不等。在此期间，有些请求将由旧的 Web ACL 处理，而其他请求将由新的 Web ACL 处理。在整个交换过程中，您的资源都将受到保护，但是您可能会注意到在切换进行期间请求处理存在不一致之处。

准备好切换时，请按照迁移 Web ACL：切换中的步骤操作。