Empfehlungen für Zero Trust für das Anwendungsgateway WAF

Die Azure-Webanwendungsfirewall auf dem Anwendungsgateway schützt Webanwendungen vor häufigen Exploits und Sicherheitsrisiken. Die folgenden Empfehlungen helfen Ihnen zu überprüfen, ob WAF ordnungsgemäß konfiguriert und überwacht ist.

Eine Zusammenfassung aller Empfehlungen für die Zero Trust-Sicherheit in Azure-Netzwerken finden Sie in den Empfehlungen zur Zero Trust-Sicherheit von Azure-Netzwerken.

Empfehlungen

Das Anwendungsgateway WAF ist im Verhinderungsmodus aktiviert.

Azure Application Gateway Web Application Firewall (WAF) schützt regionale Webanwendungen vor häufigen Exploits und Schwachstellen wie SQL-Injection, Crosssite-Scripting und anderen Open Worldwide Application Security Project (OWASP) Top-10-Bedrohungen. Im Erkennungsmodus stimmt die WAF-Protokollregel überein, leitet die Anfrage aber weiterhin an den Backend-Pool weiter. Nur der Präventionsmodus blockiert Anfragen, die gegen die WAF-Regeln verstoßen. Ein Application Gateway WAF, das im Erkennungsmodus bleibt, zeichnet Angriffe auf Ihre Backend-Server auf, ohne sie zu stoppen.

Wartungsaktion

Die Inspektion des Body von Anfragen ist in Application Gateway WAF aktiviert

Azure Application Gateway Web Application Firewall (WAF) inspiziert HTTP-Post-, PUT- und PATCH-Anfragen für SQL-Injection, Crosssite-Scripting und Command Injection-Payloads, bevor der Verkehr Ihren regionalen Backend-Pool erreicht. Wenn du die Anforderungsinspektion des Körpers ausschaltest, bewertet die WAF nur Anfrage-Header und die URI. Dadurch erreichen Payloads, die in Formularbeiträgen, API-Aufrufen und Dateiuploads versteckt sind, ungeprüft die Backend-Server. Verwaltete Regelsätze, einschließlich des Open Worldwide Application Security Project (OWASP) Core Rule Set und des Microsoft Bot Manager Regelsatzes, können nicht auf Inhalte reagieren, die sie nie sehen.

Wartungsaktion

Der Standardregelsatz ist im Anwendungsgateway WAF aktiviert.

Azure Application Gateway Web Application Firewall (WAF) wendet Schutz durch verwaltete Regelsätze an: den Microsoft Default Rule Set und den Open Worldwide Application Security Project (OWASP) Core Rule Set. Microsoft aktualisiert beide Regelsätze kontinuierlich mit Erkennungssignaturen für bekannte Angriffsmuster, sodass Sie keine interne Sicherheitsexpertise benötigen, um sie zu konfigurieren. Eine WAF-Richtlinie ohne zugewiesenen verwalteten Regelsatz inspiziert nichts und leitet jede Anfrage an den Backend-Pool weiter. Automatisierte Toolkits scannen kontinuierlich Anwendungen in diesem Zustand und nutzen gut dokumentierte SQL-Injection-, Cross-Site-Scripting- und Command Injection-Schwachstellen gegen Backend-Server.

Wartungsaktion

Der Regelsatz für den Bot-Schutz ist in Application Gateway WAF aktiviert und zugewiesen

Azure Application Gateway Web Application Firewall (WAF) bietet Bot-Schutz durch das Microsoft Bot Manager-Regelwerk, das automatisierten Datenverkehr als bekannt gut, bekannt schlecht oder unbekannt klassifiziert, basierend auf Verhaltensmustern, Bot-Signaturen und IP-Reputation. Ohne aktiviertes Regelwerk verschmelzen Credential Stuffing, Content Scraping, Inventory Hoarding und Denial-of-Service-Datenverkehr auf Anwendungsebene mit legitimen Anfragen und verbrauchen Backend-Kapazität. Angriffe dieser Art stammen häufig von verteilten Botnets, die IP-Adressen rotieren, um die Ausweichrate zu begrenzen, weshalb eine signaturbasierte Klassifizierung und nicht nur Drosselung erforderlich ist.

Wartungsaktion

DER HTTP-DDoS-Schutzregelsatz ist im WAF-Anwendungsgateway aktiviert.

Die Azure Application Gateway-Webanwendungsfirewall (WAF) bietet über den Microsoft HTTP-DDoS-Regelsatz Schutz gegen Distributed-Denial-of-Service (DDoS), der volumenbasierte HTTP-Angriffe auf der Anwendungsebene erkennt und verringert. Im Gegensatz zu DDoS-Angriffen auf Netzwerkebene, die Bandbreite als Ziel haben, nutzen HTTP-basierte DDoS-Angriffe die Application-Layer aus, indem sie scheinbar legitime HTTP-Anfragen in hohen Volumina senden, um Serverressourcen, Datenbankverbindungen und Anwendungsthreads zu erschöpfen. Ohne aktivierten HTTP-DDoS-Schutz können Bedrohungsakteure HTTP-Hochwasserangriffe ausführen, die Back-End-Server überwältigen, Slowloris-Angriffe, die Verbindungen offen für Auspuffverbindungspools halten, und Hochfrequenzanforderungsmuster, die ressourcenintensive Vorgänge auslösen sollen. Der HTTP-DDoS-Regelsatz enthält Regelgruppen, die ungewöhnliche Anforderungsraten basierend auf konfigurierbaren Vertraulichkeitsstufen erkennen und bösartigen Datenverkehr blockieren, protokollieren oder umleiten können, bevor er sich auf Back-End-Anwendungsserver auswirkt.

Wartungsaktion

Die Geschwindigkeitsbegrenzung ist im Anwendungsgateway-WAF aktiviert.

Die Azure Application Gateway-Webanwendungsfirewall (WAF) unterstützt das Einschränken der Rate durch benutzerdefinierte Regeln, die die Anzahl der Anforderungen einschränken, die Clients innerhalb eines bestimmten Zeitfensters vornehmen können. Durch die Einschränkung der Rate werden Anwendungen vor Brute-Force-Angriffen, Zugangsdaten-Diebstahl, API-Missbrauch und Denial-of-Service-Angriffe auf der Anwendungsebene geschützt, die Endpunkte mit übermäßigen Anforderungen überfluten. Ohne konfigurierte Geschwindigkeitsbeschränkung können Bedrohungsakteure tausende Kennwortkombinationen pro Minute gegen Authentifizierungsendpunkte versuchen, gestohlene Anmeldeinformationen im Großen und Ganzen testen, große Datenmengen extrahieren und die Serverkapazität überfordern. Durch Regeln zur Begrenzung von Raten können Administratoren Schwellenwerte basierend auf der Anforderungsanzahl pro Minute definieren und einzelne Clients nach IP-Adresse nachverfolgen. Wenn ein Client den konfigurierten Schwellenwert überschreitet, kann der WAF nachfolgende Anforderungen blockieren, den Verstoß protokollieren oder zu einer benutzerdefinierten Seite umleiten.

Wartungsaktion

JavaScript-Herausforderung ist im Anwendungsgateway WAF aktiviert

Die Azure Application Gateway Web Application Firewall (WAF) unterstützt die JavaScript Challenge (aktuell in der Vorschau) als Abwehrmechanismus gegen automatisierte Bots und Headless-Browser. Wenn eine Anforderung eine Herausforderung auslöst, stellt der WAF einen JavaScript-Codeausschnitt bereit, den der Client-Browser ausführen muss, um ein gültiges Challenge-Cookie zu erhalten, das nachweist, dass die Anforderung von einem echten Browser und nicht von einem einfachen HTTP-Client oder Bot stammt. Clients, die die Herausforderung erfolgreich ausführen, verlaufen normal, bis das Cookie abläuft, während Bots und automatisierte Tools, die JavaScript nicht ausführen können, blockiert werden. Dieser Mechanismus ist effektiv gegen Credential Stuffing Bots, Web Scraper und DDoS-Bots (Distributed Denial of Service) auf Anwendungsebene, die einfache HTTP-Bibliotheken ohne JavaScript-Engines verwenden. JavaScript-Herausforderung bietet einen Mittelweg zwischen dem Zulassen des gesamten Datenverkehrs und dem Blockieren von verdächtigen Bots, indem die Browserfähigkeit überprüft wird, ohne Benutzerinteraktionen wie CAPTCHA erforderlich zu machen.

Wartungsaktion

Die Diagnoseprotokollierung ist im Anwendungsgateway WAF aktiviert.

Die Azure Application Gateway-Webanwendungsfirewall (WAF) schützt Webanwendungen vor häufigen Exploits, einschließlich SQL-Einfügung, websiteübergreifendes Skripting und Open Worldwide Application Security Project (OWASP) Top 10-Bedrohungen. Wenn die Diagnoseprotokollierung nicht aktiviert ist, verlieren Sicherheitsteams den Einblick in blockierte Angriffe, Regel-Übereinstimmungen, Zugriffsmuster und Firewallereignisse. Ohne Protokollierung werden Exploits nicht erkannt, und Incident-Responder können WAF-Ereignisse nicht mit anderen Telemetriedaten korrelieren oder Angriffszeitlinien erstellen. Das Anwendungsgateway WAF stellt mehrere Protokollkategorien bereit, darunter Zugriffsprotokolle, Leistungsprotokolle und Firewallprotokolle, die an Log Analytics, ein Speicherkonto oder einen Event Hub für die Sicherheitsüberwachung weitergeleitet werden müssen.

Wartungsaktion

Verwandte Inhalte

  • Last updated on