Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Azure Front Door ist ein Cloud-Content-Delivery-Netzwerk (CDN) und globaler Anwendungslieferdienst, der Edge-Routing, Beschleunigung, Web-Anwendungs-Firewall (WAF) und Ursprungsschutzfunktionen für internetorientierte Anwendungen bietet. Da Azure Front Door häufig der öffentliche Einstiegspunkt für Anwendungen ist, hilft sichere Konfiguration, den Datenverkehr, die Ursprünge, die Zertifikate und die Betriebstelemetrie zu schützen.
Dieser Artikel bietet Sicherheitsempfehlungen, um Ihre Azure Front Door-Bereitstellung zu schützen.
Azure Front Door (klassisch) wird am 31. März 2027 eingestellt. Um Servicestörungen zu vermeiden, migrern Sie Ihre Azure Front Door (Classic) Profile bis zu diesem Datum auf Azure Front Door Standard oder Premium Tier. Die Standard- und Premium-Stufen verwenden die aktuelle Azure Front Door-Plattform. Premium fügt vollständige WAF-Funktionen, verwaltete Regelsätze und Unterstützung für Private Link Origin hinzu, und beide Stufen unterstützen verwaltete Identitäten. Weitere Informationen finden Sie unter Migrate from Azure Front Door (classic) zur Standard- oder Premium-Stufe.
Die Sicherheitsempfehlungen in diesem Artikel implementieren Zero Trust-Prinzipien: "Explizit überprüfen", "Minimalen Berechtigungszugriff verwenden" und "Verletzung als gegeben ansehen". Umfassende Anleitungen zu Zero Trust finden Sie im Zero Trust Guidance Center.
Netzwerksicherheit
Die Netzwerksicherheit von Azure Front Door konzentriert sich darauf, Anwendungen am Rand zu schützen, die direkte Ursprungsgefährdung zu verringern und die Anfragen zu steuern, die Ihre Backend-Dienste erreichen können.
Migration zu Azure Front Door Standard oder Premium: Wechsel vor der Pensionierung von Azure Front Door (Classic) und nutze die Standard- oder Premium-Stufe für die aktuelle Azure Front Door-Plattform. Nutze Premium, wenn du vollständige WAF-Funktionen, verwaltete Regelsätze oder Unterstützung für Private Link Origin brauchst. Weitere Informationen finden Sie unter Migrate from Azure Front Door (classic) zur Standard- oder Premium-Stufe.
Sichere Origins mit Private Link: Verwenden Sie Azure Front Door Premium mit Azure Private Link für unterstützte Azure Origins, um den Ursprungsverkehr vom öffentlichen Internet fernzuhalten und die Gefährdung direkter Angriffe auf Backend-Dienste zu verringern. Weitere Informationen finden Sie unter Secure your origin with Private Link in Azure Front Door.
Direktzugriff einschränken: Konfigurieren Sie Ursprünge so, dass sie nur Verkehr von Azure Front Door akzeptieren, indem Sie unterstützte Kontrollen für jeden Ursprungstyp verwenden, wie z. B. Private Link, verwaltete Identitätsursprungsauthentifizierung für nicht-Private Link-Ursprünge, IP-Filterung mit dem
AzureFrontDoor.BackendService-Tag und Validierung des HeadersX-Azure-FDID. Weitere Informationen finden Sie unter Sicherer Datenverkehr zu Azure Front Door-Ursprüngen.Aktivieren Sie die Web Application Firewall: Verknüpfen Sie eine WAF-Richtlinie mit Azure Front Door, um Anfragen am Rand zu überprüfen, bevor der Datenverkehr Ihren Ursprung erreicht. Nutze Azure Front Door Premium, wenn du verwaltete Regelsätze und vollständige WAF-Funktionen brauchst. Weitere Informationen finden Sie unter Webanwendungsfirewall auf Azure Front Door.
Verwenden Sie den neuesten verwalteten Default Rule Set: Halten Sie Premium-WAF-Richtlinien auf der aktuell verfügbaren Version von Default Rule Set (DRS) 2.x, und überprüfen Sie Regeländerungen vor der Einführung in die Produktion. DRS 2.2 basiert auf dem OWASP Core Rule Set (CRS) 3.3.4 und enthält Microsoft Threat Intelligence-Schutzmaßnahmen. Weitere Informationen finden Sie unter DRS-Regelgruppen und -Regeln für Azure Web Application Firewall.
Abstimmen Sie WAF vor der Durchsetzung von Blocks: Beginnen Sie mit dem Erkennungsmodus, überprüfen Sie die WAF-Protokolle, fügen Sie Ausschlüsse nur dort hinzu, wo erforderlich, und schalten Sie dann die Produktionsrichtlinien in den Präventionsmodus, damit böswillige Anfragen blockiert werden. Weitere Informationen finden Sie unter Best Practices für Azure Web Application Firewall in Azure Front Door.
Bot-Schutz aktivieren: Fügen Sie das Bot Manager-Regelset zu den Premium-WAF-Richtlinien hinzu, um gute, schlechte und unbekannte Bots zu identifizieren und entsprechende Maßnahmen für automatisierten Datenverkehr anzuwenden. Weitere Informationen finden Sie unter Botschutz für Web Application Firewall mit Azure Front Door konfigurieren.
Verwenden Sie Rate Limiting, um Missbrauch zu reduzieren: Konfigurieren Sie benutzerdefinierte WAF-Rate-Limiting-Regeln, um abnormale Anfragevolumen nach Socket-IP-Adresse zu blockieren und um Retry-Storms oder Denial-of-Service-Versuche auf Anwendungsebene zu reduzieren. Weitere Informationen finden Sie unter WAF Rate Limiting für Azure Front Door.
Geo-Filterung anwenden, wo der Zugriff regionsgebunden ist: Verwenden Sie WAF-Geo-Filter-benutzerdefinierte Regeln, wenn Ihre Anwendung eigentlich nur aus bestimmten Ländern oder Regionen verfügbar sein sollte. Schließen Sie den unbekannten Standort (
ZZ) in den Regelentwurf ein, um falsch positive Ergebnisse zu vermeiden. Weitere Informationen finden Sie unter Geofilterung für eine Domäne in Azure Front Door.Nutzen Sie integrierte DDoS-Schutzmaßnahmen am Edge: Verlassen Sie sich auf das globale Edge-Netzwerk und die WAF-Integration von Azure Front Door, um viele Netzwerk- und Anwendungsangriffe zu absorbieren und zu filtern, bevor sie Ihren Ursprung erreichen. Weitere Informationen finden Sie unter DDoS-Schutz auf Azure Front Door.
Identitäts- und Zugriffsverwaltung
Identitäts- und Zugriffsmanagement für Azure Front Door konzentriert sich darauf, Microsoft Entra-Identitäten statt Geheimnisse zu verwenden und einzuschränken, wer Edge-Routing, WAF, Zertifikate und Ursprungseinstellungen ändern kann.
Aktivieren Sie verwaltete Identitäten für den Servicezugriff: Verwenden Sie system- oder benutzerzugewiesene verwaltete Identitäten, damit Azure Front Door auf Azure-Ressourcen wie Key Vault ohne gespeicherte Zugangsdaten zugreifen kann. Weitere Informationen finden Sie unter Verwenden von verwalteten Identitäten in Azure Front Door.
Verwenden Sie verwaltete Identitäten für die Ursprungsauthentifizierung (Vorschau): Für unterstützte nicht-Private Link Origins konfigurieren Sie die Azure Front Door-Ursprungauthentifizierung mit verwalteten Identitäten, damit Front Door Microsoft Entra-Token erhalten und sich auf geschützte Backend-Ressourcen authentifizieren kann. Diese Funktion befindet sich in der Vorschau; Überprüfen Sie, ob Vorschaufunktionen Ihre Produktionsanforderungen erfüllen, bevor Sie sie übernehmen. Weitere Informationen finden Sie unter Verwenden verwalteter Identitäten zur Authentifizierung bei Ursprüngen.
Gewähren Sie Front Door-Identitäten das geringste Privileg: Weisen Sie nur die Rollen zu, die für das Ursprungs- oder Zertifikatsszenario erforderlich sind, wie z. B. Nur-Lese-Datenzugriff auf einen Speicherursprung oder Zertifikatszugriff auf Key Vault. Weisen Sie keine umfassenden Beitragsberechtigungen an verwaltete Identitäten zu. Weitere Informationen finden Sie unter Verwenden verwalteter Identitäten zur Authentifizierung bei Ursprüngen.
Beschränken Sie den administrativen Zugriff auf Front Door-Ressourcen: Weisen Sie Azure-Rollen zur rollenbasierten Zugriffskontrolle (Azure RBAC) nur Administratoren zu, die Profile, Endpunkte, Domains, Routen, Ursprünge und WAF-Richtlinien verwalten müssen. Überprüfe regelmäßig Rollenzuweisungen und entferne veralteten Zugriff. Weitere Informationen finden Sie unter Schritte zur Zuweisung einer Azure-Rolle.
Nutzen Sie berechtigten Zugriff für privilegierte Operationen: Erfordern Sie Just-in-Time-Aktivierung für Nutzer, die Produktionsprofile von Front Door, WAF-Richtlinien, benutzerdefinierte Domains und Ursprungseinstellungen ändern können. Weitere Informationen finden Sie unter Azure-Ressourcenrollen in Privileged Identity Management aktivieren.
Datenschutz
Der Datenschutz für Azure Front Door konzentriert sich auf die Verschlüsselung von Datenverkehr, den Schutz von Zertifikaten und Schlüsseln sowie die Vermeidung unbeabsichtigter Offenlegung sensibler Inhalte durch Randfunktionen.
Verwenden Sie End-to-End-TLS: Konfigurieren Sie HTTPS von Clients zu Azure Front Door und von Azure Front Door zu Origins, sodass der Datenverkehr über den gesamten Anfragepfad verschlüsselt bleibt. Weitere Informationen finden Sie unter End-to-End-TLS mit Azure Front Door.
Konfigurieren Sie aktuelle TLS-Richtlinien: Verwenden Sie die neueste vordefinierte TLS-Richtlinie oder eine individuelle TLS-Richtlinie, die Ihre Sicherheitsanforderungen für Mindestprotokollversionen und Chiffre-Suiten erfüllt. Weitere Informationen finden Sie unter Azure Front Door TLS-Richtlinie.
Verlassen Sie sich nicht auf Front Door für die Authentifizierung von Client-Zertifikaten: Front Door Standard und Premium unterstützen derzeit keine Client- oder gegenseitige Authentifizierung (mTLS). Wenn deine Arbeitslast mTLS benötigt, implementiere diese Steuerung an einer Ursprungs- oder alternativen Ingress-Schicht und validiere den vollständigen Anfragepfad. Weitere Informationen finden Sie unter Azure Front Door TLS-Richtlinie.
Zertifikate in Azure Key Vault verwalten: Speichern kundenverwaltete TLS-Zertifikate in Key Vault, verwenden Sie eine verwaltete Identität für den Zugriff, aktivieren Sie die automatische Zertifikatsverlängerung, wo anwendbar, und schützen Sie den Tresor mit Soft-Delete- und Purge-Schutz. Weitere Informationen finden Sie unter Konfigurieren von HTTPS für eine benutzerdefinierte Domäne in Azure Front Door und Übersicht über das vorläufige Löschen in Azure Key Vault.
Speichern Sie keine sensiblen Inhalte: Konfigurieren Sie die Caching-Regeln sorgfältig, damit private, authentifizierte oder regulierte Inhalte nicht unbeabsichtigt am Rand gespeichert werden. Verwenden Sie Cache-Control-Header und Routenebene-Caching-Einstellungen, die zu Ihrer Datenklassifikation passen. Weitere Informationen finden Sie unter Zwischenspeicherung mit Azure Front Door.
Schützen Sie sensible Daten in WAF-Protokollen: Nutzen Sie den WAF-Schutz für sensible Daten, um die Exposition sensibler Werte in WAF-Protokollen zu verringern, wenn Ihre Richtlinie Anfragen prüft, die möglicherweise Geheimnisse oder persönliche Daten enthalten. Weitere Informationen finden Sie unter Schutz sensibler Daten für Azure Web Application Firewall auf Azure Front Door.
Protokollierung und Überwachung
Die Protokollierung und Überwachung für Azure Front Door bieten Einblick in Zugriffsmuster, WAF-Aktionen, den Zustand der Ursprungsserver, Zertifikatsprobleme und Konfigurationsänderungen.
Ressourcenprotokolle aktivieren: Konfigurieren Sie Diagnoseeinstellungen für Zugriffsprotokolle, WAF-Protokolle und Gesundheitsprobe-Protokolle. Senden Sie diese Protokolle an Log Analytics, Storage, Event Hubs oder ein Security Information and Event Management (SIEM)-Tool. Weitere Informationen finden Sie unter Konfigurieren von Azure Front Door-Protokollen.
WAF-Aktivitäten überwachen: Überprüfen Sie WAF-Protokolle auf blockierte Anfragen, Fehlalarme, Bot-Aktivitäten, rate-limitierte Clients und Angriffsmuster. Nutzen Sie diese Informationen, um Richtlinien anzupassen und zu bestätigen, dass der Präventionsmodus wirksam ist. Weitere Informationen finden Sie unter Azure Web Application Firewall-Überwachung und -Protokollierung.
Überwachen Sie die Ursprungsgesundheit und Failover-Signale: Verwenden Sie Gesundheitsprobe-Logs und Ursprungsmetriken, um ungesunde Ursprünge, regionale Ausfälle, DNS-Auflösungsprobleme, TLS-Handshake-Fehler und Failover-Ereignisse zu identifizieren. Weitere Informationen finden Sie unter Monitor Azure Front Door.
Erstellen von Warnungen für Sicherheits- und Verfügbarkeitsereignisse: Konfigurieren Sie Azure Monitor-Warnungen für erhöhte 4xx- oder 5xx-Raten, WAF-Blockierungen, prozentuale Einbrüche bei der Ursprungsintegrität, Latenzänderungen und zertifikatbezogene Fehler. Weitere Informationen finden Sie unter Referenz zu den Überwachungsdaten von Azure Front Door und Erstellen oder Bearbeiten einer Warnungsregel.
WAF-Telemetrie an Microsoft Sentinel weiterleiten: Verbinden Sie WAF-Logs mit Microsoft Sentinel oder einem anderen SIEM, um Randsicherheitsereignisse mit Anwendungs-, Identitäts- und Infrastruktursignalen zu korrelieren. Weitere Informationen finden Sie unter Verwenden von Microsoft Sentinel mit Azure Web Application Firewall.
Compliance und Governance
Compliance und Governance für Azure Front Door helfen dabei, eine konsistente Konfiguration, kontrolliertes Change Management und eine prüfbare Sicherheitslage über Profile und Abonnements hinweg sicherzustellen.
Definiere die Front Door-Konfiguration als Code: Verwalten Sie Profile, Endpunkte, Routen, Ursprünge, WAF-Assoziationen und Sicherheitseinstellungen, indem Sie Bicep, Azure Resource Manager-Vorlagen, Terraform oder eine andere Infrastruktur als Codeprozess verwenden. Dieser Ansatz reduziert Konfigurationsdrift. Weitere Informationen finden Sie unter Erstellen einer Azure Front Door mit Bicep.
WAF-Richtlinienänderungen versionieren: Speichern Sie benutzerdefinierte WAF-Regeln, Ausschlüsse, Versionen verwalteter Regelsätze und Richtlinieneinstellungen in der Quellcodeverwaltung. Diese Praxis stellt sicher, dass Regelabstimmung und Regelsatz-Updates überprüft, getestet und rückgängig gemacht werden können. Weitere Informationen finden Sie unter Best Practices für Azure Web Application Firewall in Azure Front Door.
Konfigurationsänderungen überprüfen: Verwenden Sie Aktivitätsprotokolle und Diagnosedaten, um Änderungen an Front Door-Profilen, Routen, Ursprüngen, benutzerdefinierten Domains und WAF-Richtlinien nachzuverfolgen. Untersuchen Sie unerwartete Veränderungen als potenzielle Sicherheitsereignisse. Weitere Informationen finden Sie unter Monitor Azure Front Door.
Standardisieren Sie die Anforderungen an die Ursprungssicherheit: Wenden Sie konsistente Anforderungen für Private Link, verwaltete Identitätsursprungsauthentifizierung,
X-Azure-FDIDValidierung und erlaubte Hostnamen über alle Anwendungsursprünge an. Weitere Informationen finden Sie unter Sicherer Datenverkehr zu Azure Front Door-Ursprüngen.Dokumentieren Sie Hochverfügbarkeits-Ausnahmen: Wenn ein Disaster Recovery-Design alternative Eingangspfade erfordert, die keine Azure Front Door Private Link oder
X-Azure-FDIDValidierung nutzen können, dokumentieren Sie kompensierende Kontrollen wie tokenbasierte Ursprungsauthentifizierung, benutzerdefinierte Header, mTLS am alternativen Eingang oder IP-Filterung. Weitere Informationen finden Sie im High-Availability-Implementierungsleitfaden zur Nutzung von Azure Front Door und alternativen Ingress-Lösungen.
Sicherung und Wiederherstellung
Backup und Wiederherstellung für Azure Front Door konzentrieren sich darauf, die Konfiguration zu erhalten, alternative Ursprünge verfügbar zu halten und Failover-Pfade vor einem Ausfall zu validieren.
Verwalten Sie die Front Door-Konfiguration als Infrastruktur als Code: Definieren und erstellen Sie Azure Front Door-Profile, Endpunkte, Routen, Ursprungsgruppen, benutzerdefinierte Domänen und WAF-Assoziationen in Bicep- oder ARM-Vorlagen, die in einem quellengesteuerten Repository gespeichert sind. Behandle dieses Repository als Wahrheitsquelle für die Wiederherstellung. Verwenden Sie den Richtlinien- oder Vorlagenexport als Bootstrap oder Point-in-Time-Momentaufnahme, nicht als fortlaufende Source of Truth. Weitere Informationen finden Sie unter Create an Azure Front Door mit Bicep und Export Vorlage aus dem Azure-Portal.
Behalte die Konfiguration in der Versionskontrolle: Speichere Front Door, WAF, Zertifikat und Ursprungskonfiguration als Infrastruktur als Code und verlange Überprüfung für Produktionsänderungen. Die Versionskontrolle stellt Rollback-Punkte bereit und unterstützt die Wiederherstellung in ein anderes Abonnement oder eine andere Ressourcengruppe. Weitere Informationen finden Sie unter Bicep Best Practices.
Konfigurieren Sie mehrere Ursprünge für Failover: Verwenden Sie Ursprungsgruppen mit mehreren Backends und stellen Sie Priorität, Gewicht und Latenz ein, um aktiv-aktive oder aktiv-passive Failover-Muster zu unterstützen. Weitere Informationen finden Sie unter Methoden für das Datenverkehrsrouting zum Ursprung.
Konfigurieren Sie Gesundheitsproben korrekt: Verwenden Sie HTTP- oder HTTPS-Gesundheitsproben, die einen sinnvollen Anwendungs-Gesundheitsendpunkt validieren, und optimieren Sie die Stichprobengröße sowie die erforderlichen erfolgreichen Stichproben, damit Front Door ungesunde Ursachen ohne übermäßige Failover-Empfindlichkeit erkennen kann. Weitere Informationen finden Sie unter Health Probes.
Weltweit redundante Origins bereitstellen: Origin-Services in mehreren Azure-Regionen oder Hosting-Standorten ausführen und Azure Front Door Load Balancing oder gegebenenfalls Traffic Manager verwenden, um Nutzer bei Ursprungs- oder regionalen Ausfällen in gesunde Regionen zu leiten. Weitere Informationen finden Sie unter Traffic Routing Methods to Origin und Azure Traffic Manager.
Planen Sie einen alternativen Ingresspfad für die Notfallwiederherstellung: Für geschäftskritische Anwendungen sollten Sie einen getesteten alternativen Ingresspfad vorhalten, z. B. Application Gateway WAF oder ein alternatives CDN mit Traffic Manager, damit Sie seltene Verfügbarkeitsprobleme bei Azure Front Door oder Vorfälle in der Steuerungsebene umgehen können. Weitere Informationen finden Sie im High-Availability-Implementierungsleitfaden zur Nutzung von Azure Front Door und alternativen Ingress-Lösungen.
Regelmäßiges Testen von Failovern: Simulieren Sie Ursprungsausfälle, regionale Ausfälle, Fehler bei der Zertifikaterneuerung und die Aktivierung alternativer Eingänge in Nicht-Produktions- und produktionssicheren Übungen. Überprüfen Sie Failover, Failback, Protokollierung, WAF-Verhalten und Runbooks. Weitere Informationen finden Sie im High-Availability-Implementierungsleitfaden zur Nutzung von Azure Front Door und alternativen Ingress-Lösungen.