Web Application Firewall su Front Door

Un Web Application Firewall (WAF) analizza le richieste HTTP/HTTPS al livello 7 e blocca i pattern di attacco noti prima che raggiungano l'applicazione. Tra gli attacchi comuni che impedisce figurano SQL injection, cross-site scripting (XSS), inclusione di file remoto e anomalie del protocollo. Senza un WAF, gli attaccanti possono sfruttare le vulnerabilità del codice dell'applicazione anche se la rete è configurata correttamente per limitarne l'accesso. Azure WAF si integra sia con Azure Front Door sia con Azure Application Gateway.

In Azure, un criterio WAF è una risorsa autonoma che contiene set di regole gestiti e regole personalizzate. Si crea il criterio, si configurano le regole e quindi lo si associa a uno o più endpoint Front Door o a istanze di Application Gateway. Questo design disaccoppiato consente a un unico criterio WAF di proteggere più endpoint Front Door: una singola modifica al criterio viene propagata automaticamente a tutti gli endpoint associati. I criteri WAF esistono in un'area di Azure specifica, ma quando vengono associati a Front Door la protezione viene applicata globalmente in tutti i PoP.

I criteri WAF funzionano in due modalità. La modalità di rilevamento analizza tutte le richieste e registra le corrispondenze con le regole, ma non blocca il traffico: è utile nella fase iniziale della distribuzione per capire quale traffico verrebbe bloccato dal criterio prima di applicarlo. La modalità di prevenzione registra le corrispondenze e blocca attivamente le richieste che soddisfano le condizioni delle regole. La procedura consigliata consiste nell'iniziare in modalità di rilevamento, esaminare i log WAF per individuare i falsi positivi, ottimizzare le regole e passare alla modalità di prevenzione quando si è certi che il criterio sia corretto.

Il Microsoft Default Rule Set (DRS) è un gruppo di regole gestito e mantenuto dal team di sicurezza di Microsoft. Contiene regole che rilevano le vulnerabilità dell'OWASP Top 10, oltre a firme di bot e schemi di credential stuffing. Microsoft aggiorna continuamente il DRS con nuove regole in risposta alle minacce emergenti: non è necessario scrivere personalmente le regole. Le versioni del DRS vengono rilasciate periodicamente (ad esempio, DRS 2.1) e durante una finestra di manutenzione è possibile aggiornare la propria policy WAF a una versione più recente.

Il OWASP Core Rule Set (CRS) è disponibile in Application Gateway WAF e come parte del CDN WAF di livello Verizon. Contiene oltre 200 regole che coprono l'OWASP Top 10: attacchi di injection, autenticazione non sicura, esposizione di dati sensibili, attacchi XML external entity e altro ancora. Ogni regola ha un ID e un gruppo (ad esempio REQUEST-942-APPLICATION-ATTACK-SQLI). È possibile disabilitare singole regole in base all'ID per eliminare i falsi positivi senza disabilitare l'intero gruppo di regole.

Le regole personalizzate consentono di scrivere condizioni specifiche di autorizzazione o blocco che i set di regole gestite non coprono. Una regola personalizzata è costituita da una o più condizioni di corrispondenza (ad esempio, IP di origine, URI della richiesta, valore di un'intestazione o stringa di query) combinate con un'azione (Allow, Block, Log o Redirect). Le regole personalizzate vengono valutate prima dei set di regole gestite e supportano l'ordinamento in base alla priorità. Un caso d'uso comune è bloccare determinati Paesi, limitare la frequenza dei crawler aggressivi o inserire in una whitelist un IP di monitoraggio attendibile che bypassi le regole WAF.

Le regole di limitazione della frequenza limitano il numero di richieste HTTP provenienti da un singolo indirizzo IP client all'interno di una finestra temporale (1 o 5 minuti). Quando il numero di richieste supera la soglia, il WAF restituisce al client il codice HTTP 429 (Too Many Requests). La limitazione della frequenza è efficace contro gli attacchi di forza bruta ai login, il credential stuffing e l'abuso delle API. La soglia delle richieste e la finestra temporale vengono configurate nella definizione della regola personalizzata della policy WAF.

Il set di regole Bot Manager (disponibile in Front Door Premium) classifica il traffico in entrata come bot legittimi (crawler dei motori di ricerca verificati), bot dannosi (scanner noti e strumenti di ricerca delle vulnerabilità) e bot sconosciuti (traffico automatizzato non classificato). È possibile configurare l'azione per ogni categoria: consentire i bot legittimi, bloccare quelli dannosi e registrare quelli sconosciuti. Senza la protezione dai bot, gli scanner automatizzati possono generare carichi di traffico enormi, aumentando i costi e mascherando il traffico degli utenti reali nelle analisi.

I set di regole gestite a volte generano falsi positivi: bloccano richieste legittime perché corrispondono casualmente allo schema di una regola di sicurezza. Ad esempio, un CMS con funzionalità di modifica del testo avanzato può inviare HTML nei body delle richieste POST che corrisponde a una regola XSS. Le esclusioni WAF consentono di escludere attributi specifici della richiesta (intestazioni della richiesta, cookie, parametri della stringa di query o campi del body della richiesta) dalla valutazione delle regole, a livello globale oppure per un gruppo di regole o un ID di regola specifico, senza disabilitare completamente la regola.

Il WAF genera due tipi di voci di log in Azure Monitor: i log WAF (ogni richiesta che ha corrisposto a una regola, sia che sia stata bloccata sia che sia stata registrata) e i log di accesso (tutte le richieste, comprese quelle che sono passate senza corrispondere ad alcuna regola). Inviate questi log a un'area di lavoro Log Analytics e usate KQL per analizzare l'andamento delle richieste bloccate, identificare gli endpoint più attaccati o esaminare uno specifico IP client. La cartella di lavoro WAF Insights nel portale offre dashboard preconfigurate che visualizzano questi log.

Per attivare la protezione WAF, è necessario associare la policy WAF al profilo di sicurezza di Front Door. Nel portale, passate al profilo Front Door, selezionate Security policies e aggiungete la policy WAF, specificando a quali domini si applica. In alternativa, usate la CLI per collegare la policy. Dopo l'associazione, il WAF esamina tutte le richieste HTTP/HTTPS ricevute da tali domini Front Door prima di inoltrarle all'origine. È possibile associare una policy WAF per dominio.

Verificate la vostra comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) illustrati in questa lezione.

In questa lezione avete appreso che le policy WAF contengono set di regole gestite (Microsoft DRS, OWASP) e regole personalizzate che esaminano il traffico HTTP prima che raggiunga l'origine, che la modalità di rilevamento consente di ottimizzare le regole prima di passare alla modalità di prevenzione e che le regole di limitazione della frequenza proteggono dagli attacchi di forza bruta e dagli abusi. Nella prossima lezione esploreremo l'uso del motore di regole di Front Door per ottimizzare le prestazioni con reindirizzamenti e intestazioni di sicurezza.