Bot Control y prevención de fraude en AWS WAF - Implementación de protección contra bots y prevención de apropiación de cuentas
Detecta scrapers y herramientas de automatización con Bot Control, y previene credential stuffing con ATP. También presentamos el diseño de experiencia de usuario con challenges y CAPTCHA.
Descripción general de Bot Control
Bot Control de AWS WAF es un grupo de reglas gestionadas que detecta y gestiona el tráfico de bots hacia aplicaciones web. El nivel Common detecta bots comunes (bibliotecas HTTP, scrapers, escáneres de seguridad), y el nivel Targeted detecta bots avanzados (bots que imitan navegadores, bots distribuidos). A las solicitudes detectadas se les asignan etiquetas (como awswaf:managed:aws:bot-control:bot:category:scraping_framework), y se pueden configurar acciones personalizadas basadas en las etiquetas. Los crawlers de motores de búsqueda (como Googlebot) se incluyen automáticamente en la lista de permitidos, sin impacto en el SEO.
Account Takeover Prevention y Fraud Control
Account Takeover Prevention (ATP) monitorea la página de inicio de sesión y detecta credential stuffing (ataques de fuerza bruta usando listas de credenciales filtradas). ATP compara las solicitudes con una base de datos de credenciales robadas y bloquea o muestra CAPTCHA cuando hay coincidencia. También analiza los patrones de éxito/fallo de inicio de sesión y aplica automáticamente limitación de tasa a direcciones IP con tasas de fallo anormales. Account Creation Fraud Prevention (ACFP) monitorea la página de creación de cuentas y detecta la creación masiva de cuentas falsas. Combina la detección de direcciones de correo desechables, la detección de anomalías en patrones de creación y la verificación de navegador mediante JavaScript challenge para prevenir la creación fraudulenta de cuentas.
Diseño de challenges y CAPTCHA
El JavaScript challenge hace que el navegador del cliente ejecute JavaScript para verificar la legitimidad del navegador. Las herramientas de automatización (algunas versiones de Selenium, Puppeteer) fallan en el challenge y sus solicitudes son bloqueadas. CAPTCHA presenta un puzzle visual al usuario para confirmar que es humano. Dado que los challenges y CAPTCHA afectan la experiencia del usuario, se deben seleccionar cuidadosamente las páginas donde se aplican. Se recomienda un diseño que los limite a páginas con alto riesgo de fraude como páginas de inicio de sesión, creación de cuentas y pagos, sin aplicarlos a páginas de contenido general. Se configura el tiempo de inmunidad del challenge (período de exención después de pasar la verificación una vez) para reducir la carga sobre usuarios legítimos. Para explicaciones más detalladas sobre protección contra bots, también puede consultar libros relacionados en Amazon.
Precios de WAF Bot Control
El precio base de WAF es aproximadamente 5,00 USD mensuales por Web ACL, aproximadamente 1,00 USD mensual por regla, y aproximadamente 0,60 USD por millón de solicitudes. El nivel Common de Bot Control agrega aproximadamente 1,00 USD por millón de solicitudes, y el nivel Targeted agrega aproximadamente 10,00 USD. ATP (Account Takeover Prevention) cuesta aproximadamente 1,00 USD por cada 1.000 intentos de inicio de sesión, y ACFP cuesta aproximadamente 2,00 USD por cada 1.000 intentos de creación de cuentas. Dado que el nivel Targeted de Bot Control es costoso, se recomienda un diseño que lo limite a páginas con alto riesgo de fraude como inicio de sesión y pagos, aplicando el nivel Common a páginas de contenido general para gestionar los costos.
Resumen
Bot Control, ATP y ACFP de AWS WAF son reglas gestionadas que protegen las aplicaciones web contra bots y fraude. La evaluación flexible de reglas basada en etiquetas permite ajustar la precisión de detección, y los challenges y CAPTCHA equilibran la experiencia del usuario con la seguridad. Se integran con CloudFront y API Gateway para interceptar amenazas en la capa frontal de la aplicación.