Raccomandazioni Zero Trust per WAF del Gateway delle Applicazioni

Il firewall per applicazioni web di Azure su Application Gateway protegge le applicazioni web da exploit e vulnerabilità comuni. Le raccomandazioni seguenti consentono di verificare che WAF sia configurato e monitorato correttamente.

Per un riepilogo di tutte le raccomandazioni sulla sicurezza di rete di Azure Zero Trust, vedere Raccomandazioni sulla sicurezza di rete di Azure Zero Trust.

Raccomandazioni

Application Gateway WAF è abilitato in modalità di prevenzione

gateway applicazione di Azure Web application firewall (WAF) protegge le applicazioni web regionali da exploit comuni e vulnerabilità come l'iniezione SQL, lo scripting cross-site e altre minacce Top 10 dell'Open Worldwide Application Security Project (OWASP). In modalità Rilevamento, la regola dei log WAF corrisponde ma inoltra comunque la richiesta al pool backend. Solo la modalità Prevenzione blocca le richieste che violano le regole WAF. Un WAF di Application Gateway lasciato in modalità Detection registra gli attacchi contro i tuoi server backend senza fermarli.

Azione di correzione

L'ispezione del corpo della richiesta è abilitata nel WAF del gateway applicazione.

gateway applicazione di Azure Web application firewall (WAF) ispeziona i corpi delle richieste HTTP POST, PUT e PATCH per i payload di iniezione SQL, scripting cross-site e command injection prima che il traffico raggiunga il pool regionale di backend. Se disattivi l'ispezione del corpo di richiesta, il WAF valuta solo le intestazioni delle richieste e l'URI. Di conseguenza, payload nascosti nei post dei moduli, nelle chiamate API e nei caricamenti di file raggiungono i server backend senza essere esaminati. I set di regole gestite, inclusi il Core Rule Set dell'Open Worldwide Application Security Project (OWASP) e il set di regole Microsoft Bot Manager, non possono agire su contenuti che non vedono mai.

Azione di correzione

Il set di regole predefinito è abilitato nel gateway applicativo WAF.

gateway applicazione di Azure Web application firewall (WAF) applica la protezione tramite set di regole gestite: il Microsoft Default Rule Set e l'Open Worldwide Application Security Project (OWASP) Core Rule Set. Microsoft aggiorna entrambi i set di regole continuamente con firme di rilevamento per pattern di attacco noti, quindi non serve una competenza interna di sicurezza per configurarli. Una policy WAF senza un set di regole gestito assegnato non ispeziona nulla e passa ogni richiesta al pool backend. I toolkit automatizzati scansionano continuamente le applicazioni in questo stato e sfruttano vulnerabilità ben documentate di SQL injection, cross-site scripting e command injection contro server backend.

Azione di correzione

Il set di regole di protezione bot è abilitato e assegnato nel WAF del gateway applicativo.

gateway applicazione di Azure Web application firewall (WAF) fornisce protezione ai bot tramite il set di regole Microsoft Bot Manager, che classifica il traffico automatizzato come noto buono, noto cattivo o sconosciuto in base a modelli comportamentali, firme dei bot e reputazione IP. Senza il regolamento abilitato, il credential stuffing, il content scraping, l'accumulo di inventario e il traffico di negazione di servizio a livello applicativo si fondono con le richieste legittime e consumano capacità backend. Attacchi di questo tipo provengono comunemente da botnet distribuite che ruotano gli indirizzi IP per eludere la limitazione del rate, motivo per cui è necessaria una classificazione basata su firma invece che solo con il throttling.

Azione di correzione

Il set di regole di protezione DDoS HTTP è abilitato nel gateway di applicazione WAF

Il Web application firewall (WAF) del gateway applicazione di Azure fornisce la protezione da Distributed Denial of Service (DDoS) HTTP tramite il set di regole DDoS HTTP Microsoft, che rileva e mitiga gli attacchi volumetrici basati su HTTP a livello di applicazione. A differenza degli attacchi DDoS a livello di rete destinati alla larghezza di banda, gli attacchi DDoS basati su HTTP sfruttano il livello dell'applicazione inviando richieste HTTP apparentemente legittime a volumi elevati per esaurire risorse del server, connessioni di database e thread applicazione. Senza la protezione DDoS HTTP abilitata, gli attori delle minacce possono eseguire attacchi HTTP flood che sovraccaricano i server back-end, attacchi slowloris che contengono connessioni aperte ai pool di connessioni esaurite e modelli di richiesta ad alta frequenza progettati per attivare operazioni a elevato utilizzo di risorse. Il set di regole DDoS HTTP contiene gruppi di regole che rilevano frequenze di richieste anomale in base ai livelli di riservatezza configurabili e possono bloccare, registrare o reindirizzare traffico dannoso prima che influisca sui server applicazioni back-end.

Azione di correzione

La limitazione della velocità è abilitata nel WAF del gateway di applicazione

Web application firewall (WAF) del gateway applicazione di Azure supporta la limitazione della frequenza tramite regole personalizzate che limitano il numero di richieste che i client possono effettuare entro un intervallo di tempo specificato. La limitazione della frequenza protegge le applicazioni da attacchi di forza bruta, inserimento forzato di credenziali, abuso delle API e attacchi Denial of Service a livello applicativo che inondano gli endpoint con richieste eccessive. Senza limitare la velocità configurata, gli attori delle minacce possono tentare migliaia di combinazioni di password al minuto rispetto agli endpoint di autenticazione, testare le credenziali rubate su larga scala, estrarre grandi volumi di dati e sovraccaricare la capacità del server. Le regole di limitazione della frequenza consentono agli amministratori di definire soglie in base al numero di richieste al minuto e tenere traccia dei singoli client in base all'indirizzo IP. Quando un client supera la soglia configurata, il WAF può bloccare le richieste successive, registrare la violazione o reindirizzare a una pagina personalizzata.

Azione di correzione

La verifica JavaScript è abilitata nel WAF del gateway applicazione

Il Web application firewall (WAF) del gateway applicazione di Azure supporta la verifica JavaScript (attualmente in versione di anteprima) come meccanismo di difesa contro i bot automatici e i browser headless. Quando una richiesta attiva una sfida, WAF serve un frammento JavaScript che il browser client deve eseguire per ottenere un cookie di sfida valido, dimostrando che la richiesta ha origine da un browser reale anziché da un semplice client HTTP o bot. I client che eseguono correttamente la richiesta di verifica procedono normalmente fino alla scadenza del cookie, mentre i bot e gli strumenti automatizzati che non possono eseguire JavaScript vengono bloccati. Questo meccanismo è efficace contro i bot di inserimento delle credenziali, gli scraper Web e i bot DDoS (Distributed Denial of Service) a livello di applicazione che usano librerie HTTP semplici senza motori JavaScript. La sfida JavaScript offre una via di mezzo tra consentire tutto il traffico e bloccare i bot considerati sospetti, verificando la funzionalità del browser senza richiedere l'interazione dell'utente come un CAPTCHA.

Azione di correzione

La registrazione diagnostica è abilitata nel WAF del gateway applicazione

Il Web application firewall (WAF) del gateway applicazione di Azure protegge le applicazioni Web da exploit comuni, tra cui attacchi SQL injection, attacchi di scripting intersito e le 10 principali minacce OWASP (Open Worldwide Application Security Project). Quando la registrazione diagnostica non è abilitata, i team di sicurezza perdono visibilità sugli attacchi bloccati, le corrispondenze delle regole, i modelli di accesso e gli eventi del firewall. Senza la registrazione, gli exploit non vengono rilevati e i risponditori di eventi imprevisti non possono correlare gli eventi WAF con altri dati di telemetria o costruire sequenze temporali degli attacchi. Il gateway applicazione WAF offre più categorie di log, tra cui log di accesso, log delle prestazioni e log del firewall, che devono essere indirizzati a Log Analytics, a un account di archiviazione o a un hub di eventi per il monitoraggio della sicurezza.

Azione di correzione

Contenuti correlati

  • Last updated on