Uw Azure Web Application Firewall-implementatie beveiligen

Azure Web Application Firewall (WAF) biedt gecentraliseerde bescherming voor uw webapplicaties tegen veelvoorkomende exploits en kwetsbaarheden, zoals SQL-injectie, cross-site scripting en andere Open Worldwide Application Security Project (OWASP) Top 10-aanvallen. WAF is beschikbaar met Azure Front Door, Azure Application Gateway en Azure Application Gateway for Containers om internetgeconcentreerde applicaties aan de edge of in je virtuele netwerk te beschermen.

Dit artikel geeft beveiligingsaanbevelingen voor Azure Web Application Firewall. Deze aanbevelingen helpen u om uw beveiligingsverplichtingen na te komen en de algehele beveiligingspositie van uw inzet te verbeteren. Voor een overzicht van Azure's netwerkbeveiligingsdiensten en hoe ze samenwerken, zie Wat is Azure netwerkbeveiliging?

In de aanbevelingen voor beveiliging in dit artikel worden zero Trust-principes geïmplementeerd: 'Expliciet verifiëren', 'Minimale toegang tot bevoegdheden gebruiken' en 'Inbreuk aannemen'. Zie het Zero Trust Guidance Center voor uitgebreide richtlijnen voor Zero Trust.

Netwerkbeveiliging

Netwerkbeveiliging voor Azure Web Application Firewall richt zich op het inspecteren van applicatieverkeer, het verminderen van blootstelling aan veelvoorkomende webaanvallen en het toepassen van WAF-beleidsinstellingen die aansluiten bij elke beschermde applicatie.

Identiteits- en toegangsbeheer

Identiteits- en toegangsbeheer voor Azure Web Application Firewall bepaalt wie WAF-beleidsregels en gerelateerde netwerkbronnen kan aanmaken, wijzigen, goedkeuren en monitoren.

  • Gebruik Microsoft Entra ID voor gecentraliseerde authenticatie: Gebruik Microsoft Entra ID als je centrale authenticatie- en autorisatiesysteem voor het beheren van WAF-bronnen. Microsoft Entra ID biedt consistent identiteitsbeheer in je Azure-omgeving. Zie Wat is Microsoft Entra ID? voor meer informatie

  • Wijs least-privilege Azure RBAC-rollen toe: Gebruik Azure rolgebaseerde toegangscontrole om alleen de rechten te verlenen die nodig zijn voor het beheren van WAF-beleid, Front Door-profielen, Application Gateways, diagnostische instellingen en monitoringsbestemmingen. Vermijd het toewijzen van brede rollen zoals Eigenaar als een aangepaste rol voldoende is. Voor meer informatie, zie Azure-rollen toewijzen met behulp van het Azure-portaal.

  • Gebruik beheerde identiteiten voor WAF-beleidbeheer waar van toepassing: Gebruik beheerde identiteiten voor automatisering die WAF-beleidsregels uitrolt, exporteert of bijwerkt via Azure Resource Manager, Bicep of CI/CD-workflows. Verleen de beheerde identiteit alleen de vereiste rechten voor de doelresourcegroep, Front Door-profiel, Application Gateway en diagnostische bestemmingen. Voor meer informatie, zie Beheerde identiteiten voor Azure-bronnen.

  • Houd een inventaris bij van administratieve toegang: Bekijk Azure RBAC-roltoewijzingen bij de managementgroep, abonnement, resourcegroep en resource scopes die WAF-beleid, Front Door-profielen, Application Gateways en monitoringsbestemmingen bevatten. Verwijder verouderde opdrachten en onderzoek vertrouwelijke opdrachten die niet vereist zijn voor WAF-administratie. Zie Azure-roltoewijzingen weergeven met behulp van Azure Portal voor meer informatie.

  • Vereis multifactorauthenticatie voor beheerders: Vereis multifactorauthenticatie voor alle gebruikers met administratieve toegang tot WAF-bronnen en gerelateerde netwerkbronnen. MFA voegt een kritieke beschermingslaag toe als inloggegevens worden gecompromitteerd. Voor meer informatie, zie Hoe je multifactorauthenticatie inschakelt in Microsoft Entra.

  • Beperk beheertoegang met Conditional Access: Configureer Conditional Access-beleidsregels met benoemde locaties, compliant apparaten en sterke authenticatie voor beheerders die Azure Resource Manager-resources beheren. Zie Wat is de locatievoorwaarde in voorwaardelijke toegang van Microsoft Entra?

  • Gebruik bevoorrechte toegangscontroles voor WAF-beheer: Gebruik speciale beheerdersaccounts, bevoorrechte toegangswerkstations en just-in-time toegang voor WAF-beleidswijzigingen. Deze controles verminderen het risico op ongeoorloofde wijzigingen in beveiligingsregels en uitsluitingen. Voor meer informatie, zie Overzicht Beveiligen van bevoorrechte toegang.

  • Controleer en vergelijk regelmatig de toegang: Gebruik Microsoft Entra ID access reviews om groepslidmaatschappen en roltoewijzingen te beheren voor gebruikers die WAF-bronnen kunnen aanpassen. Verwijder toegang die niet langer nodig is. Voor meer informatie, zie Wat zijn toegangsbeoordelingen?

  • Monitor identiteitsrisico en verdachte administratieve activiteiten: Stuur Microsoft Entra aanmeld-, audit- en risicologs naar Azure Monitor of Microsoft Sentinel. Waarschuw bij risicovolle aanmeldingen, wijzigingen in bevoorrechte roltoewijzingen en onverwachte WAF-beleidsupdates. Voor meer informatie, zie Integreer Microsoft Entra-logs met Azure Monitor-logs.

Gegevensbescherming

Databescherming voor Azure Web Application Firewall richt zich op het beschermen van gevoelige verzoekgegevens, logboeken, beleidsexporten en gerelateerde telemetrie tegen ongeautoriseerde toegang of openbaarmaking.

  • Zorg voor encryptie tijdens transport: Vereis TLS 1.2 of later voor clientverbindingen en backendverbindingen die via Azure Front Door of Application Gateway gaan. Valideer certificaten en protocolinstellingen als onderdeel van elke implementatie. Voor meer informatie, zie End-to-end TLS met Azure Front Door en Overzicht van TLS-beëindiging en end-to-end TLS met Application Gateway.

  • Schakel bescherming van gevoelige gegevens in met log scrubbing waar ondersteund: Voor Front Door en Application Gateway WAF-beleidslijnen configureer log scrubbing-regels om gevoelige waarden, zoals wachtwoorden, geheimen en persoonlijke gegevens, uit WAF-logs te verwijderen voordat ze worden geschreven. Deze aanpak helpt de zichtbaarheid van de beveiliging te behouden en tegelijkertijd de blootstelling in monitoringsystemen te verminderen. Voor meer informatie, zie Azure Web Application Firewall Sensitive Data Protection for Azure Front Door en Azure Web Application Firewall Sensitive Data Protection for Application Gateway.

  • Bescherm WAF-logs en beleidsexporten: Behandel WAF-diagnostische logs, Azure Resource Manager-sjablonen, Bicep-bestanden en geëxporteerde beleidsdefinities als gevoelige gegevens omdat deze applicatiepaden, aangepaste regels, uitsluitingen en oorsprongsgegevens kunnen onthullen. Sla ze op in repositories, opslagaccounts of Log Analytics-werkruimtes met minimale privileges. Zie Toegang tot Log Analytics-werkruimten beheren voor meer informatie.

  • Gebruik klantbeheerde sleutels voor gerelateerde opslag: Wanneer uw organisatie directe controle over de levenscyclus van de sleutel nodig heeft, gebruik dan klantbeheerde sleutels voor de Azure Storage-accounts die WAF-logs ontvangen, en passen equivalente sleutelbeheermaatregelen toe op andere logbestemmingen die u gebruikt (zoals Event Hubs of Log Analytics-werkruimtes). Zie Door de klant beheerde sleutels voor Azure Storage-versleuteling voor meer informatie.

  • Inspecteer verzoekinstanties waar van toepassing: Schakel verzoekinstantie-inspectie in voor applicaties die formuliergegevens, JSON, XML of bestandsuploads ontvangen. Bekijk de limieten voor de grootte van verzoeken en configureer uitsluitingslijsten om de beveiligingsdekking in balans te brengen met de compatibiliteit van applicaties. Voor meer informatie, zie Application Gateway WAF request size limits en Web Application Firewall exclusion lists.

  • Tagbronnen die gevoelige informatie verwerken: Gebruik tags om WAF-beleid, gateways, Front Door-profielen, logbestemmingen en gerelateerde bronnen te identificeren die gevoelige informatie verwerken of opslaan. Tags helpen bij compliance-rapportage en operationeel eigendom. Zie Tags gebruiken om uw Azure-resources te organiseren voor meer informatie.

Logboekregistratie en bewaking

Logging en monitoring voor Azure Web Application Firewall bieden inzicht in geïnspecteerd verkeer, regelovereenkomsten, geblokkeerde verzoeken, configuratiewijzigingen en operationele gezondheid.

  • Schakel diagnostische instellingen in op alle WAF-bronnen: Stuur WAF-logs en -statistieken voor Azure Front Door en Application Gateway naar een Log Analytics-werkruimte, opslagaccount of Event Hubs. Diagnostische logs tonen wat WAF heeft geëvalueerd, gematcht en geblokkeerd. Raadpleeg Azure Web Application Firewall monitoring en logging voor Azure Front Door en Application Gateway-diagnostiek voor meer informatie.

  • Centraliseer WAF-gebeurtenissen in Microsoft Sentinel: Verbind Azure WAF-logs met Microsoft Sentinel of een ander platform voor beveiligingsinformatie- en gebeurtenisbeheer (SIEM) om WAF-detecties te correleren met telemetrie van identiteit, endpoint, netwerk en applicatie. Voor meer informatie, zie Connect data from Microsoft Web Application Firewall to Microsoft Sentinel.

  • Bekijk WAF-logs tijdens de detectiemodus en na regelwijzigingen: Bekijk beheerde regelovereenkomsten, aangepaste regelovereenkomsten, uitsluitingen en anomaliescores na nieuwe implementaties of regelset-upgrades. Gebruik deze bevindingen om beleid af te stemmen voordat je de Preventiemodus inschakelt. Voor meer informatie, zie Tune Azure Web Application Firewall voor Azure Front Door.

  • Maak waarschuwingen voor afwijkende activiteit: Configureer Azure Monitor-waarschuwingen voor spikes in geblokkeerde verzoeken, hoge regelmatch-aantallen, ongezonde backends en configuratiewijzigingen. Waarschuwingen helpen actieve aanvallen en onbedoelde beleidswijzigingen snel te detecteren. Zie Een waarschuwingsregel maken of bewerken voor meer informatie.

  • Wijzigingen in resourceconfiguraties controleren: Gebruik Azure Activity Log om wijzigingen in WAF-beleid, aangepaste regels, overschrijvingen van beheerde regels, uitsluitingen, Front Door-profielen, Application Gateways en diagnostische instellingen op te sporen. Voor meer informatie, zie Bekijk het activiteitenlogboek.

  • Gebruik WAF-werkboeken voor onderzoek: Gebruik Azure Monitor-werkboeken of Microsoft Sentinel-werkboeken om topregelovereenkomsten, geblokkeerde clients, URI-paden en trends te bekijken. Werkboeken helpen beveiligingsteams om aanvallen te onderscheiden van valse positieven. Zie Microsoft Sentinel gebruiken met Azure Web Application Firewall voor meer informatie.

  • Bewaar logs voor incidentrespons en compliance: Configureer retentie in Log Analytics of archiveer logs naar een opslagaccount volgens de compliance- en onderzoeksvereisten van uw organisatie. Voor meer informatie, zie Set data retention in een Log Analytics-werkruimte.

Naleving en bestuur

Compliance en governance voor Azure Web Application Firewall helpen te zorgen voor een consistente beleidsconfiguratie, inventaris, tagtoewijzing en handhaving in abonnementen en applicaties.

  • Gebruik Azure Policy om WAF-implementatie en -configuratie af te dwingen: Wijs Azure Policy-definities toe om applicaties zonder WAF-bescherming te auditen, weigeren of herstellen, WAF-beleidsregels zonder loggen, en niet-conforme WAF-modi. Voor meer informatie, zie Azure Web Application Firewall en Azure Policy.

  • Definieer WAF-configuratie als code: Beheer WAF-beleidslijnen met ARM-sjablonen, Bicep, Terraform of andere infrastructure-as-code workflows. Configuratie als code vereenvoudigt review, herhaalbare implementatie, regeluitsluitingsbeheer en driftdetectie. Voor meer informatie, zie Best practices voor Azure Web Application Firewall in Azure Front Door.

  • Onderhoud een goedgekeurde WAF-resourceinventaris: Gebruik Azure Resource Graph om WAF-beleid, Application Gateways, Front Door-profielen, endpoints, diagnostische instellingen en gerelateerde openbare toegangspunten tussen abonnementen te ontdekken. Stem de inventaris regelmatig af en verwijder ongeautoriseerde bronnen. Voor meer informatie, zie Quickstart: Voer je eerste Resource Graph-query uit met Azure Resource Graph Explorer.

  • Pas consistente tags en eigendomsmetadata toe: Tag WAF-beleid en gerelateerde bronnen met informatie over applicatie, omgeving, dataclassificatie, eigenaar en kostencentrum. Tags ondersteunen operationele verantwoordelijkheid en compliancerapportage. Zie Tags gebruiken om uw Azure-resources te organiseren voor meer informatie.

  • Organiseer omgevingen met managementgroepen en abonnementen: Apart productie-, test- en ontwikkelingsomgevingen met behulp van managementgroepen en abonnementen die je beveiligings- en compliancegrenzen weerspiegelen. Voer beleidsinitiatieven toe op de juiste schaal. Voor meer informatie, zie Create management groups.

  • Vereis Premium-mogelijkheden wanneer nodig: Gebruik governance-controles om Azure Front Door Premium te vereisen voor workloads die beheerde WAF-regelsets, botbescherming en Private Link naar origins nodig hebben. Voor meer informatie, raadpleeg Vergelijking van functies van Azure Front Door-tiers.

  • Beperk de toegang tot Azure Resource Manager: Gebruik Conditional Access voor de Microsoft Azure Management cloud-app om te beperken wie Azure-resources kan beheren en van waar. Voor meer informatie, zie Configureer Conditionele Toegang voor Azure-beheer.

Back-up en herstel

Back-up en herstel voor Azure Web Application Firewall richten zich op het behouden van beleidsdefinities, het beperken van de impact van beleidsfouten en het herstellen van bekende goede bescherming tijdens storingen of mislukte wijzigingen.

  • Exporteer regelmatig WAF-beleid: Exporteer WAF-beleidsregels als Azure Resource Manager-sjablonen of Bicep en sla ze op in de broncodebeheer. Behandel het WAF-beleid als de bron van waarheid omdat het aangepaste regels, uitsluitingen, beheerde regeloverrides, beleidsmodus en instellingen voor inspectie van verzoekinstanties bevat. Voor meer informatie, zie Exporttemplate van het Azure-portaal.

  • Gebruik één WAF-beleid per locatie voor recovery-isolatie: Wijs een apart WAF-beleid toe aan elke oorsprong, locatie of applicatie. Isolatie per locatie helpt je om het beleid van één applicatie terug te draaien of te vervangen zonder de bescherming voor andere applicaties te verzwakken. Voor meer informatie, zie Best practices voor Azure Web Application Firewall in Azure Front Door.

  • Voer upgrades van regelsets gefaseerd uit vóór handhaving: Pas nieuwe of bijgewerkte beheerde regelsets eerst toe in de detectiemodus, stem fout-positieven af en schakel na validatie over naar de preventiemodus. Houd de eerder bekende goede beleidsdefinitie beschikbaar voor snelle terugrol. Voor meer informatie, zie Tune Azure Web Application Firewall voor Azure Front Door.

  • Ontwerp multiregio WAF-implementaties: Azure Front Door WAF is globaal, maar Application Gateway WAF is regionaal en moet in elke regio worden uitgerold die je applicatie host. Voor multiregion-architecturen repliceer je WAF-beleid en gatewayconfiguratie zodat regionale failover inspectie niet omzeilt. Voor meer informatie, zie Hoe kies je je WAF-platform.

  • Test procedures voor het terugdraaien van beleid: Documenteer en test hoe je een bekend beleid herstelt. Voor Application Gateway WAF vervangt u de verwijzing naar het Application Gateway- of listenerbeleid door het WAF-beleid waarvan bekend is dat het goed werkt. Voor Front Door WAF schakel je de koppeling van het beveiligingsbeleid over naar een bekende, goed werkende versie van het WAF-beleid, of implementeer je de goed werkende beleidsdefinitie opnieuw vanuit broncodebeheer. Voor meer informatie, zie WAF-beleid en -regels voor Azure Front Door en Create Web Application Firewall-beleid voor Application Gateway.

  • Valideer herstel met monitoring: Controleer na rollback of failover of dat WAF-logs, diagnostische instellingen, meldingen en SIEM-verbindingen nog actief zijn. Het herstel is onvolledig als de handhaving van het beleid wordt hersteld, maar monitoring ontbreekt. Voor meer informatie, zie Azure Web Application Firewall monitoring en logging voor Azure Front Door.

Volgende stappen 

  • Last updated on