Application Gateway WAF のゼロ トラストに関する推奨事項

Application Gateway 上の Azure Web Application Firewall は、Web アプリケーションを一般的な悪用や脆弱性から保護します。 次の推奨事項は、WAF が適切に構成され、監視されていることを確認するのに役立ちます。

すべての Azure ネットワーク セキュリティのゼロ トラストに関する推奨事項の概要については、 Azure ネットワーク セキュリティのゼロ トラストに関する推奨事項を参照してください。

レコメンデーション

Application Gateway WAF が防止モードで有効になっている

Azure Application Gateway Web Application Firewall(WAF)は、SQLインジェクション、クロスサイトスクリプト、その他のOpen Worldwide Application Security Project(OWASP)トップ10脅威など、一般的な脆弱性や脆弱性から地域ウェブアプリケーションを保護します。 検出モードでは、WAFログのルールは一致しつつもリクエストをバックエンドプールに転送します。 WAFルールに違反するリクエストをブロックするのはプリベンチモードのみです。 アプリケーションゲートウェイWAFは検出モードのまま、バックエンドサーバーへの攻撃を止めずに記録します。

修復アクション

Application Gateway WAF で要求本文の検査が有効になっている

Azure Application Gateway Web Application Firewall(WAF)は、HTTPのPOST、PUT、PATCH要求ボディを、トラフィックが地域バックエンドプールに到達する前に、SQLインジェクション、クロスサイトスクリプト、コマンドインジェクションペイロードを検査します。 リクエストボディ検査をオフにすると、WAFはリクエストヘッダーとURIのみを評価します。 その結果、フォーム投稿、API呼び出し、ファイルアップロードに隠されたペイロードが、調査せずにバックエンドサーバーに届くことがあります。 Open Worldwide Application Security Project(OWASP)コアルールセットやMicrosoft Bot Managerルールセットなどの管理されたルールセットは、見たことのないコンテンツに対して行動できません。

修復アクション

Application Gateway WAF で既定の規則セットが有効になっている

Azure Application Gateway Web Application Firewall(WAF)は管理されたルールセット、すなわちMicrosoftデフォルトルールセットとOpen Worldwide Application Security Project(OWASP)コアルールセットを通じて保護を適用します。 Microsoftは既知の攻撃パターンに対する検出シグネチャで両方のルールセットを継続的に更新しているため、社内のセキュリティ専門知識がなくても設定できます。 管理されたルールセットが割り当てられていないWAFポリシーは何も検査せず、すべてのリクエストをバックエンドプールに渡します。 自動化ツールキットはこの状態のアプリケーションを継続的にスキャンし、バックエンドサーバーに対するSQLインジェクション、クロスサイトスクリプト、コマンドインジェクションの脆弱性を悪用します。

修復アクション

Application Gateway WAF でボット保護規則セットが有効になり、割り当てられる

Azure Application Gateway Web Application Firewall(WAF)は、Microsoft Bot Managerルールセットを通じてボット保護を提供し、行動パターン、ボット署名、IP評判に基づいて自動化されたトラフィックを既知の良いもの、既知の悪いもの、未知のものに分類します。 ルールセットが有効でなければ、認証情報の詰め込み、コンテンツスクレイピング、インベントリホーディング、アプリケーション層でのサービス拒否トラフィックが正当なリクエストと混ざり合い、バックエンドの容量を消費します。 この種の攻撃は、IPアドレスを回転させてレート制限を回避する分散型ボットネットから発生することが多く、そのためスロットリングだけでなく署名ベースの分類が必要です。

修復アクション

Application Gateway WAF で HTTP DDoS 保護規則セットが有効になっている

Azure Application Gateway Web アプリケーション ファイアウォール (WAF) は、Microsoft HTTP DDoS 規則セットを介して HTTP 分散型サービス拒否 (DDoS) 保護を提供します。これにより、アプリケーション 層での帯域幅消費 HTTP ベースの攻撃を検出して軽減します。 帯域幅をターゲットとするネットワーク層 DDoS 攻撃とは異なり、HTTP ベースの DDoS 攻撃は、一見正当な HTTP 要求を大量に送信してサーバー リソース、データベース接続、アプリケーション スレッドを使い果たすことで、アプリケーション層を悪用します。 HTTP DDoS 保護が有効でない場合、脅威アクターはバックエンドサーバーを圧倒するHTTPフラッド攻撃、接続プールを枯渇させるために接続を長時間維持するスローロリス攻撃、そして資源集約的な操作を引き起こすよう設計された高頻度な要求パターンを実行することができます。 HTTP DDoS ルール セットには、構成可能な秘密度レベルに基づいて異常な要求レートを検出し、バックエンド アプリケーション サーバーに影響を与える前に悪意のあるトラフィックをブロック、ログ、またはリダイレクトできるルール グループが含まれています。

修復アクション

Application Gateway WAF でレート制限が有効になっている

Azure Application Gateway Web Application Firewall (WAF) では、指定された時間枠内にクライアントが行うことができる要求の数を制限するカスタム規則によるレート制限がサポートされています。 レート制限は、ブルート フォース攻撃、資格情報の詰め込み、API の悪用、および過剰な要求でエンドポイントをあふれさせるアプリケーション層のサービス拒否攻撃からアプリケーションを保護します。 レート制限を構成しないと、脅威アクターは、認証エンドポイントに対して 1 分あたり数千のパスワードの組み合わせを試みたり、盗まれた資格情報を大規模にテストしたり、大量のデータを抽出したり、サーバーの容量を過剰に使うことができます。 レート制限ルールを使用すると、管理者は 1 分あたりの要求数に基づいてしきい値を定義し、IP アドレスで個々のクライアントを追跡できます。 クライアントが構成されたしきい値を超えると、WAF は後続の要求をブロックしたり、違反をログに記録したり、カスタム ページにリダイレクトしたりできます。

修復アクション

Application Gateway WAF で JavaScript チャレンジが有効になっている

Azure Application Gateway Web Application Firewall (WAF) は、自動化されたボットとヘッドレス ブラウザーに対する防御メカニズムとして JavaScript チャレンジ (現在プレビュー段階) をサポートしています。 要求がチャレンジをトリガーすると、WAF は、クライアント ブラウザーが有効なチャレンジ Cookie を取得するために実行する必要がある JavaScript スニペットを提供します。これは、要求が単純な HTTP クライアントまたはボットではなく実際のブラウザーから送信されたことを証明します。 チャレンジを正常に実行したクライアントは、Cookie の有効期限が切れるまで通常どおりに進みますが、JavaScript を実行できないボットや自動化されたツールはブロックされます。 このメカニズムは、JavaScript エンジンのない単純な HTTP ライブラリを使用する資格情報詰め込みボット、Web スクレーパー、およびアプリケーション層分散型サービス拒否 (DDoS) ボットに対して有効です。 JavaScript チャレンジは、すべてのトラフィックを許可することと、疑わしいボットを完全にブロックすることと、CAPTCHA などのユーザー操作を必要とせずにブラウザーの機能を検証するという中間点を提供します。

修復アクション

Application Gateway WAF で診断ログが有効になっている

Azure Application Gateway Web Application Firewall (WAF) は、SQL インジェクション、クロスサイト スクリプティング、Open Worldwide Application Security Project (OWASP) Top 10 の脅威など、一般的な悪用から Web アプリケーションを保護します。 診断ログが有効になっていないと、セキュリティ チームはブロックされた攻撃、ルールの一致、アクセス パターン、ファイアウォール イベントの可視性を失います。 ログを記録しないと、悪用は検出されず、インシデント レスポンダーは WAF イベントを他のテレメトリと関連付けたり、攻撃タイムラインを構築したりできません。 Application Gateway WAF には、セキュリティ監視のために Log Analytics、ストレージ アカウント、またはイベント ハブにルーティングする必要があるアクセス ログ、パフォーマンス ログ、ファイアウォール ログなど、複数のログ カテゴリが用意されています。

修復アクション

関連するコンテンツ

  • Last updated on