Raccomandazioni Zero Trust per Frontdoor di Azure WAF

Web application firewall di Azure in Frontdoor protegge le applicazioni Web nel perimetro di rete da exploit e vulnerabilità comuni. Le raccomandazioni seguenti consentono di verificare che WAF sia configurato e monitorato correttamente.

Per un riepilogo di tutte le raccomandazioni sulla sicurezza di rete di Azure Zero Trust, vedere Raccomandazioni sulla sicurezza di rete di Azure Zero Trust.

Raccomandazioni

Frontdoor di Azure WAF è abilitato in modalità prevenzione

Frontdoor di Azure Web application firewall (WAF) protegge le applicazioni web distribuite globalmente al margine della rete da exploit e vulnerabilità comuni come l'iniezione SQL, lo scripting cross-site e altre minacce Top 10 dell'Open Worldwide Application Security Project (OWASP). In modalità Rilevamento, la regola WAF logs corrisponde ma comunque inoltra la richiesta alla tua origine. Solo la modalità Prevenzione blocca le richieste che violano le regole WAF. Un WAF Front Door lasciato in modalità Rilevamento permette al traffico d'attacco di raggiungere le origini da ogni posizione di margine servita.

Azione di correzione

L'ispezione del corpo della richiesta è abilitata nel WAF di Frontdoor di Azure

Frontdoor di Azure Web application firewall (WAF) ispeziona i corpi delle richieste HTTP POST, PUT e PATCH per i payload di iniezione SQL, scripting cross-site e command injection al bordo, prima che il traffico venga inoltrato alle tue origini. Se disattivi request body inspection, solo le header e l'URI vengono valutati al bordo. Di conseguenza, i payload nascosti nei post dei moduli, nelle chiamate API e nei caricamenti dei file vengono inoltrati alle origini senza essere esaminati. I set di regole gestite, inclusi l'Open Worldwide Application Security Project (OWASP) Core Rule Set e le regole basate su threat intelligence di Microsoft, non possono agire su contenuti che non vedono mai.

Azione di correzione

Il set di regole di default viene assegnato in Frontdoor di Azure WAF

Frontdoor di Azure Web application firewall (WAF) applica protezione al margine globale tramite il Microsoft Default Rule Set, che Microsoft aggiornato continuamente con firme di rilevamento per pattern di attacco noti. Una policy WAF senza un set di regole gestito assegnato non ispeziona nulla e inoltra ogni richiesta alle tue origini. L'assegnazione di un set di regole gestiti blocca l'iniezione SQL, lo scripting cross-site, l'inclusione locale di file e i tentativi di iniezione di comandi al margine, prima che i toolkit automatizzati raggiungano i server di origine.

Azione di correzione

Il set di regole di protezione bot è abilitato e assegnato in Frontdoor di Azure WAF

Frontdoor di Azure Web application firewall (WAF) fornisce protezione contro i bot tramite il set di regole del Bot Manager, disponibile solo nel livello Premium. Questo insieme di regole classifica il traffico automatizzato al margine globale come noto buono, noto cattivo o sconosciuto. Puoi assegnare un'azione separata a ciascuna categoria: bloccare bot difettosi o sfidarli con CAPTCHA, e permettere di scansionare motori di ricerca e altri bot legittimi. Senza il set di regole assegnato, Front Door non ha un segnale di classificazione dei bot, quindi non puoi separare gli utenti umani dai client automatizzati tramite metriche e log. Il traffico di scraping o di credenzialial stuffing raggiunge le tue origini senza essere contestato.

Azione di correzione

La limitazione della frequenza è abilitata in Frontdoor di Azure WAF

Frontdoor di Azure Web application firewall (WAF) supporta la limitazione della velocità tramite regole personalizzate che limitano il numero di richieste che i client possono effettuare entro un intervallo di tempo specificato attraverso la rete edge globale. Senza limitare la frequenza, i malintenzionati possono eseguire attacchi di forza bruta contro gli endpoint di autenticazione, attacchi di stuffing delle credenziali su larga scala, abusi di API che estraggono dati o consumano risorse back-end e attacchi di negazione del servizio a livello applicativo che inondano gli endpoint. Le regole di limitazione della frequenza consentono agli amministratori di definire soglie in base al numero di richieste al minuto con la possibilità di raggruppare le richieste in base all'indirizzo IP del client. Quando un client supera la soglia configurata, il WAF può bloccare le richieste successive, le violazioni del log, l'emissione di problemi CAPTCHA o il reindirizzamento a una pagina personalizzata. La limitazione della velocità al perimetro globale garantisce che il traffico dannoso venga bloccato prima di raggiungere i server di origine.

Azione di correzione

La verifica JavaScript è abilitata nel WAF di Frontdoor di Azure

Il Web application firewall (WAF) di Frontdoor di Azure supporta la verifica JavaScript come meccanismo di difesa contro bot automatizzati e browser headless nella rete perimetrale globale. Quando una richiesta attiva una sfida, WAF serve un frammento JavaScript che il browser client deve eseguire per ottenere un cookie di sfida valido, dimostrando che la richiesta ha origine da un browser reale anziché da un semplice client HTTP o bot. I client che eseguono correttamente la richiesta di verifica procedono normalmente fino alla scadenza del cookie, mentre i bot e gli strumenti automatizzati che non possono eseguire JavaScript vengono bloccati al perimetro prima che il traffico raggiunga i server di origine. Questo meccanismo è efficace contro i bot di inserimento delle credenziali, gli scraper Web e i bot DDoS (Distributed Denial of Service) che usano librerie HTTP semplici. La sfida JavaScript verifica la funzionalità del browser senza richiedere l'interazione dell'utente come CAPTCHA, fornendo un mezzo tra consentire tutto il traffico e bloccare i bot sospetti in modo definitivo.

Azione di correzione

La sfida CAPTCHA è attivata in Frontdoor di Azure WAF

Frontdoor di Azure Web application firewall (WAF) supporta il challenge CAPTCHA come meccanismo di difesa contro bot sofisticati e strumenti automatizzati nell'infrastruttura perimetrale globale. CAPTCHA presenta agli utenti un puzzle visivo o audio che richiede la capacità cognitiva umana di risolvere, dimostrando che la richiesta ha origine da un utente reale anziché da un bot. Gli utenti che completano correttamente CAPTCHA ricevono un cookie di verifica che consente l'accesso normale fino alla scadenza, mentre i bot che non riescono a risolvere il puzzle vengono bloccati al perimetro. CAPTCHA è più efficace della verifica JavaScript contro i bot avanzati che usano browser headless con supporto JavaScript completo, in quanto richiede una capacità cognitiva di livello umano. Configurando regole personalizzate con l'azione di verifica CAPTCHA, le organizzazioni possono proteggere endpoint estremamente sensibili, ad esempio pagine di accesso, moduli di registrazione e pagine di pagamento da abusi automatizzati.

Azione di correzione

La registrazione diagnostica è abilitata nel servizio Frontdoor di Azure WAF.

Frontdoor di Azure Web application firewall (WAF) protegge le applicazioni Web da exploit comuni, tra cui SQL injection, scripting cross-site e le prime 10 minacce dell'Open Worldwide Application Security Project (OWASP) nella rete perimetrale prima che il traffico dannoso raggiunga i server di origine. Quando la registrazione diagnostica non è abilitata, i team di sicurezza perdono visibilità sugli attacchi bloccati, sulle corrispondenze delle regole, sui modelli di accesso e sugli eventi del WAF nella rete perimetrale. Senza la registrazione, gli attori delle minacce che tentano di sfruttare le vulnerabilità non vengono rilevati e i risponditori di eventi imprevisti non possono costruire sequenze temporali degli attacchi. Frontdoor di Azure WAF fornisce log di accesso e log WAF che devono essere indirizzati a Log Analytics, a un account di archiviazione o a un hub eventi per il monitoraggio della sicurezza e l'analisi forense.

Azione di correzione

Contenuti correlati

  • Last updated on