Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Azure Application Gateway is een load balancer voor webverkeer waarmee u verkeer naar uw webtoepassingen kunt beheren. Als een essentieel onderdeel in uw netwerkinfrastructuur verwerkt Application Gateway binnenkomende aanvragen en stuurt deze door naar back-endservices, waardoor het essentieel is om de juiste beveiligingsmaatregelen te implementeren om te beschermen tegen bedreigingen en naleving van de beveiligingsvereisten van de organisatie te garanderen.
Dit artikel bevat richtlijnen voor het beveiligen van uw Azure Application Gateway-implementatie.
In de aanbevelingen voor beveiliging in dit artikel worden zero Trust-principes geïmplementeerd: 'Expliciet verifiëren', 'Minimale toegang tot bevoegdheden gebruiken' en 'Inbreuk aannemen'. Zie het Zero Trust Guidance Center voor uitgebreide richtlijnen voor Zero Trust.
Netwerkbeveiliging
Netwerkbeveiliging voor Application Gateway omvat het beheren van de verkeersstroom, het implementeren van de juiste segmentatie en het beveiligen van communicatie tussen clients en back-endservices.
Zet een toegewijd subnet uit: Plaats je Application Gateway in een toegewijd subnet binnen je virtuele netwerk om netwerkisolatie te bieden en de benodigde infrastructuurconfiguratie te ondersteunen. Zie De configuratie van de infrastructuur van Application Gateway voor meer informatie.
Pas netwerkbeveiligingsgroepen toe: Gebruik netwerkbeveiligingsgroepen (NSG's) om verkeer te beperken op poort, protocol, bron-IP-adres of bestemmings-IP-adres. Maak NSG-regels die vereist client-, backend- en infrastructuurverkeer toestaan, terwijl de toegang van niet-vertrouwde netwerken wordt beperkt. Zie Netwerkbeveiligingsgroepen voor meer informatie.
Configureer Application Gateway Private Link: Gebruik Application Gateway Private Link om privéverbinding met je gateway op te bouwen van clients via virtuele netwerken, abonnementen, regio's en Microsoft Entra-tenants, zonder verkeer bloot te stellen aan het publieke internet. Zie Configure Azure Application Gateway Private Link voor meer informatie.
Deploy Application Gateway zonder publiek IP: Gebruik een private Application Gateway-implementatie om de eis van het publieke IP-adres van de gateway te verwijderen, definieer een niet-alle uitgaande NSG-regel om data-exfiltratie te voorkomen en de afhankelijkheid van inkomende
GatewayManagerservicetags te elimineren. Zie De implementatie van Private Application Gateway voor meer informatie.Schakel Azure DDoS Network Protection in: Rol Azure DDoS Network Protection uit op het virtuele netwerk dat je Application Gateway host om internetgerichte applicaties te beschermen tegen grootschalige DDoS-aanvallen met adaptieve tuning en aanvalsmeldingen. Zie Uw toepassingsgateway beveiligen met Azure DDoS-netwerkbeveiliging voor meer informatie.
Configureer privé-DNS voor privé-endpoints: Koppel de vereiste private DNS-zones aan het Application Gateway-virtueel netwerk wanneer backends of Key Vault-certificaten private endpoints gebruiken, zodat de gateway privé-IP-adressen correct oplost. Voor meer informatie, zie DNS-resolutie in Azure Application Gateway.
Beveiliging van webtoepassingen
Web Application Firewall (WAF) biedt essentiële bescherming tegen veelvoorkomende webkwetsbaarheden en aanvallen die je applicaties raken.
Deploy Application Gateway WAF v2: Schakel de Azure Web Application Firewall in op Application Gateway in voor internetgeconcentreerde applicaties om te beschermen tegen veelvoorkomende aanvallen zoals SQL-injectie en cross-site scripting. Zie Wat is Azure Web Application Firewall op Azure Application Gateway?
Beheer WAF-instellingen met WAF-beleid: Gebruik WAF-beleidsregels voor Application Gateway WAF v2 in plaats van de legacy WAF-configuratie, zodat je beheerde regels, uitsluitingen, aangepaste regels en beleidsassociaties wereldwijd kunt beheren, per luisteraar of per URI. Voor meer informatie, zie het beleidsoverzicht van Azure Web Application Firewall.
Gebruik Default Rule Set (DRS) 2.2: Voer DRS 2.2 uit, de momenteel hoogst beschikbare versie van de Default Rule Set, behoud bestaande aanpassingen bij het upgraden en valideer nieuw toegevoegde ingeschakelde regels in logmodus voordat je toestaat dat ze verkeer blokkeren. Zie De versie van de CRS- of DRS-regelset upgraden voor meer informatie.
Stem WAF af vóór preventiemodus: Begin met detectiemodus om verkeerspatronen te begrijpen en valse positieven af te stemmen, schakel dan over naar preventiemodus zodat WAF kwaadaardige verzoeken blokkeert. Voor meer informatie, zie Best practices voor Azure Web Application Firewall op Application Gateway.
Configureer aangepaste WAF-regels: Maak aangepaste regels om applicatie-specifieke bedreigingen aan te pakken, waaronder IP-beperkingen, geo-filtering en het matchen van verzoekattributen die niet volledig worden gedekt door beheerde regelsets. Voor meer informatie, zie Maak en gebruik aangepaste firewallregels voor webapplicaties.
Scope WAF-uitzonderingen smal: Gebruik preview WAF-uitzonderingen alleen wanneer valse positieven vereisen dat inspectie voor specifieke verzoeken wordt omzeild, en scope uitzonderingen op de meest beperkte praktische regel, regelgroep of beheerde regelset. Voor meer informatie, zie Azure Application Gateway WAF uitzonderingenlijst (preview).
Schakel botbescherming in: Gebruik de beheerde regelset van bot protection met Application Gateway WAF v2 om kwaadaardige bots te classificeren en te blokkeren, terwijl je bekende goede bots toestaat. Zie voor meer informatie Azure Web Application Firewall op Azure Application Gateway-botbeveiliging overzicht.
Implementeer WAF-snelheidsbeperking: Configureer aangepaste snelheidslimietregels om abnormaal hoge verzoekvolumes van clients, geografische gebieden of andere sessiegroepen te detecteren en blokkeren. Zie het overzicht van snelheidsbeperking voor meer informatie.
Identiteits- en toegangsbeheer
Goede authenticatie- en autorisatiecontroles zorgen ervoor dat alleen geautoriseerde gebruikers en systemen toegang hebben tot Application Gateway en de configuratie daarvan.
Configureer wederzijdse TLS-authenticatie: Gebruik wederzijdse TLS-authenticatie wanneer applicaties clientcertificaatauthenticatie bij de gateway of certificaatdoorgang naar de backend vereisen. Voor meer informatie, zie Overzicht van wederzijdse authenticatie.
Wijs least-privilege Azure RBAC-rollen toe: Scope management toegang tot de resource group of Application Gateway resource. Gebruik de ingebouwde rol Network Contributor alleen voor operators die netwerkbronnen moeten beheren, omdat er geen Application Gateway-specifieke ingebouwde beheersrol is. Voor meer informatie, zie Azure ingebouwde rollen voor netwerken.
Voorwaardelijke toegang afdwingen voor Application Gateway-beheerders: Pas Conditional Access-beleidsregels toe die multifactorauthenticatie vereisen en compliant apparaten voor identiteiten die Application Gateway, WAF-beleid, luisteraarscertificaten in Key Vault, en het virtuele netwerk en publieke IP-bronnen waarop de gateway afhankelijk is, kunnen aanmaken, wijzigen of verwijderen. Voor meer informatie, zie MFA vereisen voor Azure-beheer.
Gebruik beheerde identiteiten voor Key Vault-certificaten: Wijs een door de gebruiker toegewezen beheerde identiteit toe aan Application Gateway en verleen deze toegang om Key Vault-certificaten of geheimen op te halen, zoals de rol Key Vault Secrets wanneer Key Vault Azure RBAC gebruikt. Voor meer informatie, zie TLS-beëindiging met Azure Key Vault-certificaten.
Pas resource locks toe op productiegateways: Gebruik resource locks om per ongeluk verwijdering of wijziging van productie-applicatiegateway- en WAF-beleidsbronnen te voorkomen. Zie Uw resources vergrendelen om uw infrastructuur te beveiligen voor meer informatie.
Controleer regelmatig bevoorrechte toegang: voer toegangscontroles uit voor groepen en bevoorrechte identiteiten die Application Gateway, WAF-beleid, virtuele netwerken, publieke IP-adressen en Key Vault-certificaten kunnen beheren. Voor meer informatie, zie Create an access review of Azure resource roles in PIM.
Gegevensbescherming
Gegevensbeveiliging voor Application Gateway is gericht op het beveiligen van gegevens tijdens overdracht en het correct beheren van certificaten en geheimen.
Benodig actuele TLS-versies: Configureer frontend TLS-beleidsregels zodat clientverbindingen TLS 1.2 of later gebruiken, gebruik HTTPS backend-instellingen voor end-to-end TLS, en verifieer dat backendservers TLS 1.2 of later ondersteunen omdat de ondersteuning voor TLS 1.0 en 1.1 voor Application Gateway is beëindigd. Voor meer informatie, zie Overzicht van TLS-beëindiging en end-to-end TLS met Application Gateway.
Configureer TLS-beëindiging veilig: Gebruik vertrouwde certificaten en passende TLS-beleidsregels op HTTPS-luisteraars zodat Application Gateway klantverkeer veilig ontsleutelt voordat Layer 7-routeringsbeslissingen worden toegepast. Voor meer informatie, zie TLS-beëindiging configureren met Application Gateway.
Schakel end-to-end TLS in: Gebruik HTTPS backend-instellingen zodat Application Gateway de client TLS-sessie beëindigt en een nieuwe TLS-verbinding met de backendservers aanmaakt, waardoor het verkeer over het volledige verzoekpad wordt beschermd. Voor meer informatie, zie Overzicht van TLS-beëindiging en end-to-end TLS met Application Gateway.
Bewaar certificaten in Azure Key Vault: Referer naar Key Vault-certificaten of geheimen voor HTTPS-luisteraars in plaats van certificaten in implementatie-artefacten in te sluiten. Gebruik versieloze geheime identificaties zodat Application Gateway vernieuwde certificaatversies kan opvangen. Voor meer informatie, zie TLS-beëindiging met Azure Key Vault-certificaten.
Automatiseer certificaatrotatie: Gebruik Key Vault-certificaatverlenging met Application Gateway, zodat gateway-instanties Key Vault pollen en automatisch roteren naar nieuwere certificaatversies. Voor meer informatie, zie TLS-beëindiging met Azure Key Vault-certificaten.
Herleid HTTP-verkeer naar HTTPS: Configureer HTTP-naar-HTTPS omleiding om het risico te verminderen dat gevoelige gegevens in platte tekst worden verzonden. Zie Een toepassingsgateway maken met HTTP naar HTTPS-omleiding met behulp van Azure Portal voor meer informatie.
Logboekregistratie en bewaking
Logboekregistratie en bewaking bieden inzicht in Application Gateway-bewerkingen en helpen bij het detecteren van mogelijke beveiligingsrisico's.
Schakel diagnostische instellingen in: Configureer diagnostische instellingen om Application Gateway-toegangslogs en WAF-firewalllogs te verzamelen op een bestemming zoals Log Analytics, opslag of Event Hubs. Bekijk het automatisch verzamelde activiteitenlogboek op wijzigingen in het controlevlak. Voor meer informatie, zie Diagnostische logboeken voor Application Gateway.
Gebruik resource-specifieke logtabellen: Stuur logs naar resource-specifieke tabellen zoals
AGWAccessLogsenAGWFirewallLogsom queries te vereenvoudigen en de vindbaarheid van logs te verbeteren. Voor meer informatie, zie Monitor Azure Application Gateway.Configureer beveiligingswaarschuwingen: Maak Azure Monitor-waarschuwingen aan voor mislukte verzoeken, ongezonde hosts, capaciteitsbenutting, afwijkingen in de responsstatus en andere signalen die kunnen wijzen op beschikbaarheid of beveiligingsproblemen. Voor meer informatie, zie Monitor Azure Application Gateway.
Bekijk regelmatig WAF-logs: Analyseer Application Gateway WAF-logs om aanvallen te identificeren, valse positieven af te stemmen en te bevestigen dat de preventiemodus kwaadaardige verzoeken blokkeert zoals verwacht. Zie Bewaking en logboekregistratie van Azure Web Application Firewall voor meer informatie.
Stuur WAF-logs naar Microsoft Sentinel: Integreer WAF-logs met Microsoft Sentinel of een andere SIEM zodat webapplicatiebedreigingen correleren met signalen uit de rest van je omgeving. Zie Microsoft Sentinel gebruiken met Azure Web Application Firewall voor meer informatie.
Monitor backend-gezondheid: Gebruik backend-gezondheidsweergaven en aangepaste health-probes om ongezonde backend-servers te detecteren en te voorkomen dat verkeer wordt doorgestuurd naar defecte of gecompromitteerde instanties. Voor meer informatie, zie Bekijk backendgezondheid via het portaal.
Naleving en bestuur
Compliance en governance zorgen ervoor dat uw Application Gateway-configuraties worden geïnventariseerd, gemonitord en afgestemd op het organisatiebeleid.
Afdwing configuratie met Azure Policy: Gebruik ingebouwde Azure Policy-definities om Application Gateway- en WAF-configuraties te auditen en af te dwingen. Belangrijke beleidsregels zijn onder andere dat Azure Application Gateway moet worden uitgerold met Azure WAF,Web Application Firewall (WAF) moet ingeschakeld zijn voor Application Gateway, en Web Application Firewall (WAF) moet de gespecificeerde modus gebruiken voor Application Gateway en Bot Protection moeten ingeschakeld zijn voor Azure Application Gateway WAF. Zie ingebouwde Azure Policy-definities voor Azure-netwerkservices voor meer informatie.
Taggateway-bronnen consistent: Pas tags toe op Application Gateway, WAF-beleid, openbare IP-adressen en gerelateerde netwerkbronnen, zodat eigendom, omgeving en compliance-scope duidelijk zijn. Zie Resources, resourcegroepen en abonnementen taggen voor een logische indeling voor meer informatie.
Inventarisgateway-bronnen met Azure Resource Graph: Query Application Gateway, WAF-beleid, publiek IP-adres en virtuele netwerkbronnen om configuratie-afwijkingen en niet-ondersteunde patronen op grote schaal te identificeren. Zie Wat is Azure Resource Graph? voor meer informatie.
Back-up en herstel
Application Gateway biedt geen dataplane-back-upfunctie voor de gateway zelf. Herstelplanning richt zich op het behouden van de configuratie, het beschermen van certificaten en WAF-beleidsdefinities, en het ontwerpen van veerkrachtige verkeerspaden.
Definieer gatewayconfiguratie als code: Sla Application Gateway, luisteraar, regel, backend, publiek IP-adres en gerelateerde netwerkconfiguratie op in Bicep, ARM-sjablonen, Terraform of een ander infrastructure-as-code systeem zodat je consequent kunt herdeployen na een accidentele verwijdering of regionale storing. Voor meer informatie, zie Quickstart: Direct webverkeer met Azure Application Gateway - Bicep.
Exporteer bestaande configuraties voor herstel: Exporteer productie-applicatiegateway-configuraties naar ARM-sjablonen wanneer je handmatig resources aanmaakt, en bekijk en parametriseer de sjablonen voordat je ze gebruikt voor herstel. Voor meer informatie, zie Sjablonen exporteren vanuit het Azure-portaal.
Deploy zone-redundante Application Gateway v2: Gebruik Application Gateway v2 met ondersteuning voor beschikbaarheidszones in regio's die zones ondersteunen om de veerkracht tegen zonale storingen te verbeteren. Voor meer informatie, zie Application Gateway v2 en WAF v2 schalen.
Ontwerp cross-region traffic recovery: Gebruik globale routeringsdiensten zoals Azure Front Door of Azure Traffic Manager voor regionale Application Gateway-implementaties wanneer applicaties cross-region failover vereisen. Voor meer informatie, zie Use Azure Application Gateway with Azure Traffic Manager.
Configuratie van WAF-beleid: Houd WAF-beleidsdefinities, aangepaste regels, uitsluitingen en beheerde regelsetkeuzes bij in de bronbeheer zodat je bekende goede beleidsversies kunt herstellen en afstemming kunt hertoepassen na updates van regelsets. Voor meer informatie, zie Best practices voor Azure Web Application Firewall op Application Gateway.
Bescherm afhankelijkheden van certificaatherstel: Neem Key Vault-certificaten, geheime referenties, beheerde identiteitstoewijzingen en Key Vault-toegangsrechten op in herstelplannen, zodat herstelde gateways TLS-certificaten kunnen ophalen. Voor meer informatie, zie TLS-beëindiging met Azure Key Vault-certificaten.