Zapora aplikacji internetowej w usłudze Front Door

Web Application Firewall (WAF) analizuje żądania HTTP/HTTPS w warstwie 7 i blokuje znane wzorce ataków, zanim dotrą one do aplikacji. Do typowych ataków, którym zapobiega, należą SQL injection, cross-site scripting (XSS), remote file inclusion oraz anomalia protokołu. Bez WAF atakujący mogą wykorzystywać luki w kodzie aplikacji, nawet jeśli sieć jest prawidłowo zabezpieczona. Azure WAF integruje się zarówno z Azure Front Door, jak i z Azure Application Gateway.

W Azure zasady WAF są niezależnym zasobem zawierającym zarządzane zestawy reguł i reguły niestandardowe. Należy utworzyć zasady, skonfigurować reguły, a następnie powiązać je z jednym lub większą liczbą punktów końcowych Front Door albo wystąpień Application Gateway. Taka rozdzielona konstrukcja oznacza, że jedne zasady WAF mogą chronić wiele punktów końcowych Front Door — pojedyncza zmiana zasad jest automatycznie propagowana do wszystkich powiązanych punktów końcowych. Zasady WAF istnieją w określonym regionie platformy Azure, ale po dołączeniu do Front Door ochrona jest stosowana globalnie we wszystkich lokalizacjach PoP.

Zasady WAF działają w dwóch trybach. Tryb wykrywania analizuje wszystkie żądania i rejestruje dopasowania do reguł, ale nie blokuje żadnego ruchu — jest przydatny podczas początkowego wdrażania, aby zrozumieć, jaki ruch zasady zablokowałyby przed ich wyegzekwowaniem. Tryb zapobiegania zarówno rejestruje, jak i aktywnie blokuje żądania spełniające warunki reguł. Najlepszą praktyką jest rozpoczęcie pracy w trybie wykrywania, przejrzenie dzienników WAF pod kątem fałszywych alarmów, dostrojenie reguł, a następnie przełączenie na tryb zapobiegania, gdy będą Państwo mieć pewność, że zasady są poprawne.

Microsoft Default Rule Set (DRS) to zarządzana grupa reguł utrzymywana przez zespół ds. bezpieczeństwa firmy Microsoft. Zawiera reguły wykrywające luki z OWASP Top 10, a także sygnatury botów i wzorce ataków polegających na wykorzystaniu wykradzionych danych uwierzytelniających. Firma Microsoft stale aktualizuje DRS, dodając nowe reguły w odpowiedzi na pojawiające się zagrożenia — nie muszą Państwo pisać reguł samodzielnie. Wersje DRS są wydawane okresowo (np. DRS 2.1), a podczas okna serwisowego można uaktualnić zasady WAF do nowszej wersji.

OWASP Core Rule Set (CRS) jest dostępny w usłudze Application Gateway WAF oraz jako część usługi CDN WAF w warstwie Verizon. Zawiera ponad 200 reguł obejmujących OWASP Top 10: ataki typu injection, błędy uwierzytelniania, ujawnienie poufnych danych, ataki typu XML external entity i wiele innych zagrożeń. Każda reguła ma identyfikator i grupę (np. REQUEST-942-APPLICATION-ATTACK-SQLI). Mogą Państwo wyłączyć poszczególne reguły według identyfikatora, aby wyeliminować false positives bez wyłączania całej grupy reguł.

Reguły niestandardowe pozwalają definiować konkretne warunki zezwalania na żądania lub ich blokowania, których nie obejmują zarządzane zestawy reguł. Reguła niestandardowa składa się z co najmniej jednego warunku dopasowania (np. źródłowy adres IP, identyfikator URI żądania, wartość nagłówka lub ciąg zapytania) połączonego z akcją (Allow, Block, Log lub Redirect). Reguły niestandardowe są oceniane przed zarządzanymi zestawami reguł i obsługują kolejność ustalaną za pomocą priorytetów. Typowe zastosowania to blokowanie określonych krajów, ograniczanie częstotliwości żądań agresywnych crawlerów lub dodanie zaufanego adresu IP systemu monitorowania do listy dozwolonych, aby omijał reguły WAF.

Reguły ograniczania liczby żądań ograniczają liczbę żądań HTTP pochodzących z jednego adresu IP klienta w określonym przedziale czasu (1 lub 5 minut). Gdy liczba żądań przekroczy próg, WAF zwraca temu klientowi kod HTTP 429 (Too Many Requests). Ograniczanie liczby żądań skutecznie chroni przed atakami brute force na logowanie, wykorzystywaniem wykradzionych danych uwierzytelniających oraz nadużywaniem interfejsów API. Próg liczby żądań i przedział czasu konfiguruje się w definicji reguły niestandardowej w zasadach WAF.

Zestaw reguł Bot Manager (dostępny w usłudze Front Door Premium) klasyfikuje ruch przychodzący jako ruch dobrych botów (zweryfikowane crawlery wyszukiwarek), złych botów (znane skanery i narzędzia do wyszukiwania luk) oraz nieznanych botów (niesklasyfikowany ruch automatyczny). Mogą Państwo skonfigurować akcję dla każdej kategorii — zezwalać dobrym botom, blokować złe boty i rejestrować nieznane boty. Bez ochrony przed botami automatyczne skanery mogą generować ogromne obciążenie ruchem, zwiększając koszty i maskując rzeczywisty ruch użytkowników w analizach.

Zarządzane zestawy reguł czasami generują false positives — blokują prawidłowe żądania, ponieważ przypadkowo pasują one do wzorca reguły zabezpieczeń. Na przykład system CMS z funkcją edycji tekstu sformatowanego może przesyłać kod HTML w treści żądań POST, co pasuje do reguły XSS. Wykluczenia WAF pozwalają wykluczyć określone atrybuty żądania (nagłówki żądania, pliki cookie, parametry ciągu zapytania lub pola treści żądania) z oceny reguł — globalnie albo dla konkretnej grupy reguł lub identyfikatora reguły — bez całkowitego wyłączania reguły.

WAF generuje dwa typy wpisów dziennika w usłudze Azure Monitor: dzienniki WAF (każde żądanie, które pasowało do reguły, niezależnie od tego, czy zostało zablokowane, czy tylko zarejestrowane) oraz dzienniki dostępu (wszystkie żądania, w tym te, które zostały przepuszczone bez dopasowania do żadnej reguły). Dzienniki te należy wysyłać do obszaru roboczego usługi Log Analytics i używać języka KQL do analizowania trendów zablokowanych żądań, identyfikowania najczęściej atakowanych punktów końcowych lub badania konkretnego adresu IP klienta. Skoroszyt WAF Insights w portalu udostępnia gotowe pulpity wizualizujące te dzienniki.

Aby aktywować ochronę WAF, należy skojarzyć zasady WAF z profilem zabezpieczeń Front Door. W portalu należy przejść do profilu Front Door, wybrać pozycję Security policies i dodać zasady WAF, określając domeny, których dotyczą. Można również użyć interfejsu wiersza polecenia do połączenia zasad. Po skojarzeniu WAF sprawdza wszystkie żądania HTTP/HTTPS docierające do tych domen Front Door, zanim zostaną one przekierowane do źródła. Z każdą domeną można skojarzyć jedne zasady WAF.

Sprawdź swoją wiedzę na temat zagadnień Microsoft Azure Fundamentals (AZ-900) przedstawionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: zasady WAF zawierają zarządzane zestawy reguł (Microsoft DRS i OWASP) oraz reguły niestandardowe, które sprawdzają ruch HTTP, zanim dotrze on do źródła; tryb wykrywania pozwala dostroić reguły przed przełączeniem na tryb zapobiegania; a reguły ograniczania liczby żądań chronią przed atakami brute force i nadużyciami. W następnej części omówimy używanie aparatu reguł Front Door do optymalizacji wydajności za pomocą przekierowań i nagłówków zabezpieczeń.