如何防范AWS Cognito恶意批量注册攻击？

以下是几个可行的方案，覆盖不同成本与实现复杂度：

1. 集成人机验证拦截机器人注册 #

在Cognito注册流程中加入CAPTCHA验证（如Google reCAPTCHA v2/v3、Amazon CAPTCHA）：

• 实现方式：通过预注册Lambda钩子，在用户提交注册请求后、Cognito创建用户前，调用CAPTCHA服务验证用户提交的验证码，仅验证通过的请求可进入下一步。
• 优势：从源头拦截绝大多数机器人垃圾注册，无需复杂存储逻辑，对正常用户体验影响极小（v3版本可实现无感知验证）。

2. 优化SMS配额与自动防护策略 #

调整AWS SNS的SMS支出控制规则，避免配额被一次性耗尽：

• 在AWS SNS控制台设置SMS每日支出限额，开启「达到限额时自动停止发送」；同时设置阈值告警（如达到限额70%时触发），搭配AWS Lambda自动执行应急操作（比如临时将验证方式切换为邮件）。
• 限制SMS MFA的触发范围：要求用户先完成邮箱验证，仅已验证邮箱的用户才能启用SMS MFA，垃圾注册的未验证用户不会触发短信发送。

3. 精细化配置WAF规则 #

结合多维度规则缩小攻击面，弥补WAF默认速率限制的不足：

• 按客户端IP设置速率限制，同时添加规则过滤无效请求：拦截格式错误的邮箱/手机号、临时邮箱域名、常见垃圾手机号段。
• 针对Cognito注册API路径（如/signup）单独配置规则，仅允许符合格式的请求进入，再叠加IP速率限制，大幅减少有效攻击请求量。

4. 切换第三方SMS服务提供商 #

绕过AWS SNS的账户级配额限制，改用第三方短信服务（如Twilio、Plivo）：

• 通过Cognito的自定义消息Lambda钩子，替换默认的AWS SNS短信发送逻辑，调用第三方服务API发送MFA验证码。
• 第三方服务通常提供更灵活的速率控制与反垃圾机制，且配额独立于AWS账户，避免单一配额耗尽影响业务。

5. 轻量级预注册速率限制（无需复杂数据库） #

若不想搭建复杂存储系统，可借助AWS DynamoDB的TTL功能实现轻量级控制：

• 在预注册Lambda钩子中，以客户端IP或手机号为Key，存储请求次数与时间戳，设置TTL为5分钟（自动过期清理）。
• 当请求次数超过阈值（如5分钟10次）时直接拒绝注册。DynamoDB读写成本极低，小规模应用几乎无额外开销。

内容的提问来源于stack exchange，提问作者user2637397