Ein Unternehmen nutzt AWS WAF, um eine benutzerdefinierte öffentliche API zu schützen, die auf Amazon EC2 hinter einem Application Load Balancer läuft. Die Web-ACL verwendet eine AWS Managed Rules-Regelgruppe. Nach einem Software-Upgrade der API und ihres Clients schlagen einige Anfragen fehl und verursachen Instabilität. Die Protokollierung war in der Web-ACL nicht aktiviert. Der Sicherheitsingenieur aktiviert die AWS WAF-Protokollierung in Amazon CloudWatch Logs und muss den Dienst sofort wiederherstellen, das Problem identifizieren und sicherstellen, dass die Protokollierung in Zukunft nicht deaktiviert werden kann. Welche zusätzlichen Schritte sollte der Ingenieur unternehmen?

Die korrekte Antwort ist, die Web-ACL so zu aktualisieren, dass bestimmte Regeln die Aktion „Count“ verwenden, die Protokolle zu überprüfen, um die blockierende Regel zu identifizieren, und die IAM-Richtlinien für alle AWS WAF-Administratoren zu ändern, um das Entfernen von Protokollierungskonfigurationen für alle AWS WAF-Web-ACLs zu verhindern. Die „Count“-Aktion ermöglicht es, den Traffic durchzulassen, während die Regelübereinstimmungen protokolliert werden, was für die Identifizierung der blockierenden Regel unerlässlich ist, ohne den Dienst weiter zu beeinträchtigen. Nach der Identifizierung kann die Regel angepasst werden. Das Ändern der IAM-Richtlinien stellt sicher, dass die Protokollierung in Zukunft nicht deaktiviert werden kann, indem die Berechtigungen der Administratoren eingeschränkt werden. Die Verwendung von „Challenge“ ist in diesem Szenario nicht ideal, da sie Benutzerinteraktionen erfordert und den Dienst nicht sofort wiederherstellt. Eine AWS WAF-Ressourcenrichtlinie ist nicht der richtige Mechanismus, um Benutzerberechtigungen für das Entfernen von Protokollierungskonfigurationen zu steuern; dies wird durch IAM-Richtlinien auf Benutzerebene gehandhabt.