Azure Front Door WAF のゼロ トラストに関する推奨事項

Front Door 上の Azure Web アプリケーション ファイアウォールは、ネットワーク エッジの Web アプリケーションを一般的な悪用や脆弱性から保護します。 次の推奨事項は、WAF が適切に構成され、監視されていることを確認するのに役立ちます。

すべての Azure ネットワーク セキュリティのゼロ トラストに関する推奨事項の概要については、 Azure ネットワーク セキュリティのゼロ トラストに関する推奨事項を参照してください。

レコメンデーション

Azure Front Door WAF が防止モードで有効になっている

Azure Front Door Web Application Firewall(WAF)は、ネットワークエッジのグローバルに分散したウェブアプリケーションを、SQLインジェクション、クロスサイトスクリプト、その他のOpen Worldwide Application Security Project(OWASP)トップ10脅威などの一般的な脆弱性から保護します。 検出モードでは、WAFログのルールは一致しますが、リクエストは依然として発信元に転送されます。 WAFルールに違反するリクエストをブロックするのはプリベンチモードのみです。 検知モードのままのフロントドアWAFは、攻撃トラフィックがサービスを提供するすべてのエッジロケーションから発信地に到達できるようにします。

修復アクション

Azure Front Door WAF で要求本文の検査が有効になっている

Azure Front Door Web Application Firewall(WAF)は、エッジでHTTPのPOST、PUT、PATCHリクエストボディを検査し、SQLインジェクション、クロスサイトスクリプト、コマンドインジェクションペイロードをテストし、トラフィックが発信元に転送される前に確認します。 要求ボディ検査をオフにすると、エッジで評価されるのはヘッダーとURIだけです。 その結果、フォーム投稿、API呼び出し、ファイルアップロードに隠されたペイロードは、調査せずに発信元に転送されます。 Open Worldwide Application Security Project(OWASP)コアルールセットやMicrosoftの脅威インテリジェンスベースのルールセットなど、管理されたルールセットは、決して見たことのないコンテンツに対して行動できません。

修復アクション

既定の規則セットは Azure Front Door WAF で割り当てられます

Azure Front Door Web Application Firewall(WAF)は、Microsoftデフォルトルールセットを通じてグローバルエッジで保護を適用し、既知の攻撃パターンに対する検出シグネチャを継続的に更新Microsoft。 管理されたルールセットを割り当てていないWAFポリシーは何も検査せず、すべてのリクエストを発信元に転送します。 管理されたルールセットを割り当てることで、自動化ツールキットがオリジンサーバーに到達する前に、エッジでSQLインジェクション、クロスサイトスクリプト、ローカルファイル包含、コマンドインジェクションの試みをブロックします。

修復アクション

ボット保護規則セットが有効になっており、Azure Front Door WAF で割り当てられている

Azure Front Door Web Application Firewall(WAF)は、プレミアムティアでのみ利用可能なボットマネージャールールセットを通じてボット保護を提供します。 このルールセットは、グローバルエッジの自動化トラフィックを既知の良好、既知の悪い、または未知のものに分類します。 各カテゴリごとに別々のアクションを割り当てることができます:悪質なボットをブロックしたり、CAPTCHAで挑戦したり、検索エンジンクローラーやその他の正当なボットを通過させたりできます。 ルールセットが割り当てられていないと、Front Doorにはボット分類信号がないため、メトリクスやログで人間のユーザーと自動化されたクライアントを区別できません。 スクレイピングや認証情報の詰め込みトラフィックは、何の抵抗もなくあなたの発信元に到達します。

修復アクション

Azure Front Door WAF でレート制限が有効になっている

Azure Front Door Web Application Firewall (WAF) では、グローバル エッジ ネットワーク全体の指定された時間枠内にクライアントが行うことができる要求の数を制限するカスタム規則によるレート制限がサポートされています。 レート制限がないと、脅威アクターは、認証エンドポイントに対するブルート フォース攻撃、大規模な資格情報の詰め込み、データを抽出したりバックエンド リソースを消費したりする API の悪用、エンドポイントをあふれさせるアプリケーション層のサービス拒否攻撃を実行したりできます。 レート制限ルールを使用すると、管理者は 1 分あたりの要求数に基づいてしきい値を定義でき、クライアント IP アドレスで要求をグループ化できます。 クライアントが構成されたしきい値を超えると、WAF は後続の要求、ログ違反、CAPTCHA チャレンジの発行、またはカスタム ページへのリダイレクトをブロックできます。 グローバル エッジでのレート制限により、配信元サーバーに到達する前に悪意のあるトラフィックがブロックされます。

修復アクション

Azure Front Door WAF で JavaScript チャレンジが有効になっている

Azure Front Door Web Application Firewall (WAF) は、グローバル エッジ ネットワーク全体で自動化されたボットとヘッドレス ブラウザーに対する防御メカニズムとして JavaScript チャレンジをサポートしています。 要求がチャレンジをトリガーすると、WAF は、クライアント ブラウザーが有効なチャレンジ Cookie を取得するために実行する必要がある JavaScript スニペットを提供します。これは、要求が単純な HTTP クライアントまたはボットではなく実際のブラウザーから送信されたことを証明します。 チャレンジを正常に実行したクライアントは Cookie の有効期限が切れるまで正常に進みますが、JavaScript を実行できないボットや自動化されたツールは、トラフィックが配信元サーバーに到達する前にエッジでブロックされます。 このメカニズムは、単純な HTTP ライブラリを使用する資格情報詰め込みボット、Web スクレーパー、分散型サービス拒否 (DDoS) ボットに対して有効です。 JavaScript チャレンジは、CAPTCHA などのユーザー操作を必要とせずにブラウザーの機能を検証し、すべてのトラフィックを許可することと、疑わしいボットを完全にブロックする中間地点を提供します。

修復アクション

AZURE Front Door WAF で CAPTCHA チャレンジが有効になっている

Azure Front Door Web Application Firewall (WAF) は、グローバル エッジ ネットワーク全体で高度なボットと自動化されたツールに対する防御メカニズムとして CAPTCHA チャレンジをサポートしています。 CAPTCHA は、人間の認知能力を必要とする視覚的またはオーディオパズルをユーザーに提示し、要求がボットではなく実際の人間から発生することを証明します。 CAPTCHA を正常に完了したユーザーは、有効期限が切れるまで通常のアクセスを許可するチャレンジ Cookie を受け取りますが、パズルを解決できないボットはエッジでブロックされます。 CAPTCHA は、人間レベルの認知を必要としているため、完全な JavaScript サポートを備えたヘッドレス ブラウザーを使用する高度なボットに対する JavaScript チャレンジよりも効果的です。 CAPTCHA チャレンジ アクションを使用してカスタム ルールを構成することで、組織はログイン ページ、登録フォーム、支払いページなどの機密性の高いエンドポイントを自動不正使用から保護できます。

修復アクション

Azure Front Door WAF で診断ログが有効になっている

Azure Front Door Web Application Firewall (WAF) は、悪意のあるトラフィックが配信元サーバーに到達する前に、ネットワーク エッジでの SQL インジェクション、クロスサイト スクリプティング、Open Worldwide Application Security Project (OWASP) 上位 10 件の脅威など、一般的な悪用から Web アプリケーションを保護します。 診断ログが有効になっていない場合、セキュリティ チームは、ブロックされた攻撃、ルールの一致、アクセス パターン、およびエッジでの WAF イベントの可視性を失います。 ログを記録しないと、脆弱性を悪用しようとする脅威アクターは検出されず、インシデント レスポンダーは攻撃タイムラインを構築できません。 Azure Front Door WAF には、セキュリティ監視とフォレンジック分析のために Log Analytics、ストレージ アカウント、またはイベント ハブにルーティングする必要があるアクセス ログと WAF ログが用意されています。

修復アクション

関連するコンテンツ

  • Last updated on