Web Application Firewall i Front Door

En Web Application Firewall (WAF) granskar HTTP/HTTPS-begäranden på lager 7 och blockerar kända attackmönster innan de når ditt program. Vanliga attacker som den förhindrar är bland annat SQL-injektion, cross-site scripting (XSS), inkludering av fjärrfiler och protokollavvikelser. Utan en WAF kan angripare utnyttja sårbarheter i programkoden även om nätverket är korrekt låst. Azure WAF integreras med både Azure Front Door och Azure Application Gateway.

I Azure är en WAF-policy en fristående resurs som innehåller hanterade regeluppsättningar och anpassade regler. Du skapar policyn, konfigurerar reglerna och associerar den sedan med en eller flera Front Door-endpoints eller Application Gateway-instanser. Denna frikopplade utformning innebär att en WAF-policy kan skydda flera Front Door-endpoints – en enda ändring i policyn distribueras automatiskt till alla associerade endpoints. WAF-policyer finns i en specifik Azure-region, men när de är kopplade till Front Door tillämpas skyddet globalt på alla PoP:er.

WAF-policyer fungerar i två lägen. Identifieringsläget granskar alla begäranden och loggar matchningar mot regler, men blockerar ingen trafik – det är användbart vid den första distributionen för att förstå vilken trafik policyn skulle blockera innan du börjar tillämpa den. Förebyggandeläget loggar begäranden och blockerar aktivt de begäranden som matchar regelvillkoren. En rekommenderad metod är att börja i identifieringsläget, granska WAF-loggarna för falska positiva resultat, finjustera reglerna och sedan växla till förebyggandeläget när du är säker på att policyn är korrekt.

Microsofts standardregeluppsättning (DRS) är en hanterad regelgrupp som underhålls av Microsofts säkerhetsteam. Den innehåller regler som upptäcker sårbarheterna i OWASP Top 10 samt botsignaturer och mönster för credential stuffing. Microsoft uppdaterar kontinuerligt DRS med nya regler som svar på nya hot – du behöver inte skriva regler själv. DRS-versioner släpps regelbundet (till exempel DRS 2.1), och du kan uppgradera din WAF-princip till en nyare version under ett underhållsfönster.

OWASP Core Rule Set (CRS) finns i Application Gateway WAF och som en del av CDN WAF på Verizon-nivå. Den innehåller över 200 regler som täcker OWASP Top 10: injektionsattacker, bristande autentisering, exponering av känsliga data, XML External Entity-attacker med mera. Varje regel har ett ID och en grupp (till exempel REQUEST-942-APPLICATION-ATTACK-SQLI). Du kan inaktivera enskilda regler efter ID för att undertrycka falska positiva utan att inaktivera hela regelgruppen.

Anpassade regler låter dig skriva specifika villkor för att tillåta eller blockera trafik som hanterade regeluppsättningar inte täcker. En anpassad regel består av ett eller flera matchningsvillkor (till exempel käll-IP, begärande-URI, rubrikvärde eller frågesträng) som kombineras med en åtgärd (Allow, Block, Log eller Redirect). Anpassade regler utvärderas före hanterade regeluppsättningar och stöder prioritetsordning. Ett vanligt användningsområde är att blockera specifika länder, begränsa frekvensen för aggressiva sökrobotar eller vitlista en betrodd övervaknings-IP-adress som kringgår WAF-regler.

Regler för frekvensbegränsning begränsar antalet HTTP-begäranden från en enskild klient-IP-adress inom ett tidsfönster (1 eller 5 minuter). När antalet begäranden överskrider tröskelvärdet returnerar WAF HTTP 429 (Too Many Requests) till klienten. Frekvensbegränsning är effektivt mot brute force-inloggningsattacker, credential stuffing och missbruk av API:er. Du konfigurerar tröskelvärdet och tidsfönstret som en del av definitionen av den anpassade regeln i WAF-principen.

Bot Manager-regeluppsättningen (tillgänglig i Front Door Premium) klassificerar inkommande trafik som goda botar (verifierade sökmotorsrobotar), skadliga botar (kända skannrar och sårbarhetstestare) och okända botar (oklassificerad automatiserad trafik). Du kan konfigurera åtgärden per kategori – tillåta goda botar, blockera skadliga botar och logga okända botar. Utan botskydd kan automatiserade skannrar generera enorma trafikmängder som ökar kostnaderna och döljer verklig användartrafik i analysen.

Hanterade regeluppsättningar genererar ibland falska positiva – legitima begäranden blockeras eftersom de råkar matcha ett mönster i en säkerhetsregel. Ett CMS med redigering av RTF-innehåll kan till exempel skicka HTML i POST-innehåll som matchar en XSS-regel. Med WAF-undantag kan du undanta specifika begärandeattribut (begäranderubriker, cookies, frågesträngsparametrar eller fält i begärandeinnehållet) från regelutvärderingen, antingen globalt eller för en specifik regelgrupp eller ett specifikt regel-ID, utan att inaktivera regeln helt.

WAF genererar två typer av loggposter i Azure Monitor: WAF-loggar (varje begäran som matchade en regel, oavsett om den blockerades eller loggades) och åtkomstloggar (alla begäranden, även de som tilläts utan att matcha någon regel). Skicka loggarna till en Log Analytics-arbetsyta och använd KQL för att analysera trender för blockerade begäranden, identifiera de mest attackerade slutpunkterna eller undersöka en specifik klient-IP-adress. Arbetsboken WAF Insights i portalen innehåller färdiga instrumentpaneler som visualiserar dessa loggar.

För att aktivera WAF-skydd måste du associera WAF-principen med din Front Door-säkerhetsprofil. Gå till din Front Door-profil i portalen, välj Security policies och lägg till WAF-principen genom att ange vilka domäner den gäller för. Du kan också använda CLI:t för att länka principen. När principen har associerats granskar WAF alla HTTP-/HTTPS-begäranden som anländer till dessa Front Door-domäner innan de dirigeras till ursprunget. Du kan associera en WAF-princip per domän.

I den här lektionen har du lärt dig att WAF-principer innehåller hanterade regeluppsättningar (Microsoft DRS och OWASP) samt anpassade regler som granskar HTTP-trafik innan den når ditt ursprung, att identifieringsläget låter dig finjustera regler innan du växlar till förebyggande läge och att regler för frekvensbegränsning skyddar mot brute force-attacker och missbruk. Härnäst utforskar vi hur Front Doors regelmotor kan optimera prestandan med omdirigeringar och säkerhetsrubriker.