Web Application Firewall på Front Door

En Web Application Firewall (WAF) undersøker HTTP/HTTPS-forespørsler på lag 7 og blokkerer kjente angrepsmønstre før de når applikasjonen din. Vanlige angrep som den forhindrer, er blant annet SQL-injeksjon, skripting på tvers av nettsteder (XSS), inkludering av eksterne filer og protokollavvik. Uten en WAF kan angripere utnytte sårbarheter i applikasjonskoden din selv om nettverket er riktig sikret. Azure WAF kan integreres med både Azure Front Door og Azure Application Gateway.

I Azure er en WAF-policy en frittstående ressurs som inneholder administrerte regelsett og egendefinerte regler. Du oppretter policyen, konfigurerer reglene og knytter den deretter til ett eller flere Front Door-endepunkter eller Application Gateway-instanser. Denne frikoblede utformingen betyr at én WAF-policy kan beskytte flere Front Door-endepunkter – én enkelt endring i policyen videreføres automatisk til alle tilknyttede endepunkter. WAF-policyer finnes i en bestemt Azure-region, men når de er knyttet til Front Door, brukes beskyttelsen globalt på alle PoP-er.

WAF-policyer fungerer i to moduser. Deteksjonsmodus undersøker alle forespørsler og logger treff mot reglene, men blokkerer ingen trafikk – dette er nyttig ved første utrulling for å forstå hvilken trafikk policyen ville ha blokkert før du håndhever den. Forebyggingsmodus logger treff og blokkerer aktivt forespørsler som oppfyller regelbetingelsene. Det anbefales å starte i deteksjonsmodus, gå gjennom WAF-loggene for å finne falske positiver, justere reglene og deretter bytte til forebyggingsmodus når du er trygg på at policyen er riktig.

Microsofts standardregelsett (DRS) er en administrert regelgruppe som vedlikeholdes av Microsofts sikkerhetsteam. Det inneholder regler som oppdager OWASP Top 10-sårbarhetene, samt bot-signaturer og mønstre for credential stuffing. Microsoft oppdaterer DRS kontinuerlig med nye regler som svar på nye trusler — De trenger ikke å skrive regler selv. DRS-versjoner utgis med jevne mellomrom (for eksempel DRS 2.1), og De kan oppgradere WAF-policyen til en nyere versjon i et vedlikeholdsvindu.

OWASP Core Rule Set (CRS) er tilgjengelig i Application Gateway WAF og som en del av Verizon-nivået for CDN WAF. Det inneholder over 200 regler som dekker OWASP Top 10: injeksjonsangrep, ødelagt autentisering, eksponering av sensitive data, XML external entity-angrep og mer. Hver regel har en ID og en gruppe (for eksempel REQUEST-942-APPLICATION-ATTACK-SQLI). De kan deaktivere individuelle regler etter ID for å undertrykke falske positiver uten å deaktivere hele regelgruppen.

Egendefinerte regler lar Dem skrive spesifikke betingelser for tillatelse eller blokkering som administrerte regelsett ikke dekker. En egendefinert regel består av én eller flere samsvarsbetingelser (for eksempel kilde-IP, forespørsels-URI, topptekstverdi eller spørringsstreng) kombinert med en handling (Allow, Block, Log eller Redirect). Egendefinerte regler evalueres før administrerte regelsett og støtter prioriteringsrekkefølge. Et vanlig bruksområde er å blokkere bestemte land, begrense hastigheten til aggressive crawlere eller hviteliste en klarert overvåkings-IP-adresse som omgår WAF-reglene.

Regler for hastighetsbegrensning begrenser antallet HTTP-forespørsler fra én klient-IP-adresse innenfor et tidsvindu på 1 eller 5 minutter. Når antallet forespørsler overskrider terskelen, returnerer WAF HTTP 429 (Too Many Requests) til klienten. Hastighetsbegrensning er effektivt mot brute force-angrep mot innlogging, credential stuffing og misbruk av API-er. De konfigurerer terskelen for antall forespørsler og tidsvinduet som en del av definisjonen av den egendefinerte regelen i WAF-policyen.

Bot Manager-regelsettet (tilgjengelig i Front Door Premium) klassifiserer innkommende trafikk som gode boter (verifiserte søkemotorcrawlere), skadelige boter (kjente skannere og sonder som leter etter sårbarheter) og ukjente boter (uklassifisert automatisert trafikk). De kan konfigurere handlingen for hver kategori — tillate gode boter, blokkere skadelige boter og loggføre ukjente boter. Uten bot-beskyttelse kan automatiserte skannere generere enorme trafikkmengder som øker kostnadene og skjuler reell brukertrafikk i analysene.

Administrerte regelsett genererer noen ganger falske positiver — legitime forespørsler blokkeres fordi de tilfeldigvis samsvarer med et mønster i en sikkerhetsregel. Et CMS med redigering av rik tekst kan for eksempel sende HTML i POST-innhold som samsvarer med en XSS-regel. WAF-unntak lar Dem unnta bestemte forespørselsattributter (forespørselshoder, informasjonskapsler, parametere i spørringsstrengen eller felt i forespørselsinnholdet) fra regel-evalueringen, enten globalt eller for en bestemt regelgruppe eller regel-ID, uten å deaktivere regelen fullstendig.

WAF genererer to typer loggoppføringer i Azure Monitor: WAF-logger (hver forespørsel som samsvarte med en regel, enten den ble blokkert eller logget) og tilgangslogger (alle forespørsler, også de som slapp gjennom uten å samsvare med noen regel). Send disse loggene til et Log Analytics-arbeidsområde, og bruk KQL til å søke etter trender i blokkerte forespørsler, identifisere endepunktene som oftest blir angrepet, eller undersøke en bestemt klient-IP. Arbeidsboken WAF Insights i portalen inneholder ferdiglagde instrumentbord som visualiserer disse loggene.

For å aktivere WAF-beskyttelse må De knytte WAF-policyen til sikkerhetsprofilen for Front Door. Gå til Front Door-profilen i portalen, velg Security policies, og legg til WAF-policyen. Angi deretter hvilke domener den skal gjelde for. Alternativt kan De bruke CLI til å koble policyen. Når policyen er knyttet til profilen, inspiserer WAF alle HTTP-/HTTPS-forespørsler som kommer inn til disse Front Door-domenene, før de rutes til opprinnelsen. De kan knytte én WAF-policy per domene.

I denne leksjonen lærte De at WAF-policyer inneholder administrerte regelsett (Microsoft DRS og OWASP) og egendefinerte regler som inspiserer HTTP-trafikk før den når opprinnelsen, at Detection mode lar Dem finjustere regler før De bytter til Prevention mode, og at regler for hastighetsbegrensning beskytter mot brute force-angrep og misbruk. Neste gang utforsker vi hvordan Front Doors regelmotor kan optimalisere ytelsen med omdirigeringer og sikkerhetshoder.