亚马逊AWS官方博客
·
如何为 AWS WAF 速率限制的 IP 配置固定封禁时长
内容提要
本文介绍了如何通过 AWS Lambda、DynamoDB 和 WAF IPSet 实现 AWS WAF 的速率限制规则，添加可配置的固定时长 IP 封禁。采用双通道检测架构，主通道实时监测被封禁 IP，备份通道通过 S3 日志捕获遗漏的 IP，从而提高了攻击者反复利用同一 IP 的难度，确保了更有效的防护。整体成本约为每月 $7。
关键要点
-
本文介绍如何通过 AWS Lambda、DynamoDB 和 WAF IPSet 实现 AWS WAF 的速率限制规则，添加可配置的固定时长 IP 封禁。
-
采用双通道检测架构，主通道实时监测被封禁 IP，备份通道通过 S3 日志捕获遗漏的 IP。
-
这种设计提高了攻击者反复利用同一 IP 的难度，确保了更有效的防护。
-
整体成本约为每月 $7，采用 Serverless 架构，具备近实时检测和自动解封能力。
-
方案通过两个互补的通道来检测和封禁违规 IP，主通道使用 GetSampledRequests API，备份通道处理 S3 日志。
-
每个 WAF IPSet 最多支持 10,000 个 IP 地址，CleanupFunction 确保过期 IP 被及时移除。
-
AWS WAF Rate-based Rules 能够实时检测和阻断高频流量，但原生不支持固定时长封禁。
延伸解读
双通道检测架构的优势
采用双通道检测架构，主通道通过 GetSampledRequests API 实现近实时监测，而备份通道利用 S3 日志捕获遗漏的 IP。这种设计有效降低了攻击者利用同一 IP 进行反复攻击的可能性，确保了更全面的防护。对于高频流量攻击，双通道的结合能够在攻击发生时及时响应，提升了系统的安全性。
成本效益分析
整体方案的月度成本约为 $7，采用 Serverless 架构，具备自动解封能力。相较于传统的防护措施，这种方案不仅降低了运维成本，还能根据流量动态调整资源使用，适应不同规模的攻击场景。对于中小型企业而言，这种低成本、高效能的防护方案尤为适用。
注意 API 限流与并发问题
在使用 AWS WAF 的过程中，需注意 API 的限流约束。GetSampledRequests 的限流为每账号每 Region 5 req/sec，UpdateIPSet 为 1 req/sec。在监控多个规则时，可能会面临超限风险。此外，多个 Lambda 函数同时调用 UpdateIPSet 可能导致乐观锁冲突，因此需要合理配置调用频率，以确保系统稳定运行。
延伸问答
如何通过 AWS WAF 实现固定时长的 IP 封禁？
可以通过 AWS Lambda、DynamoDB 和 WAF IPSet 结合使用，构建一个 Serverless 方案来实现可配置的固定时长 IP 封禁。
双通道检测架构的作用是什么？
双通道检测架构通过主通道实时监测被封禁 IP，备份通道通过 S3 日志捕获遗漏的 IP，从而提高了攻击者反复利用同一 IP 的难度。
该方案的整体成本是多少？
整体成本约为每月 $7，采用 Serverless 架构，具备近实时检测和自动解封能力。
AWS WAF 的 Rate-based Rules 有什么限制？
AWS WAF 的 Rate-based Rules 原生不支持固定时长封禁，封禁通常在请求频率回落后自动解除。
如何配置 AWS WAF 的日志投递？
可以通过选择 Amazon S3 作为日志目标，或通过 Amazon Data Firehose 将日志投递到 S3，确保日志格式一致。
CleanupFunction 的作用是什么？
CleanupFunction 每分钟主动移除过期的 IP，确保 DynamoDB 中的记录不会无限增长。
