Firewall de Aplicações Web no Front Door

Um Web Application Firewall (WAF) inspeciona solicitações HTTP/HTTPS na Camada 7 e bloqueia padrões de ataque conhecidos antes que eles alcancem sua aplicação. Entre os ataques comuns que ele impede estão injeção de SQL, cross-site scripting (XSS), inclusão remota de arquivos e anomalias de protocolo. Sem um WAF, os invasores podem explorar vulnerabilidades no código da sua aplicação mesmo que sua rede esteja corretamente protegida. O Azure WAF integra-se ao Azure Front Door e ao Azure Application Gateway.

No Azure, uma política do WAF é um recurso independente que contém conjuntos de regras gerenciados e regras personalizadas. Você cria a política, configura as regras e, em seguida, associa a política a um ou mais pontos de extremidade do Front Door ou a instâncias do Application Gateway. Esse design desacoplado permite que uma única política do WAF proteja vários pontos de extremidade do Front Door — uma única alteração na política é propagada automaticamente para todos os pontos de extremidade associados. As políticas do WAF existem em uma região específica do Azure, mas, quando associadas ao Front Door, a proteção é aplicada globalmente em todos os PoPs.

As políticas do WAF operam em dois modos. O modo de detecção inspeciona todas as solicitações e registra as correspondências com as regras, mas não bloqueia nenhum tráfego — é útil na implantação inicial para entender qual tráfego sua política bloquearia antes de aplicá-la. O modo de prevenção registra as solicitações e também bloqueia ativamente aquelas que correspondem às condições das regras. A prática recomendada é começar no modo de detecção, revisar os logs do WAF em busca de falsos positivos, ajustar as regras e então mudar para o modo de prevenção quando você tiver certeza de que a política está correta.

O Microsoft Default Rule Set (DRS) é um grupo de regras gerenciado, mantido pela equipe de segurança da Microsoft. Ele contém regras que detectam as 10 principais vulnerabilidades do OWASP, além de assinaturas de bots e padrões de preenchimento abusivo de credenciais. A Microsoft atualiza continuamente o DRS com novas regras em resposta a ameaças emergentes — não é necessário escrever regras por conta própria. As versões do DRS são lançadas periodicamente (por exemplo, DRS 2.1), e é possível atualizar sua política do WAF para uma versão mais recente durante uma janela de manutenção.

O OWASP Core Rule Set (CRS) está disponível no Application Gateway WAF e como parte do WAF da CDN do nível Verizon. Ele contém mais de 200 regras que abrangem as 10 principais ameaças do OWASP: ataques de injeção, autenticação comprometida, exposição de dados confidenciais, ataques de entidades externas XML e muito mais. Cada regra tem um ID e um grupo (por exemplo, REQUEST-942-APPLICATION-ATTACK-SQLI). É possível desabilitar regras individuais por ID para suprimir falsos positivos sem desabilitar todo o grupo de regras.

As regras personalizadas permitem escrever condições específicas de permissão ou bloqueio que os conjuntos de regras gerenciados não abrangem. Uma regra personalizada consiste em uma ou mais condições de correspondência (por exemplo, IP de origem, URI da solicitação, valor do cabeçalho ou cadeia de consulta) combinadas com uma ação (permitir, bloquear, registrar ou redirecionar). As regras personalizadas são avaliadas antes dos conjuntos de regras gerenciados e permitem ordenar prioridades. Um caso de uso comum é bloquear países específicos, limitar a taxa de rastreadores agressivos ou incluir na lista de permissões um IP confiável de monitoramento que ignore as regras do WAF.

As regras de limitação de taxa restringem o número de solicitações HTTP de um único endereço IP de cliente dentro de uma janela de tempo (1 ou 5 minutos). Quando a contagem de solicitações excede o limite, o WAF retorna HTTP 429 (Too Many Requests) para esse cliente. A limitação de taxa é eficaz contra ataques de login por força bruta, preenchimento abusivo de credenciais e uso abusivo de APIs. O limite e a janela de solicitações são configurados como parte da definição da regra personalizada na política do WAF.

O conjunto de regras do Bot Manager (disponível no Front Door Premium) classifica o tráfego recebido como bots legítimos (rastreadores de mecanismos de pesquisa verificados), bots mal-intencionados (rastreadores e sondas de vulnerabilidades conhecidos) e bots desconhecidos (tráfego automatizado não classificado). É possível configurar a ação para cada categoria — permitir bots legítimos, bloquear bots mal-intencionados e registrar bots desconhecidos. Sem proteção contra bots, rastreadores automatizados podem gerar volumes enormes de tráfego, aumentando seus custos e ocultando o tráfego de usuários reais nas análises.

Às vezes, os conjuntos de regras gerenciados geram falsos positivos — bloqueando solicitações legítimas porque elas coincidem por acaso com o padrão de uma regra de segurança. Por exemplo, um CMS com edição de texto avançada pode enviar HTML nos corpos de solicitações POST que coincide com uma regra de XSS. As exclusões do WAF permitem excluir atributos específicos da solicitação (cabeçalhos da solicitação, cookies, parâmetros da cadeia de consulta ou campos do corpo da solicitação) da avaliação das regras, globalmente ou para um grupo de regras ou ID de regra específico, sem desabilitar a regra por completo.

O WAF gera dois tipos de entradas de registro no Azure Monitor: registros do WAF (todas as solicitações que coincidiram com uma regra, tenham sido bloqueadas ou registradas) e registros de acesso (todas as solicitações, inclusive as que foram aprovadas sem coincidir com nenhuma regra). Envie esses registros para um workspace do Log Analytics e use KQL para consultar tendências de solicitações bloqueadas, identificar os endpoints mais atacados ou investigar um IP de cliente específico. A pasta de trabalho WAF Insights no portal fornece painéis pré-configurados que visualizam esses registros.

Para ativar a proteção do WAF, é necessário associar a política do WAF ao perfil de segurança do Front Door. No portal, navegue até o perfil do Front Door, selecione Security policies e adicione a política do WAF, especificando a quais domínios ela se aplica. Como alternativa, use o CLI para vincular a política. Depois de associada, a política do WAF inspeciona todas as solicitações HTTP/HTTPS que chegam a esses domínios do Front Door antes de encaminhá-las para a origem. É possível associar uma política do WAF por domínio.

Test sua compreensão dos conceitos do Microsoft Azure Fundamentos (AZ-900) apresentados nesta lição.

Nesta lição, você aprendeu que: as políticas do WAF contêm conjuntos de regras gerenciados (Microsoft DRS, OWASP) e regras personalizadas que inspecionam o tráfego HTTP antes que ele chegue à origem; o modo de detecção permite ajustar as regras antes de mudar para o modo de prevenção; e as regras de limitação de taxa protegem contra força bruta e uso abusivo. A seguir, exploraremos o uso do mecanismo de regras do Front Door para otimizar o desempenho com redirecionamentos e cabeçalhos de segurança.