如何拦截AWS EC2上WordPress站点的自动化请求以降低EC2与ELB成本

边缘层拦截（优先级最高，拦截成本最低） #

• 给站点绑定AWS WAF，直接挂载到你当前的ELB或CloudFront分发上，在流量进入AWS核心机房前就完成过滤：
  • 开启WAF内置的常见爬虫与扫描器防护规则组，可直接拦截公开标记的恶意爬虫、漏洞扫描器流量
  • 从ELB访问日志中导出异常请求的特征（固定来源IP、请求UA、请求路径、请求参数），自定义WAF精准匹配规则直接拦截，匹配命中率可达95%以上
  • 配置速率限制规则，比如单个IP每分钟请求超过15次就临时封禁1小时，可有效拦截低频持续的扫描类请求
• 未配置CloudFront的站点建议优先配置CDN分发，静态资源直接缓存不回源，同时CDN层自带的基础防护也能过滤掉大量无效请求。

ELB层过滤 #

• 先开启ELB访问日志导出功能，导出近7天的访问日志做特征分析，先确认自动化请求的共性特征，再针对性配置规则
• 如果你使用的是应用负载均衡（ALB），可直接在监听器规则中配置针对固定路径/UA/IP的拦截规则，直接返回403响应，无需转发请求到后端EC2。

服务层/WordPress层兜底拦截 #

• 服务器端修改Nginx/Apache配置，针对已识别的异常特征直接返回403，示例Nginx配置如下：

# 拦截已知恶意UA
if ($http_user_agent ~* (MaliciousBot|ScanBot/2.0) ) {
    return 403;
}
# 拦截高频请求的默认后台、XML-RPC路径（不需要的前提下）
location ~* /(wp-login\.php|xmlrpc\.php) {
    allow 你的可信IP段;
    deny all;
}

• 安装WordPress安全插件，开启恶意IP封禁、爬虫拦截功能，作为漏网请求的兜底拦截。

效果验证建议 #

配置完规则后观察2-3天的ELB访问日志和账单成本变化，再针对漏过的请求补充规则即可，常规场景下WAF的月成本远低于你当前额外支出的EC2/ELB算力成本。

内容的提问来源于stack exchange，提问作者artyomavanesov