View a markdown version of this page

Erweiterte Sicherheit mit Bedrohungsschutz - Amazon Cognito
Überlegungen und Einschränkungen beim Schutz vor BedrohungenDen Bedrohungsschutz in Benutzerpools aktivierenKonzepte zur Durchsetzung des BedrohungsschutzesOptionen zum Schutz vor BedrohungenVoraussetzungenKonfiguration des Bedrohungsschutzes

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erweiterte Sicherheit mit Bedrohungsschutz

Nachdem Sie Ihren Benutzerpool erstellt haben, haben Sie im Navigationsmenü der Amazon Cognito-Konsole Zugriff auf den Bedrohungsschutz. Sie können die Funktionen zum Schutz vor Bedrohungen aktivieren und die Maßnahmen anpassen, die als Reaktion auf verschiedene Risiken ergriffen werden. Sie können auch den Prüfmodus verwenden, um Metriken zu erkannten Risiken zu erfassen, ohne Sicherheitsminderungen anzuwenden. Im Auditmodus veröffentlicht der Bedrohungsschutz Kennzahlen an Amazon CloudWatch. Sie können die Metriken sehen, nachdem Amazon Cognito sein erstes Ereignis generiert hat. Siehe Kennzahlen zum Bedrohungsschutz anzeigen.

Der Bedrohungsschutz, früher als erweiterte Sicherheitsfunktionen bezeichnet, besteht aus einer Reihe von Tools zur Überwachung unerwünschter Aktivitäten in Ihrem Benutzerpool sowie Konfigurationstools zum automatischen Abschalten potenziell bösartiger Aktivitäten. Der Bedrohungsschutz bietet verschiedene Konfigurationsoptionen für standardmäßige und benutzerdefinierte Authentifizierungsvorgänge. Beispielsweise möchten Sie möglicherweise eine Benachrichtigung an einen Benutzer mit einer verdächtigen benutzerdefinierten Authentifizierung senden, für die Sie zusätzliche Sicherheitsfaktoren eingerichtet haben, aber einen Benutzer mit derselben Risikostufe mit der einfachen Benutzername-Passwort-Authentifizierung blockieren.

Der Bedrohungsschutz ist im Plus-Funktionsplan verfügbar. Weitere Informationen finden Sie unter Feature-Pläne für den Benutzerpool.

Die folgenden Benutzerpool-Optionen sind die Bestandteile des Bedrohungsschutzes.

Kompromittierte Anmeldeinformationen

Benutzer verwenden Passwörter für mehrere Benutzerkonten erneut. Die Funktion für kompromittierte Anmeldeinformationen von Amazon Cognito kompiliert Daten aus öffentlich zugänglichen Benutzernamen und Passwörtern und vergleicht die Anmeldeinformationen Ihrer Benutzer mit Listen von offengelegten Anmeldeinformationen. Die Erkennung kompromittierter Anmeldeinformationen sucht auch nach häufig erratenen Passwörtern. Sie können in den Standardauthentifizierungsabläufen für Benutzername und Passwort in Benutzerpools nach kompromittierten Anmeldeinformationen suchen. Amazon Cognito erkennt keine kompromittierten Anmeldeinformationen bei der sicheren Remote-Passwort (SRP) oder der benutzerdefinierten Authentifizierung.

Sie können die Benutzeraktionen auswählen, die eine Überprüfung auf kompromittierte Anmeldeinformationen veranlassen, sowie die Aktion, die Amazon Cognito als Reaktion darauf durchführen soll. Bei Anmelde-, Registrierungs- und Kennwortänderungsereignissen kann Amazon Cognito die Anmeldung blockieren oder die Anmeldung zulassen. In beiden Fällen generiert Amazon Cognito ein Benutzeraktivitätsprotokoll, in dem Sie weitere Informationen zu dem Ereignis finden.

Weitere Informationen

Arbeiten mit der Erkennung kompromittierter Anmeldeinformationen

Adaptive Authentifizierung

Amazon Cognito kann Standort- und Geräteinformationen aus Anmeldeanfragen Ihrer Benutzer überprüfen und automatisch reagieren, um die Benutzerkonten in Ihrem Benutzerpool vor verdächtigen Aktivitäten zu schützen. Sie können die Benutzeraktivitäten überwachen und die Reaktionen auf erkannte Risikostufen in den Bereichen Benutzername/Passwort und SRP sowie bei der benutzerdefinierten Authentifizierung automatisieren.

Wenn Sie den Bedrohungsschutz aktivieren, weist Amazon Cognito der Benutzeraktivität eine Risikobewertung zu. Sie können eine automatische Reaktion auf verdächtige Aktivitäten zuweisen: Sie können MFA verlangen, die Anmeldung blockieren oder lediglich die Aktivitätsdetails und die Risikobewertung protokollieren. Sie können Ihren Benutzer auch automatisch per E-Mail über die verdächtige Aktivität informieren, so dass er sein Passwort zurücksetzen oder andere selbstgesteuerte Maßnahmen ergreifen kann.

Weitere Informationen

Arbeiten Sie mit adaptiver Authentifizierung

Liste „Zulässige IP-Adressen“ und „Abgelehnte“

Wenn der Amazon Cognito-Bedrohungsschutz im Vollfunktionsmodus aktiviert ist, können Sie IP-Adressen erstellen, die immer blockieren und Ausnahmen immer zulassen. Einer Sitzung von einer IP-Adresse auf der Ausnahmeliste Immer blockieren wird durch adaptive Authentifizierung keine Risikostufe zugewiesen und kann sich nicht bei Ihrem Benutzerpool anmelden.

Wissenswertes über IP-address Allowlists und Blocklists

  • Sie müssen „Immer blockieren“ und „Immer zulassen“ im CIDR-Format angeben, z. B. 192.0.2.0/24 als 24-Bit-Maske oder als einzelne 192.0.2.252/32 IP-Adresse.

  • Geräte mit IP-Adressen im IP-Bereich „Immer blockieren“ können sich nicht mit oder verwalteten Anmeldeanwendungen registrieren SDK-based oder anmelden, aber sie können sich mit Drittanbieteranwendungen anmelden. IdPs

  • Die Listen „Immer zulassen“ und „Immer blockieren“ wirken sich nicht auf die Token-Aktualisierung aus.

  • Amazon Cognito wendet keine MFA-Regeln für die adaptive Authentifizierung auf Geräte aus dem IP-Bereich „Immer zulassen“ an, wendet jedoch Regeln für kompromittierte Anmeldeinformationen an.

Export protokollieren

Der Bedrohungsschutz protokolliert detaillierte Details der Authentifizierungsanfragen der Benutzer in Ihrem Benutzerpool. Diese Protokolle enthalten Bedrohungsanalysen, Benutzerinformationen und Sitzungsmetadaten wie Standort und Gerät. Sie können externe Archive dieser Protokolle zur Aufbewahrung und Analyse erstellen. Amazon Cognito-Benutzerpools exportieren Protokolle zum Schutz vor Bedrohungen nach Amazon S3, CloudWatch Logs und Amazon Data Firehose. Weitere Informationen finden Sie unter Den Verlauf von Benutzerereignissen anzeigen und exportieren.

Weitere Informationen

Exportieren von Benutzeraktivitätsprotokollen zum Schutz gegen Bedrohungen

Themen

Überlegungen und Einschränkungen beim Schutz vor Bedrohungen

Die Optionen zum Schutz vor Bedrohungen unterscheiden sich je nach Authentifizierungsablauf

Amazon Cognito unterstützt sowohl die adaptive Authentifizierung als auch die Erkennung kompromittierter Anmeldeinformationen in den Authentifizierungsabläufen und. USER_PASSWORD_AUTH ADMIN_USER_PASSWORD_AUTH Sie können nur die adaptive Authentifizierung für aktivieren. USER_SRP_AUTH Sie können den Bedrohungsschutz nicht mit Verbundanmeldung verwenden.

Always-block IP-Adressen tragen zu den Anforderungskontingenten bei

Blockierte Anfragen von IP-Adressen auf einer Ausnahmeliste Immer blockieren in Ihrem Benutzerpool trägt zu den Anforderungsratenkontingenten für Ihre Benutzerpools bei.

Beim Bedrohungsschutz gelten keine Ratenbegrenzungen

Ein Teil des bösartigen Datenverkehrs zeichnet sich durch ein hohes Anforderungsvolumen aus, wie z. B. Distributed-Denial-of-Service (DDoS) -Angriffe. Die Risikoeinstufungen, die Amazon Cognito auf eingehenden Datenverkehr anwendet, gelten pro Anfrage und berücksichtigen nicht das Anforderungsvolumen. Einzelne Anfragen bei einem Ereignis mit hohem Datenvolumen erhalten möglicherweise eine Risikobewertung und eine automatische Antwort, und zwar aus Gründen auf Anwendungsebene, die nichts mit ihrer Rolle bei einem volumetrischen Angriff zu tun haben. Um Schutzmaßnahmen gegen volumetrische Angriffe in Ihren Benutzerpools zu implementieren, fügen Sie Web-ACLs hinzu. AWS WAF Weitere Informationen finden Sie unter Ordnen Sie eine zu AWS WAF Web-ACL mit einem Benutzerpool.

Der Bedrohungsschutz wirkt sich nicht auf M2M-Anfragen aus

Die Gewährung von Kundenanmeldedaten ist für die Machine-to-Machine (M2M)-Autorisierung ohne Verbindung zu Benutzerkonten vorgesehen. Der Bedrohungsschutz überwacht nur Benutzerkonten und Passwörter in Ihrem Benutzerpool. Um Sicherheitsfunktionen für Ihre M2M-Aktivitäten zu implementieren, sollten Sie die Funktionen von AWS WAF zur Überwachung von Anforderungsraten und Inhalten in Betracht ziehen. Weitere Informationen finden Sie unter Ordnen Sie eine zu AWS WAF Web-ACL mit einem Benutzerpool.

Den Bedrohungsschutz in Benutzerpools aktivieren

Amazon Cognito user pools console
Um den Bedrohungsschutz für einen Benutzerpool zu aktivieren

  1. Melden Sie sich bei der Amazon-Cognito-Konsole an. Wenn Sie dazu aufgefordert werden, geben Sie Ihre AWS Anmeldeinformationen ein.

  2. Wählen Sie User Pools (Benutzerpools) aus.

  3. Wählen Sie einen vorhandenen Benutzerpool aus der Liste aus oder erstellen Sie einen neuen Benutzerpool.

  4. Falls Sie das noch nicht getan haben, aktivieren Sie den Plus-Funktionsplan im Einstellungsmenü.

  5. Wählen Sie das Menü Bedrohungsschutz und wählen Sie Aktivieren aus.

  6. Wählen Sie Änderungen speichern aus.

API

Stellen Sie Ihren Funktionsplan in einer CreateUserPool oder einer UpdateUserPool API-Anfrage auf Plus ein. Im folgenden Teil der Beispielanforderung wird der Bedrohungsschutz in den Vollfunktionsmodus versetzt. Ein vollständiges Beispiel für eine Anfrage finden Sie unter Beispiele.

"UserPoolAddOns": { 
      "AdvancedSecurityMode": "ENFORCED"
   }

Bedrohungsschutz ist der Sammelbegriff für Funktionen, die Benutzervorgänge auf Anzeichen einer Kontoübernahme überwachen und automatisch auf sichere betroffene Benutzerkonten reagieren. Sie können die Einstellungen für den Bedrohungsschutz auf Benutzer anwenden, wenn sie sich mit standardmäßigen und benutzerdefinierten Authentifizierungsabläufen anmelden.

Der Bedrohungsschutz generiert Protokolle, in denen die An- und Abmeldung sowie andere Aktivitäten der Benutzer detailliert beschrieben werden. Sie können diese Protokolle auf ein Drittanbietersystem exportieren. Weitere Informationen finden Sie unter Den Verlauf von Benutzerereignissen anzeigen und exportieren.

Konzepte zur Durchsetzung des Bedrohungsschutzes

Der Bedrohungsschutz beginnt in einem reinen Auditmodus, in dem Ihr Benutzerpool die Benutzeraktivitäten überwacht, Risikostufen zuweist und Protokolle generiert. Es empfiehlt sich, mindestens zwei Wochen lang im Auditmodus zu arbeiten, bevor Sie den Vollfunktionsmodus aktivieren. Full-function Der Modus umfasst eine Reihe automatischer Reaktionen auf erkannte riskante Aktivitäten und kompromittierte Passwörter. Im Nur-Audit-Modus können Sie die Bedrohungsanalysen überwachen, die Amazon Cognito durchführt. Sie können auch Feedback geben, das die Funktion hinsichtlich falsch positiver und negativer Ergebnisse trainiert.

Sie können die Durchsetzung des Bedrohungsschutzes auf Benutzerpoolebene so konfigurieren, dass alle App-Clients im Benutzerpool und auf Ebene einzelner App-Clients abgedeckt werden. Die Konfigurationen für den Bedrohungsschutz von App-Clients haben Vorrang vor der Konfiguration des Benutzerpools. Um den Bedrohungsschutz für einen App-Client zu konfigurieren, navigieren Sie in der Amazon Cognito-Konsole im App-Client-Menü Ihres Benutzerpools zu den App-Client-Einstellungen. Dort können Sie Einstellungen auf Client-Ebene verwenden und die Durchsetzung nur für den App-Client konfigurieren.

Darüber hinaus können Sie den Bedrohungsschutz für standardmäßige und benutzerdefinierte Authentifizierungstypen separat konfigurieren.

Bedrohungsschutz für Standardauthentifizierung und benutzerdefinierte Authentifizierung

Wie Sie den Bedrohungsschutz konfigurieren können, hängt von der Art der Authentifizierung ab, die Sie in Ihrem Benutzerpool und Ihren App-Clients vornehmen. Jede der folgenden Authentifizierungstypen kann ihren eigenen Erzwingungsmodus und automatische Reaktionen haben.

Standardauthentifizierung

Die Standardauthentifizierung besteht aus Benutzeranmeldung, -abmeldung und Passwortverwaltung mit Benutzername-Passwort-Abläufen und bei verwalteter Anmeldung. Der Bedrohungsschutz von Amazon Cognito überwacht den Betrieb auf Risikoindikatoren, wenn Benutzer sich mit verwalteter Anmeldung anmelden oder die folgenden API-Parameter verwenden: AuthFlow

InitiateAuth

USER_PASSWORD_AUTH,USER_SRP_AUTH. Die Funktion für kompromittierte Anmeldeinformationen hat bei der USER_SRP_AUTH Anmeldung keinen Zugriff auf Passwörter und überwacht die Ereignisse in diesem Ablauf nicht und reagiert auch nicht darauf.

AdminInitiateAuth

ADMIN_USER_PASSWORD_AUTH,. USER_SRP_AUTH Die Funktion für kompromittierte Anmeldeinformationen hat bei der USER_SRP_AUTH Anmeldung keinen Zugriff auf Passwörter und überwacht die Ereignisse in diesem Ablauf nicht und reagiert auch nicht darauf.

Sie können den Erzwingungsmodus für die Standardauthentifizierung auf Nur Prüfung oder Vollständige Funktion einstellen. Um die Bedrohungsüberwachung für die Standardauthentifizierung zu deaktivieren, setzen Sie den Bedrohungsschutz auf Keine Durchsetzung.

Benutzerdefinierte Authentifizierung

Bei der benutzerdefinierten Authentifizierung handelt es sich um eine Benutzeranmeldung mit benutzerdefinierten Lambda-Triggern für Herausforderungen. In der verwalteten Anmeldung können Sie keine benutzerdefinierte Authentifizierung durchführen. Der Bedrohungsschutz von Amazon Cognito überwacht den Betrieb auf Risikoindikatoren, wenn sie sich mit dem AuthFlow API-Parameter CUSTOM_AUTH InitiateAuth und AdminInitiateAuth anmelden.

Sie können den Erzwingungsmodus für die benutzerdefinierte Authentifizierung auf Nur Prüfung, Vollständige Funktion oder Keine Durchsetzung festlegen. Die Option Keine Durchsetzung deaktiviert die Bedrohungsüberwachung für die benutzerdefinierte Authentifizierung, ohne dass sich dies auf andere Funktionen des Bedrohungsschutzes auswirkt.

Voraussetzungen für den Schutz vor Bedrohungen

Bevor Sie beginnen, muss Folgendes sichergestellt sein:

Einrichtung des Bedrohungsschutzes

Folgen Sie diesen Anweisungen, um den Bedrohungsschutz für den Benutzerpool einzurichten.

Anmerkung

Um in der Amazon Cognito-Benutzerpools-Konsole eine andere Bedrohungsschutzkonfiguration für einen App-Client einzurichten, wählen Sie den App-Client im App-Clients-Menü aus und wählen Sie Einstellungen auf Client-Ebene verwenden aus.

AWS-Managementkonsole
Um den Bedrohungsschutz für einen Benutzerpool zu konfigurieren

  1. Melden Sie sich bei der Amazon-Cognito-Konsole an. Wenn Sie dazu aufgefordert werden, geben Sie Ihre AWS Anmeldeinformationen ein.

  2. Wählen Sie User Pools (Benutzerpools) aus.

  3. Wählen Sie einen vorhandenen Benutzerpool aus der Liste aus oder erstellen Sie einen neuen Benutzerpool.

  4. Wählen Sie das Menü Bedrohungsschutz und wählen Sie Aktivieren aus.

  5. Wählen Sie die Methode zum Schutz vor Bedrohungen, die Sie konfigurieren möchten: Standardauthentifizierung und benutzerdefinierte Authentifizierung. Sie können verschiedene Erzwingungsmodi für die benutzerdefinierte Authentifizierung und die Standardauthentifizierung festlegen. Im Modus „Vollständige Funktion“ haben sie jedoch die gleiche Konfiguration automatisierter Antworten.

  6. Wählen Sie Bearbeiten aus.

  7. Wählen Sie einen Erzwingungsmodus. Um sofort auf erkannte Risiken zu reagieren, wählen Sie Vollständige Funktion und konfigurieren Sie die automatischen Reaktionen auf kompromittierte Anmeldeinformationen und die adaptive Authentifizierung. Um Informationen in Protokollen auf Benutzerebene zu sammeln und sich anzumelden CloudWatch, wählen Sie Nur Audit aus.

    Es wird empfohlen, den Bedrohungsschutz zwei Wochen lang im Überwachungsmodus zu belassen, bevor Sie Aktionen aktivieren. Während dieser Zeit kann Amazon Cognito die Nutzungsmuster Ihrer App-Benutzer kennenlernen und Sie können Feedback zu Ereignissen geben, um die Antworten anzupassen.

  8. Wenn Sie Audit only (Nur prüfen) ausgewählt haben, wählen Sie Save changes (Änderungen speichern) aus. Wenn Sie Full function (Vollständige Funktion) ausgewählt haben:

    1. Wählen Sie aus, ob Sie eine benutzerdefinierte Aktion ausführen oder Cognito-Standardfunktionen verwenden möchten, um auf möglicherweise kompromittierte Anmeldeinformationen zu reagieren. Cognito-Standardfunktionen:

      1. Erkennen Sie kompromittierte Sign-in Anmeldeinformationen und ändern Sie das Passwort. Sign-up

      2. Reagieren Sie auf kompromittierte Anmeldeinformationen mit der Aktion Block sign-in (Anmeldung blockieren).

    2. Wenn Sie Custom (benutzerdefinierte) Aktionen für Compromised credentials (kompromittierte Anmeldeinformationen) ausgewählt haben, wählen Sie die Benutzerpool-Aktionen aus, die Amazon Cognito für die Event detection (Ereigniserkennung) verwendet, sowie die Compromised credentials responses (Antworten auf kompromittierte Anmeldeinformationen), die Amazon Cognito auslösen soll. Sie können bei möglicherweise kompromittierten Anmeldeinformationen entweder die Anmeldung blockieren oder die Anmeldung zulassen.

    3. Wählen Sie unter Adaptive authentication (Adaptive Authentifizierung) aus, wie Sie auf schädliche Anmeldeversuche reagieren möchten. Wählen Sie aus, ob Sie eine benutzerdefinierte Aktion ausführen oder Cognito-Standardfunktionen verwenden möchten, um auf verdächtige schädliche Aktivitäten zu reagieren. Wenn Sie Cognito defaults (Cognito-Standardfunktionen) auswählen, blockiert Amazon Cognito die Anmeldung auf allen Risikostufen und benachrichtigt den Benutzer nicht.

    4. Wenn Sie benutzerdefinierte Aktionen für Adaptive authentication (Adaptive Authentifizierung) ausgewählt haben, wählen Sie die Aktion Automatic risk repsonse (Automatische Reaktion auf Risiken) aus. Amazon Cognito wird diese verwenden, um je nach Schweregrad auf erkannte Risiken zu reagieren. Wenn Sie einer Risikostufe eine Reaktion zuweisen, können Sie einem höheren Risiko keine weniger restriktive Reaktion zuweisen. Sie können den Risikostufen folgende Reaktionen zuweisen:

      1. Allow sign-in (Anmeldung zulassen) – Ergreifen Sie keine vorbeugenden Maßnahmen.

      2. Optional MFA (Optionale MFA) – Wenn der Benutzer MFA konfiguriert hat, verlangt Amazon Cognito, dass der Benutzer bei der Anmeldung immer einen zusätzlichen SMS- oder zeitgesteuerten Einmalpasswort (TOTP)-Faktor bereitstellt. Wenn der Benutzer keine MFA konfiguriert hat, kann er sich weiterhin normal anmelden.

      3. Optionale MFA – Wenn der Benutzer MFA konfiguriert hat, verlangt Amazon Cognito, dass der Benutzer bei der Anmeldung immer einen zusätzlichen SMS- oder TOTP-Faktor bereitstellt. Wenn der Benutzer keine MFA konfiguriert hat, fordert Amazon Cognito ihn auf, MFA einzurichten. Bevor Sie automatisch MFA für Ihre Benutzer anfordern, konfigurieren Sie in Ihrer App einen Mechanismus, um Telefonnummern für SMS-MFA zu erfassen oder Authentifizierungs-Apps für TOTP MFA zu registrieren.

      4. Block sign-in (Anmeldung blockieren) – Verhindern Sie, dass sich der Benutzer anmeldet.

      5. Notify user (Benutzer benachrichtigen) – Senden Sie dem Benutzer eine E-Mail-Nachricht mit Informationen über das Risiko, das Amazon Cognito festgestellt hat, und Ihre Reaktion auf das Risiko. Sie können E-Mail-Nachrichtenvorlagen für von Ihnen gesendete Nachrichten anpassen.

  9. Wenn Sie im vorherigen Schritt Notify user (Benutzer benachrichtigen) ausgewählt haben, können Sie Ihre Einstellungen für die E-Mail-Zustellung und E-Mail-Nachrichtenvorlagen für die adaptive Authentifizierung anpassen.

    1. Wählen Sie unter E-Mail-Konfiguration die SES-Region, die ABSENDERADRESSE, DEN ABSENDERNAMEN UND DIE REPLY-TO E-MAIL-ADRESSE AUS, DIE SIE FÜR DIE ADAPTIVE AUTHENTIFIZIERUNG VERWENDEN MÖCHTEN. Weitere Informationen zur Integration Ihrer Benutzerpool-E-Mail-Nachrichten in Amazon Simple Email Service finden Sie unter Email settings for Amazon Cognito user pools (E-Mail-Einstellungen für Amazon-Cognito-Benutzerpools).

      Ereignisverlauf des Benutzers

    2. Wählen Sie Email templates (E-Mail-Vorlagen) aus, um Benachrichtigungen der adaptiven Authentifizierung für HTML- und Klartext-Versionen von E-Mail-Nachrichten anzupassen. Weitere Informationen über E-Mail-Nachrichtenvorlagen finden Sie unter Nachrichtenvorlagen.

  10. Erweitern Sie die IP-Adressausnahmen, um eine Always-allow oder eine Always-block Liste von IPv4- oder IPv6-Adressbereichen zu erstellen, die unabhängig von der Risikobewertung des Bedrohungsschutzes immer zugelassen oder blockiert werden. Geben Sie die IP-Adressbereiche in CIDR-Notation an (z. B. 192.168.100). 0/24).

  11. Wählen Sie Änderungen speichern aus.

API (user pool)

Um die Bedrohungsschutzkonfiguration für einen Benutzerpool festzulegen, senden Sie eine SetRiskConfiguration API-Anfrage, die einen UserPoolId Parameter, aber keinen ClientId Parameter enthält. Im Folgenden finden Sie ein Beispiel für einen Anforderungstext für einen Benutzerpool. Diese Risikokonfiguration führt je nach Schwere des Risikos eine eskalierende Reihe von Maßnahmen durch und benachrichtigt Benutzer aller Risikostufen. Sie wendet eine Sperre für kompromittierte Anmeldeinformationen auf Anmeldevorgänge an.

Um diese Konfiguration durchzusetzen, müssen Sie dies ENFORCED in einer separaten AdvancedSecurityMode CreateUserPool oder API-Anfrage festlegen. UpdateUserPool Weitere Informationen zu den Platzhaltervorlagen wie {username} in diesem Beispiel finden Sie unterKonfiguration von MFA-, Authentifizierungs-, Überprüfungs- und Einladungsnachrichten.

{
   "AccountTakeoverRiskConfiguration": { 
      "Actions": { 
         "HighAction": { 
            "EventAction": "MFA_REQUIRED",
            "Notify": true
         },
         "LowAction": { 
            "EventAction": "NO_ACTION",
            "Notify": true
         },
         "MediumAction": { 
            "EventAction": "MFA_IF_CONFIGURED",
            "Notify": true
         }
      },
      "NotifyConfiguration": { 
         "BlockEmail": { 
            "Subject": "You have been blocked for suspicious activity",
            "TextBody": "We blocked {username} at {login-time} from {ip-address}."
         },
         "From": "admin@example.com",
         "MfaEmail": { 
            "Subject": "Suspicious activity detected, MFA required",
            "TextBody": "Unexpected sign-in from {username} on device {device-name}. You must use MFA."
         },
         "NoActionEmail": { 
            "Subject": "Suspicious activity detected, secure your user account",
            "TextBody": "We noticed suspicious sign-in activity by {username} from {city}, {country} at {login-time}. If this was not you, reset your password."
         },
         "ReplyTo": "admin@example.com",
         "SourceArn": "arn:aws:ses:us-west-2:123456789012:identity/admin@example.com"
      }
   },
   "CompromisedCredentialsRiskConfiguration": { 
      "Actions": { 
         "EventAction": "BLOCK"
      },
      "EventFilter": [ "SIGN_UP" ]
   },
   "RiskExceptionConfiguration": { 
      "BlockedIPRangeList": [ "192.0.2.0/24","198.51.100.0/24" ],
      "SkippedIPRangeList": [ "203.0.113.0/24" ]
   },
   "UserPoolId": "us-west-2_EXAMPLE"
}
API (app client)

Um die Bedrohungsschutzkonfiguration für einen App-Client festzulegen, senden Sie eine SetRiskConfiguration API-Anforderung, die einen UserPoolId Parameter und einen ClientId Parameter enthält. Im Folgenden finden Sie ein Beispiel für einen Anforderungstext für einen App-Client. Diese Risikokonfiguration ist schwerwiegender als die Benutzerpoolkonfiguration und blockiert Einträge mit hohem Risiko. Außerdem blockiert sie kompromittierte Anmeldeinformationen bei Registrierungs- und Anmeldevorgängen sowie beim Zurücksetzen des Kennworts.

Um diese Konfiguration durchzusetzen, müssen Sie dies in einer separaten Anfrage oder einer API-Anforderung festlegenAdvancedSecurityMode. ENFORCED CreateUserPool UpdateUserPool Weitere Informationen zu den Platzhaltervorlagen wie {username} in diesem Beispiel finden Sie unterKonfiguration von MFA-, Authentifizierungs-, Überprüfungs- und Einladungsnachrichten.

{
   "AccountTakeoverRiskConfiguration": { 
      "Actions": { 
         "HighAction": { 
            "EventAction": "BLOCK",
            "Notify": true
         },
         "LowAction": { 
            "EventAction": "NO_ACTION",
            "Notify": true
         },
         "MediumAction": { 
            "EventAction": "MFA_REQUIRED",
            "Notify": true
         }
      },
      "NotifyConfiguration": { 
         "BlockEmail": { 
            "Subject": "You have been blocked for suspicious activity",
            "TextBody": "We blocked {username} at {login-time} from {ip-address}."
         },
         "From": "admin@example.com",
         "MfaEmail": { 
            "Subject": "Suspicious activity detected, MFA required",
            "TextBody": "Unexpected sign-in from {username} on device {device-name}. You must use MFA."
         },
         "NoActionEmail": { 
            "Subject": "Suspicious activity detected, secure your user account",
            "TextBody": "We noticed suspicious sign-in activity by {username} from {city}, {country} at {login-time}. If this was not you, reset your password."
         },
         "ReplyTo": "admin@example.com",
         "SourceArn": "arn:aws:ses:us-west-2:123456789012:identity/admin@example.com"
      }
   },
   "ClientId": "1example23456789",
   "CompromisedCredentialsRiskConfiguration": { 
      "Actions": { 
         "EventAction": "BLOCK"
      },
      "EventFilter": [ "SIGN_UP", "SIGN_IN", "PASSWORD_CHANGE" ]
   },
   "RiskExceptionConfiguration": { 
      "BlockedIPRangeList": [ "192.0.2.1/32","192.0.2.2/32" ],
      "SkippedIPRangeList": [ "192.0.2.3/32","192.0.2.4/32" ]
   },
   "UserPoolId": "us-west-2_EXAMPLE"
}