Azure Web Application Firewall auf Azure Front Door

Gilt für: ✔️ Front Door Standard/Premium ✔️ Front Door (classic) ✔️ CDN Standard von Microsoft (klassisch)

Azure Web Application Firewall (WAF) für Azure Front Door bietet zentralen Schutz für Ihre Webanwendungen. Eine Web Application Firewall WAF schützt Ihre Webdienste von gängigen Exploits und Sicherheitsrisiken. Die Lösung gewährleistet eine hohe Verfügbarkeit Ihres Diensts für Benutzer und unterstützt Sie bei der Erfüllung von Complianceanforderungen.

Azure Web Application Firewall für Azure Front Door ist eine globale und zentralisierte Lösung. Sie wird an Edgestandorten des Azure-Netzwerks auf der ganzen Welt bereitgestellt. WAF-fähige Webanwendungen untersuchen jede eingehende Anforderung, die von Azure Front Door im Edgebereich des Netzwerks übermittelt wird.

WAF vereitelt böswillige Angriffe in der Nähe der Angriffsquellen, bevor sie Ihr virtuelles Netzwerk erreichen. Sie erhalten globalen bedarfsgerechten Schutz ohne Leistungseinbußen. Eine WAF-Richtlinie kann problemlos mit einem beliebigen Azure Front Door-Profil in Ihrem Abonnement verknüpft werden. Neue Regeln lassen sich innerhalb weniger Minuten bereitstellen, um schnell auf veränderte Bedrohungsmuster zu reagieren.

Azure Front Door umfasst zwei Ebenen:

• Norm
• Prämie

Azure Web Application Firewall ist nativ in Azure Front Door Premium integriert und verfügt über sämtliche Funktionen. Bei Azure Front Door Standard werden nur benutzerdefinierte Regeln unterstützt.

Schutz

Azure Web Application Firewall schützt Ihre:

• Webanwendungen vor Sicherheitsrisiken und Angriffen im Web, ohne den Back-End-Code zu verändern.
• Webanwendungen vor schädlichen Bots mithilfe des IP-Reputationsregelsatzes schützen.
• Anwendungen gegen DDoS-Angriffe. Weitere Informationen finden Sie unter Anwendung DDoS-Schutz.

WAF-Richtlinien und -Regeln

Sie können eine WAF-Richtlinie konfigurieren und diese Richtlinie zu Schutzzwecken einer oder mehreren Azure Front Door-Domänen zuordnen. Eine WAF-Richtlinie besteht aus zwei verschiedenen Arten von Sicherheitsregeln:

• Benutzerdefinierte Regeln, die du erstellst.
• Verwaltete Regelsätze (eine Sammlung vorkonfigurierter Regelsätze, die von Azure verwaltet werden).

Wenn beides vorhanden ist, werden die benutzerdefinierten Regeln vor den Regeln eines verwalteten Regelsatzes verarbeitet. Eine Regel besteht aus einer Übereinstimmungsbedingung, einer Priorität und einer Aktion. Unterstützte Aktionstypen sind Zulassen, Blockieren, Protokollieren, Umleiten und Anomaliebewertung (für Default Rule Set 2.0 oder höher). Sie können eine vollständig angepasste Richtlinie erstellen, die Ihre speziellen Anforderungen an die Anwendungssicherheit erfüllt, indem Sie verwaltete und benutzerdefinierte Regeln kombinieren.

Die Regeln innerhalb einer Richtlinie werden nach Priorität verarbeitet. Bei der Priorität handelt es sich um eine eindeutige ganze Zahl, die die Reihenfolge der Regelverarbeitung definiert. Ein kleinerer ganzzahliger Wert steht für eine höhere Priorität; solche Regeln werden vor Regeln mit einem höheren ganzzahligen Wert ausgewertet. Nachdem eine Regel abgeglichen wurde, wird die entsprechende Aktion, die du in der Regel definiert hast, auf die Anfrage angewendet. Nach der Verarbeitung einer derartigen Übereinstimmung werden Regeln mit niedrigerer Priorität nicht weiter verarbeitet.

Einer von Azure Front Door bereitgestellten Webanwendung kann jeweils nur eine WAF-Richtlinie zugeordnet werden. Sie können jedoch eine Azure Front Door-Konfiguration auch ohne eine zugehörige WAF-Richtlinie erstellen. Wenn eine WAF-Richtlinie vorhanden ist, wird sie auf alle Edge-Standorte von Microsoft repliziert, um weltweit einheitliche Sicherheitsrichtlinien zu gewährleisten.

Geltungsbereiche von Richtlinien

Mit Azure Front Door können Sie WAF-Richtlinien an mehreren Scopes anhängen, sodass Sie breiten Schutz mit gezielten Kontrollen ausbalancieren können:

• Profil-Level-Policy: Wendet eine gemeinsame Baseline-Policy über das Azure Front Door-Profil an.
• Domain-Level-Policy: Verwendet Richtlinieneinstellungen auf bestimmte Domains im Profil.
• Richtlinie auf Routenebene: Wendet die spezifischste Richtlinie auf ausgewählte Routen an.

Du kannst einen einzelnen Scope verwenden oder mehrere Scopes je nach deinen Bereitstellungsanforderungen kombinieren.

Richtlinienpriorität

Wenn mehr als ein Richtlinienumfang auf eine Anfrage angewendet wird, verwendet Azure Front Door WAF den spezifischsten Umfang:

1. Richtlinie auf Routenebene
2. Richtlinie auf Domänenebene
3. Richtlinie auf Profilebene

Wenn beispielsweise eine Anfrage sowohl einer Profil-Level-Policy als auch einer Route-Level-Policy entspricht, wendet Azure Front Door WAF die Route-Level-Policy für diese Anfrage an.

WAF-Modi

Für die Ausführung einer WAF-Richtlinie können zwei Modi konfiguriert werden:

• Erkennung: Wenn eine WAF im Erkennungsmodus ausgeführt wird, wird die Anforderung und die entsprechende WAF-Regel nur überwacht und in WAF-Protokollen protokolliert. Es werden keine anderen Aktionen ausgeführt. Sie können die Protokollierung von Diagnosedaten für Azure Front Door aktivieren. Navigieren Sie bei Verwendung des Portals zum Abschnitt Diagnose.
• Schutz: Im Schutzmodus führt eine WAF die angegebene Aktion aus, wenn eine Anforderung einer Regel entspricht. Nachdem eine Entsprechung gefunden wurde, werden keine weiteren Regeln mit niedrigerer Priorität mehr ausgewertet. Alle übereinstimmenden Anfragen werden außerdem in den WAF-Protokollen protokolliert.

WAF-Aktionen

Für WAF-Kunden stehen die folgenden Aktionen zur Auswahl, die beim Erfüllen einer Regelbedingung durch eine Anforderung ausgeführt werden:

• Zulassen (Allow): Die Anforderung passiert die WAF und wird an den Ursprung weitergeleitet. Diese Anforderung kann mit Regeln niedrigerer Priorität nicht mehr gesperrt werden.
• Blockieren (Block): Die Anforderung wird gesperrt und die WAF sendet eine Antwort an den Client, ohne die Anforderung an den Ursprung weiterzuleiten.
• Protokollieren (Log): Die Anforderung wird in den WAF-Protokollen protokolliert, und die WAF setzt den Vorgang mit dem Auswerten von Regeln mit niedrigerer Priorität fort.
• Umleiten (Redirect): WAF leitet die Anforderung an den angegebenen URI weiter. Der angegebene URI ist eine Einstellung auf Richtlinienebene. Nach der Konfiguration werden alle Anforderungen, die der Aktion Redirect entsprechen, an diesen URI gesendet.
• Anomaliescore: Der Gesamtanomaliescore wird inkrementell erhöht, wenn eine Regel mit dieser Aktion abgeglichen wird. Diese Standardaktion gilt für Standardregelsatz 2.0 oder höher. Sie gilt nicht für den Bot Manager-Regelsatz.

WAF-Regeln

Eine WAF-Richtlinie kann aus zwei verschiedenen Arten von Sicherheitsregeln bestehen:

• Benutzerdefinierte Regeln, von dir erstellt, und verwaltete Regelsätze
• Von Azure verwaltete, vorkonfigurierte Regelsätze

Benutzerdefinierte Regeln

Verwenden Sie die folgenden Steuerelemente, um benutzerdefinierte Regeln für eine WAF zu konfigurieren:

• IP-Erlaubnisliste und Blockliste: Kontrollieren Sie den Zugriff auf Ihre Webanwendungen basierend auf einer Liste von Client-IP-Adressen oder IP-Adressbereichen. Unterstützt werden sowohl IPv4- als auch IPv6-Adresstypen. Konfigurieren Sie diese Liste so, dass Anfragen entweder blockiert oder erlaubt werden, wenn die Quell-IP mit einer IP in der Liste übereinstimmt.
• Geografisch basierte Zugriffskontrolle: Kontrollieren Sie den Zugriff auf Ihre Webanwendungen basierend auf dem Ländercode, der mit der IP-Adresse eines Kunden verknüpft ist.
• HTTP-parameterbasierte Zugriffskontrolle: Grundregeln für String-Übereinstimmungen in HTTP/HTTPS-Anfrageparametern. Hierzu zählen beispielsweise Abfragezeichenfolgen, POST-Argumente, Anforderungs-URI, Anforderungsheader und Anforderungstext.
• Anforderungsmethodenbasierte Zugriffskontrolle: Grundregeln auf der HTTP-Anforderungsmethode der Anfrage. Beispiele hierfür sind GET, PUT oder HEAD.
• Größenbeschränkung: Basieren Regeln auf den Längen bestimmter Teile einer Anfrage, wie zum Beispiel Abfragestring, Uri oder Request Body.
• Ratenbegrenzung: Mit einer Regel für die Ratenbegrenzung kann außergewöhnlich hoher Datenverkehr von einer beliebigen Client-IP-Adresse eingeschränkt werden. Sie können einen Schwellenwert für die Anzahl der Webanforderungen konfigurieren, die von einer Client-IP-Adresse während einer Minute zulässig sind. Diese Regel unterscheidet sich von der benutzerdefinierten Regel mit einer Liste zugelassener oder gesperrter IP-Adressen, die alle Anforderungen von einer Client-IP-Adresse entweder zulässt oder blockiert. Für eine präzise Ratensteuerung kann die Ratenbegrenzung mit anderen Übereinstimmungsbedingungen (etwa mit HTTP(S)-Parametern) kombiniert werden.

Von Azure verwaltete Regelsätze

Von Azure verwaltete Regelsätze bieten eine einfache Möglichkeit zum Bereitstellen von Schutz vor allgemeinen Sicherheitsbedrohungen. Da Azure diese Regelsätze verwaltet, aktualisiert es die Regeln nach Bedarf, um sich gegen neue Angriffssignaturen zu schützen. Der von Azure verwaltete Standardregelsatz enthält Regeln für die folgenden Bedrohungskategorien:

• Cross-Site-Scripting
• Java-Angriffe
• Lokale Dateieinbindung
• PHP-Code-Injection-Angriffe
• Remotebefehlsausführung
• Remote-Datei-Einbindung
• Session Fixation
• Schutz vor Einschleusung von SQL-Befehlen
• Protokollangreifer

Benutzerdefinierte Regeln werden immer vor den Regeln im Standardregelsatz ausgewertet. Wenn eine Anforderung einer benutzerdefinierten Regel entspricht, wird die entsprechende Regelaktion angewendet. Die Anforderung wird entweder gesperrt oder an das Back-End weitergeleitet. Es werden keine weiteren benutzerdefinierten Regeln oder Regeln im Standardregelsatz verarbeitet. Der Standardregelsatz kann auch aus WAF-Richtlinien entfernt werden.

Weitere Informationen finden Sie unter Standardregelsatzregelgruppen und Regeln der Web Application Firewall.

Bot-Schutzregelsatz

Aktivieren Sie ein Regelset zum Schutz eines verwalteten Bots, um benutzerdefinierte Aktionen auf Anfragen aus allen Bot-Kategorien auszuführen.

Das Regelwerk unterstützt drei Bot-Kategorien: Schlecht, Gut und Unbekannt. Die WAF-Plattform verwaltet und aktualisiert Botsignaturen dynamisch.

• Ungültig: Ungültige Bots sind Bots mit schädlicher IP-Adresse sowie Bots mit gefälschter Identität. Zu den schädlichen Bots gehören bösartige IP-Adressen, die in den hochzuverlässigen IP-Feeds für Kompromittierungsindikatoren und IP-Reputation von Microsoft Threat Intelligence enthalten sind. Zu ungültigen Bots zählen außerdem Bots, die sich als gute Bots ausgeben, deren IP-Adressen aber nicht zu legitimen Bot-Herausgebern gehören.
• Gut: Gute Bots sind vertrauenswürdige User-Agents. Regeln guter Bots werden in mehrere Kategorien unterteilt, um eine präzise Kontrolle über die WAF-Richtlinienkonfiguration zu ermöglichen. Diese Kategorien umfassen überprüfte Suchmaschinen-Bots (wie Googlebot und Bingbot), überprüfte Bots für die Linküberprüfung, überprüfte Social Media-Bots (z. B. Facebookbot und LinkedInBot), überprüfte Werbe-Bots, überprüfte Bots für die Inhaltsüberprüfung und überprüfte sonstige Bots.
• Unbekannt: Unbekannte Bots sind Benutzer-Agents ohne zusätzliche Überprüfung. Unbekannte Bots umfassen außerdem bösartige IP-Adressen, die aus den Medium Confidence IP Indicators of Compromise des Microsoft Threat Intelligence Feeds stammen.

Die WAF-Plattform verwaltet und aktualisiert Botsignaturen dynamisch. Sie können benutzerdefinierte Aktionen festlegen, um Bots der unterschiedlichen Kategorien zu sperren, zuzulassen, zu protokollieren oder umzuleiten.

Wenn der Bot-Schutz aktiviert ist, werden eingehende Anforderungen, die Bot-Regeln entsprechen, basierend auf der konfigurierten Aktion blockiert, zugelassen oder protokolliert. Standardmäßig gilt: Ungültige Bots werden blockiert, gute Bots werden zugelassen, und unbekannte Bots werden protokolliert. Sie können benutzerdefinierte Aktionen festlegen, um Bots unterschiedlicher Typen zu sperren, zuzulassen, zu protokollieren oder per JavaScript-Challenge zu überprüfen. Sie können von einem Speicherkonto, Event Hub oder Log Analytics aus auf WAF-Protokolle zugreifen oder Protokolle an eine Partnerlösung senden.

Der Bot Manager 1.1-Regelsatz ist in der Premium-Version von Azure Front Door verfügbar.

Weitere Informationen finden Sie unter Azure WAF’s Bot Manager 1.1 und JavaScript-Herausforderung: im Umgang mit Botbedrohungen.

Konfiguration

Alle WAF-Richtlinien können über das Azure-Portal, mithilfe von REST-APIs, unter Verwendung von Azure Resource Manager-Vorlagen und per Azure PowerShell konfiguriert und bereitgestellt werden. Sie können Azure WAF-Richtlinien auch in großem Maßstab über die Azure Firewall Manager-Integration konfigurieren und verwalten. Weitere Informationen finden Sie unter Verwenden von Azure Firewall Manager zum Verwalten von Azure Web Application Firewall-Richtlinien.

Überwachung

Die Überwachung einer WAF für Azure Front Door ist in Azure Monitor integriert und dient dazu, Warnungen zu verfolgen und Trends im Datenverkehr einfach zu überwachen. Weitere Informationen finden Sie unter Azure Web Application Firewall-Überwachung und -Protokollierung.

Verwandte Inhalte

• Konfigurieren Sie eine WAF-Richtlinie mithilfe des Azure-Portals
• DRS-Regelgruppen und -regeln der Web Application Firewall
• Best Practices für Web Application Firewall auf Azure Front Door