Recomendaciones de confianza cero para WAF de Application Gateway

Azure Web Application Firewall en Application Gateway protege las aplicaciones web frente a explotaciones y vulnerabilidades comunes. Las siguientes recomendaciones le ayudan a comprobar que WAF está configurado y supervisado correctamente.

Para obtener un resumen de todas las recomendaciones de confianza cero de seguridad de red de Azure, consulte Recomendaciones de confianza cero de seguridad de red de Azure.

Recomendaciones

Application Gateway WAF está habilitado en modo de prevención

Azure Application Gateway Web Application Firewall (WAF) protege las aplicaciones web regionales de exploits y vulnerabilidades comunes como la inyección SQL, scripting entre sitios y otras amenazas Top 10 de Open Worldwide Application Security Project (OWASP). En modo Detección, la regla de registro WAF coincide pero sigue reenviando la solicitud al pool de backend. Solo el modo Prevención bloquea las solicitudes que violen las normas WAF. Un WAF de Gateway de Aplicación que queda en modo Detección registra ataques contra tus servidores backend sin detenerlos.

Acción de corrección

La inspección del cuerpo de la solicitud está habilitada en WAF de Application Gateway

Azure Application Gateway Web Application Firewall (WAF) inspecciona los cuerpos de solicitud HTTP POST, PUT y PATCH para inyección SQL, scripting cross-site e inyección de comandos antes de que el tráfico llegue a tu pool regional de backend. Si desactivas la inspección de la solicitud de cuerpo, el WAF evalúa solo los encabezados de solicitud y el URI. Como resultado, las cargas útiles ocultas en publicaciones de formularios, llamadas a API y subidas de archivos llegan a los servidores backend sin ser examinadas. Los conjuntos de reglas gestionados, incluyendo el Open Worldwide Application Security Project (OWASP) Core Set y el conjunto de reglas Microsoft Bot Manager, no pueden actuar sobre contenido que nunca ven.

Acción de corrección

El conjunto de reglas predeterminado está habilitado en el Application Gateway WAF

Azure Application Gateway Web Application Firewall (WAF) aplica protección mediante conjuntos de reglas gestionados: el conjunto de reglas predeterminado Microsoft y el conjunto central de reglas Open Worldwide Application Security Project (OWASP). Microsoft actualiza ambos conjuntos de reglas de forma continua con firmas de detección para patrones de ataque conocidos, así que no necesitas experiencia interna en seguridad para configurarlos. Una política WAF sin un conjunto de reglas gestionado asignado no inspecciona nada y pasa todas las solicitudes al pool backend. Los kits de herramientas automatizados escanean continuamente aplicaciones en este estado y explotan vulnerabilidades bien documentadas en inyección SQL, scripting cross-site e inyección de comandos contra servidores backend.

Acción de corrección

El conjunto de reglas de protección de bots está habilitado y asignado en WAF de Application Gateway

Azure Application Gateway Web Application Firewall (WAF) proporciona protección contra bots a través del conjunto de reglas Microsoft Bot Manager, que clasifica el tráfico automatizado como conocido bueno, conocido malo o desconocido en función de patrones de comportamiento, firmas de bots y reputación de IP. Sin el conjunto de reglas activado, el relleno de credenciales, el scraping de contenido, el acaparamiento de inventario y el tráfico de denegación de servicio a nivel de aplicación se mezclan con las solicitudes legítimas y consumen capacidad de backend. Los ataques de este tipo suelen originarse en botnets distribuidas que rotan direcciones IP para evadir la limitación de tasa, por lo que es necesaria la clasificación basada en firma en lugar de limitar solo la velocidad.

Acción de corrección

El conjunto de reglas de protección contra DDoS HTTP está habilitado en WAF de Application Gateway

Azure Application Gateway Web Application Firewall (WAF) proporciona protección contra denegación de servicio distribuido HTTP (DDoS) a través del conjunto de reglas de DDoS HTTP de Microsoft, que detecta y mitiga los ataques basados en HTTP volumétricos en el nivel de aplicación. A diferencia de los ataques DDoS de capa de red que tienen como destino el ancho de banda, los ataques DDoS basados en HTTP aprovechan la capa de aplicación enviando solicitudes HTTP aparentemente legítimas a grandes volúmenes para agotar los recursos del servidor, las conexiones de base de datos y los subprocesos de aplicación. Sin la protección DDoS HTTP habilitada, los actores malintencionados pueden ejecutar ataques de inundación HTTP que sobrecargan los servidores de back-end, ataques slowloris que mantienen abiertas las conexiones para agotar los grupos de conexiones, y patrones de solicitud de alta frecuencia diseñados para desencadenar operaciones que requieren muchos recursos. El conjunto de reglas de DDoS HTTP contiene grupos de reglas que detectan tasas de solicitud anómalos en función de los niveles de confidencialidad configurables y pueden bloquear, registrar o redirigir el tráfico malintencionado antes de que afecte a los servidores de aplicaciones back-end.

Acción de corrección

La limitación de velocidad está habilitada en WAF de Application Gateway

Azure Application Gateway Web Application Firewall (WAF) admite la limitación de velocidad a través de reglas personalizadas que restringen el número de solicitudes que los clientes pueden realizar dentro de un período de tiempo especificado. La limitación de velocidad protege las aplicaciones frente a ataques por fuerza bruta, relleno de credenciales, abuso de API y ataques por denegación de servicio de capa de aplicación que inundan los puntos de conexión con solicitudes excesivas. Sin la limitación de velocidad configurada, los actores de amenazas pueden intentar miles de combinaciones de contraseñas por minuto en los puntos de conexión de autenticación, probar credenciales robadas a escala, extraer grandes volúmenes de datos y sobrecargar la capacidad del servidor. Las reglas de limitación de velocidad permiten a los administradores definir umbrales basados en el recuento de solicitudes por minuto y realizar un seguimiento de clientes individuales por dirección IP. Cuando un cliente supera el umbral configurado, waf puede bloquear las solicitudes posteriores, registrar la infracción o redirigir a una página personalizada.

Acción de corrección

El desafío de JavaScript está habilitado en WAF de Application Gateway

Web Application Firewall (WAF) de Azure Application Gateway admite el desafío de JavaScript (actualmente en versión preliminar) como mecanismo de defensa frente a bots automatizados y exploradores desatendidos. Cuando una solicitud desencadena un desafío, waf sirve un fragmento de código de JavaScript que el explorador cliente debe ejecutar para obtener una cookie de desafío válida, lo que demuestra que la solicitud se origina desde un explorador real en lugar de un simple cliente HTTP o bot. Los clientes que ejecutan correctamente el desafío continúan normalmente hasta que expira la cookie, mientras que los bots y las herramientas automatizadas que no pueden ejecutar JavaScript están bloqueados. Este mecanismo es eficaz para los bots de relleno de credenciales, los recolectores web y los bots de denegación de servicio distribuido de capa de aplicación (DDoS) que usan bibliotecas HTTP sencillas sin motores de JavaScript. El desafío de JavaScript proporciona un punto intermedio entre permitir todo el tráfico y bloquear los bots sospechosos directamente, comprobando la funcionalidad del explorador sin necesidad de interacción del usuario como CAPTCHA.

Acción de corrección

El registro de diagnóstico está habilitado en el WAF de Application Gateway

Web Application Firewall (WAF) de Azure Application Gateway protege las aplicaciones web frente a vulnerabilidades de seguridad comunes, como la inyección de SQL, el scripting entre sitios y los 10 ataques principales de OWASP (Open Worldwide Application Security Project). Cuando el registro de diagnóstico no está habilitado, los equipos de seguridad pierden visibilidad de ataques bloqueados, coincidencias de reglas, patrones de acceso y eventos de firewall. Sin registro, las vulnerabilidades de seguridad no se detectan y los respondedores de incidentes no pueden correlacionar eventos waf con otros datos de telemetría o construir escalas de tiempo de ataque. Waf de Application Gateway proporciona varias categorías de registro, como registros de acceso, registros de rendimiento y registros de firewall que se deben enrutar a Log Analytics, una cuenta de almacenamiento o un centro de eventos para la supervisión de la seguridad.

Acción de corrección

Contenido relacionado

  • Last updated on