Limitación de tasa y listas de reputación

Una regla basada en tasa cuenta las peticiones que cumplen unos criterios dentro de una ventana de tiempo y, al superar el límite, aplica su acción a las siguientes. En AWS WAF la ventana puede ser de 60, 120, 300 o 600 segundos, con 300 por defecto, y el límite mínimo es 10. La cuenta se hace por grupo de agregación: por defecto, la dirección IP de origen, aunque admite otras claves.

Sirve contra lo que se detecta por frecuencia: pruebas masivas de contraseñas, abuso de una función cara, raspado. No sirve como defensa principal contra una inundación de volumen, que se gestiona antes, en la protección de red, ni contra una sola petición maliciosa, que es trabajo de las reglas de contenido.

La regla del login permite 100 peticiones por dirección en una ventana de cinco minutos. Todo lo que supera esa cifra recibe la acción de la regla. Para saber cuántas direcciones habrían sido frenadas en la ventana revisada, se compara la columna de peticiones con el límite y se cuenta lo que lo excede. Una dirección con exactamente el límite no lo ha superado.

Abre regla-de-tasa.json para ver el límite de la regla de login y peticiones-login-5min.csv para las cifras.

La dirección de origen no equivale a una persona. Detrás de una sola dirección pueden estar los empleados de una oficina, los clientes de una operadora móvil o una red universitaria, todos compartiendo salida. Bloquear por frecuencia a una de esas salidas castiga a decenas de usuarios legítimos por lo que hacen todos juntos.

El campo de usuarios distintos ayuda a distinguirlo: un robot que prueba contraseñas suele insistir con una sola cuenta o con muchas respuestas de error; una salida compartida muestra muchos usuarios y respuestas de éxito.

Las listas de direcciones propias son una comodidad que envejece mal. Se añade un permitido para una agencia durante unas pruebas y nadie lo quita; una excepción creada «por unos días» sigue abierta años después. Cada entrada debería llevar un motivo y una fecha de vigencia, y una revisión periódica comparar esa fecha con el día de hoy.

Las listas de reputación gestionadas funcionan distinto: las mantiene el proveedor con direcciones que ha visto atacar a otros, y no hay que revisarlas una a una, pero tampoco sustituyen a las propias. Para esta tarea hace falta la fecha de la revisión, que está en el encargo.

La salida compartida de la tarea anterior sigue siendo un problema para una regla que cuenta por dirección. Subir el límite para todos debilita la regla contra los robots, y meter la dirección en la lista de permitidos deja a esa red sin ninguna protección. La respuesta de fondo es contar con una clave más precisa, o con una combinación, de modo que cada usuario o sesión tenga su propio contador, y mantener la dirección como parte de la clave.

Eso tiene un costo: cuantas más claves se usan, más capacidad consume la regla. Por eso se aplica donde importa, sobre la ruta del login, no sobre todo el sitio.