Azure Web Application Firewall op Azure Front Door

Van toepassing op: ✔️ Front Door Standard/Premium ✔️ Front Door (klassiek) ✔️ CDN Standard van Microsoft (klassiek)

Azure Web Application Firewall in Azure Front Door biedt gecentraliseerde beveiliging voor uw webtoepassingen. Een WaF (Web Application Firewall) verdedigt uw webservices tegen veelvoorkomende aanvallen en beveiligingsproblemen. De firewall houdt uw service maximaal beschikbaar voor uw gebruikers en helpt u te voldoen aan de nalevingsvereisten.

Azure Web Application Firewall in Azure Front Door is een wereldwijde en gecentraliseerde oplossing. De service is wereldwijd geïmplementeerd op locaties aan de randen van het Azure-netwerk. Webtoepassingen met WAF controleren elke binnenkomende aanvraag die door Azure Front Door wordt geleverd aan de netwerkrand.

Een WAF voorkomt schadelijke aanvallen dicht bij de aanvalsbronnen voordat ze uw virtuele netwerk binnenkomen. U krijgt wereldwijde beveiliging op schaal zonder prestatieverlies. Een WAF-beleid kan eenvoudig worden gekoppeld aan elk Azure Front Door-profiel in uw abonnement. Nieuwe regels kunnen binnen enkele minuten worden geïmplementeerd, zodat u snel kunt reageren op veranderende bedreigingspatronen.

Azure Front Door heeft twee lagen:

• Standaard
• Hoogwaardig

Azure Web Application Firewall is systeemeigen geïntegreerd met Azure Front Door Premium met volledige mogelijkheden. Voor Azure Front Door Standard worden alleen aangepaste regels ondersteund.

Beveiliging

Azure Web Application Firewall beschermt het volgende:

• Bescherm webtoepassingen tegen beveiligingsproblemen en aanvallen zonder wijzigingen in back-endcode.
• Webtoepassingen van schadelijke bots met de IP-reputatieregelset.
• Toepassingen tegen DDoS-aanvallen. Zie Application DDoS-beveiliging voor meer informatie.

WAF-beleid en -regels

U kunt een WAF-beleid configureren en dat beleid koppelen aan een of meer Azure Front Door-domeinen voor beveiliging. Een WAF-beleid bestaat uit twee typen beveiligingsregels:

• Aangepaste regels die jij maakt.
• Beheerde regelsets die een verzameling vooraf geconfigureerde sets met regels zijn die door Azure worden beheerd.

Als beide typen regels aanwezig zijn, worden aangepaste regels eerst verwerkt en daarna de regels in een beheerde regelset. Een regel bestaat uit een voorwaarde voor overeenkomst, een prioriteit en een actie. Ondersteunde actietypen zijn Toestaan, Blokkeren, Registreren, Omleiden en Afwijkingsscore (voor Default Rule Set 2.0 of hoger). U kunt een volledig aangepast beleid maken dat voldoet aan uw specifieke vereisten voor toepassingsbeveiliging door beheerde en aangepaste regels te combineren.

Regels in een beleid worden verwerkt in een prioriteitsvolgorde. Prioriteit is een uniek geheel getal dat de volgorde bepaalt van de te verwerken regels. Een kleinere geheel getalwaarde geeft een hogere prioriteit aan en deze regels worden geëvalueerd vóór regels met een hogere geheel getalwaarde. Nadat een regel is gekoppeld, wordt de overeenkomstige actie die je in de regel hebt gedefinieerd toegepast op het verzoek. Nadat een dergelijke overeenstemming is verwerkt, worden regels met lagere prioriteit niet meer verder verwerkt.

Aan een webtoepassing die door Azure Front Door wordt geleverd, kan slechts één WAF-beleid tegelijk zijn gekoppeld. U kunt echter wel een Azure Front Door-configuratie hebben zonder dat er WAF-beleidsregels aan zijn gekoppeld. Als er een WAF-beleid aanwezig is, wordt dit gerepliceerd naar alle edge-locaties van Microsoft om consistente beveiligingsbeleid wereldwijd te waarborgen.

Toepassingsbereiken van beleidsbijlagen

Met Azure Front Door kun je WAF-beleiden op meerdere scopes koppelen, zodat je brede bescherming kunt combineren met gerichte controles:

• Profielbeleid op profielniveau: Past een gedeeld baselinebeleid toe over het Azure Front Door-profiel.
• Domeinniveaubeleid: Past beleidsinstellingen toe op specifieke domeinen in het profiel.
• Route-niveau beleid: Past het meest specifieke beleid toe op geselecteerde routes.

Je kunt één scope gebruiken of scopes combineren op basis van je implementatiebehoeften.

Voorrang van beleid

Wanneer meer dan één beleidscope op een verzoek van toepassing is, gebruikt Azure Front Door WAF de meest specifieke scope:

1. Routebeleid
2. Beleid op domeinniveau
3. Profielbeleid

Als een verzoek bijvoorbeeld overeenkomt met zowel een profielbeleid als een route-niveau beleid, past Azure Front Door WAF het route-niveau beleid toe voor dat verzoek.

WAF-modi

U kunt een WAF-beleid configureren voor uitvoering in twee modi:

• Detectie: Wanneer een WAF wordt uitgevoerd in de detectiemodus, bewaakt en registreert deze alleen de aanvraag en de overeenkomende WAF-regel in WAF-logboeken. Er worden geen andere acties uitgevoerd. U kunt diagnostische logboekregistratie inschakelen voor Azure Front Door. Wanneer u de portal gebruikt, gaat u naar de sectie Diagnostische gegevens.
• Preventie: In de preventiemodus voert een WAF de opgegeven actie uit als een aanvraag overeenkomt met een regel. Als er een overeenkomst wordt gevonden, worden er geen verdere regels met een lagere prioriteit geëvalueerd. Alle overeenkomende aanvragen worden ook in de WAF-logboeken vastgelegd.

WAF-acties

WAF-klanten kunnen ervoor kiezen om een van de acties uit te voeren wanneer een aanvraag overeenkomt met de voorwaarden van een regel.

• Toestaan: de aanvraag wordt doorgegeven via de WAF en wordt doorgestuurd naar de oorsprong. Deze aanvraag kan niet worden geblokkeerd door regels met een lagere prioriteit.
• Blokkeren: de aanvraag wordt geblokkeerd en de WAF verzendt een antwoord naar de client zonder de aanvraag door te sturen naar de oorsprong.
• Logboek: De aanvraag wordt geregistreerd in de WAF-logboeken en de WAF blijft regels met een lagere prioriteit evalueren.
• Omleiding: De WAF leidt de aanvraag om naar de opgegeven URI. De opgegeven URI is een instelling op beleidsniveau. Na de configuratie worden alle aanvragen die overeenkomen met de omleidingsactie verzonden naar die URI.
• Afwijkingsscore: de totale anomaliescore wordt incrementeel verhoogd wanneer een regel met deze actie overeenkomt. Deze standaardactie is voor standaardregelset 2.0 of hoger. Deze is niet van toepassing op de Regelset voor Bot Manager.

WAF-regels

Een WAF-beleid kan bestaan uit twee typen beveiligingsregels:

• Aangepaste regels, door jou gemaakt, en beheerde regelsets
• Vooraf geconfigureerde sets met regels die door Azure worden beheerd

Aangepast geschreven regels

Gebruik de volgende bedieningselementen om de aangepaste regels voor een WAF te configureren:

• IP-toestemmingslijst en bloklijst: Beheer de toegang tot je webapplicaties op basis van een lijst van client-IP-adressen of IP-adresbereiken. Zowel IPv4- als IPv6-adrestypen worden ondersteund. Configureer deze lijst om verzoeken te blokkeren of toe te staan waarbij het bron-IP overeenkomt met een IP in de lijst.
• Geografisch gebaseerde toegangscontrole: Beheer de toegang tot je webapplicaties op basis van de landcode die gekoppeld is aan het IP-adres van een klant.
• HTTP-parametersgebaseerde toegangscontrole: Basisregels op stringovereenkomsten in HTTP/HTTPS-verzoekparameters. Voorbeelden hiervan zijn queryreeksen, POST-argumenten, aanvraag-URI, aanvraagheader en aanvraagbody.
• Toegangscontrole gebaseerd op verzoekmethoden: Basisregels op de HTTP-verzoekmethode van het verzoek. Voorbeelden zijn GET, PUT of HEAD.
• Groottebeperking: Baseer regels op de lengtes van specifieke delen van een verzoek, zoals querystring, Uri of Request Body.
• Regels voor snelheidsbeperking: een frequentiebeperkingsregel beperkt abnormaal hoog verkeer vanaf elk client-IP-adres. U kunt een drempelwaarde configureren voor het aantal webaanvragen dat is toegestaan vanaf een client-IP gedurende een duur van één minuut. Deze regel verschilt van een op IP-lijst gebaseerde regel voor toestaan/blokkeren die alle aanvragen van een client-IP toestaat of blokkeert. Frequentielimieten kunnen worden gecombineerd met andere overeenkomstvoorwaarden, zoals HTTP(S)-parameterovereenkomsten voor gedetailleerde snelheidsbeheer.

Door Azure beheerde regelsets

Door Azure beheerde regelsets bieden een eenvoudige manier om beveiliging te implementeren op basis van een gemeenschappelijke set beveiligingsbedreigingen. Omdat Azure deze regelsets beheert, werkt het de regels bij wanneer nodig om te beschermen tegen nieuwe aanvalshandtekeningen. De door Azure beheerde standaardregelset bevat regels voor de volgende bedreigingscategorieën:

• Script uitvoeren op meerdere sites
• Java-aanvallen
• Lokale bestandsinsluiting
• PHP-injectieaanvallen
• Uitvoeren van opdrachten op afstand
• Externe bestandsinclusie
• Sessiefixatie
• Beveiliging tegen SQL-injecties
• Protocolaanvallers

Aangepaste regels worden altijd toegepast voordat regels in de standaardregelset worden geëvalueerd. Als een aanvraag overeenkomt met een aangepaste regel, wordt de bijbehorende regelactie toegepast. De aanvraag wordt geblokkeerd of doorgegeven aan de back-end. Er worden geen andere aangepaste regels verwerkt, evenmin als de regels in de standaardregelset. U kunt ook de standaardregelset uit uw WAF-beleid verwijderen.

Zie Voor meer informatie Web Application Firewall Standaardregelsetgroepen en -regels.

Regelset voor botbeveiliging

Schakel een beheerde botbeschermingsregel in om aangepaste acties uit te voeren op verzoeken uit alle botcategorieën.

De regelset ondersteunt drie botcategorieën: Slecht, Goed en Onbekend. Bot-handtekeningen worden beheerd en dynamisch bijgewerkt door het WAF-platform.

• Slecht: Slechte bots zijn bots met schadelijke IP-adressen en bots die hun identiteit hebben vervalst. Slechte bots zijn onder meer kwaadaardige IP-adressen die afkomstig zijn uit de Microsoft Threat Intelligence-feed voor IP-compromisindicatoren met een hoge mate van vertrouwen en uit IP-reputatiefeeds. Slechte bots bevatten ook bots die zichzelf identificeren als goede bots, maar hun IP-adressen behoren niet tot legitieme botuitgevers.
• Goed: Goede bots zijn vertrouwde user agents. Goede botregels worden gecategoriseerd in meerdere categorieën om gedetailleerde controle te bieden over WAF-beleidsconfiguratie. Deze categorieën omvatten geverifieerde zoekmachinebots (zoals Googlebot en Bingbot), gevalideerde bots voor koppelingscontrole, geverifieerde bots voor sociale media (zoals Facebookbot en LinkedInBot), geverifieerde advertentiebots, geverifieerde bots voor inhoudscontrole en gevalideerde diverse bots.
• Onbekend: onbekende bots zijn gebruikersagenten zonder extra validatie. Onbekende bots bevatten ook kwaadaardige IP-adressen die afkomstig zijn van de medium confidence IP Indicators of Compromise van de Microsoft Threat Intelligence-feed.

Bot-handtekeningen worden beheerd en dynamisch bijgewerkt door het WAF-platform. U kunt aangepaste acties instellen om verschillende typen bots te blokkeren, toestaan, vast te leggen in een logboek of om te leiden.

Als botbeveiliging is ingeschakeld, worden binnenkomende aanvragen die overeenkomen met botregels geblokkeerd, toegestaan of geregistreerd op basis van de geconfigureerde actie. Slechte bots worden geblokkeerd, goede bots zijn toegestaan en onbekende bots worden standaard geregistreerd. U kunt aangepaste acties instellen om verschillende typen bots te blokkeren, toe te staan, te loggen of een JS-uitdaging te geven. U kunt WAF-logboeken openen vanuit een opslagaccount, Event Hub, Log Analytics of logboeken verzenden naar een partneroplossing.

De regelset Bot Manager 1.1 is beschikbaar in de Premium-versie van Azure Front Door.

Zie Bot Manager 1.1 en JavaScript-uitdaging van Azure WAF voor meer informatie: Navigeren in het Bot Threat Terrain van Azure WAF.

Configuratie

U kunt alle WAF-beleidsregels configureren en implementeren met behulp van Azure Portal, REST API's, Azure Resource Manager-sjablonen en Azure PowerShell. U kunt ook Azure WAF-beleid op schaal configureren en beheren met behulp van Firewall Manager-integratie. Zie Azure Firewall Manager gebruiken voor het beheren van Azure Web Application Firewall-beleid voor meer informatie.

Controleren

Bewaking voor een WAF op Azure Front Door is geïntegreerd met Azure Monitor om waarschuwingen bij te houden en eenvoudig verkeerstrends te bewaken. Zie Bewaking en logboekregistratie van Azure Web Application Firewall voor meer informatie.

Verwante onderwerpen

• Configureer een WAF-beleid door gebruik te maken van het Azure-portaal
• DRS-regelgroepen en -regels voor Web Application Firewall
• Aanbevolen procedures voor de Web Application Firewall op Azure Front Door