Zalecenia dotyczące Zero Trust dla zapory sieciowej aplikacji (WAF) usługi Application Gateway

Usługa Azure Web Application Firewall w usłudze Application Gateway chroni aplikacje internetowe przed typowymi exploitami i lukami w zabezpieczeniach. Poniższe zalecenia pomagają zweryfikować, czy WAF jest prawidłowo skonfigurowany i monitorowany.

Aby uzyskać podsumowanie wszystkich zaleceń dotyczących zabezpieczeń sieci platformy Azure Zero Trust, zobacz Zalecenia dotyczące zabezpieczeń sieci platformy Azure Zero Trust.

Recommendations

Application Gateway WAF jest włączony w trybie zapobiegania

Azure Application Gateway Web Application Firewall (WAF) chroni regionalne aplikacje webowe przed powszechnymi lukami i lukami, takimi jak wstrzykiwanie SQL, skrypty międzywitrynowe oraz inne zagrożenia z Top 10 Open Worldwide Application Security Project (OWASP). W trybie detekcji reguła logów WAF dopasowuje się, ale nadal przekazuje żądanie do puli backendowej. Tylko tryb Zapobiegania blokuje żądania naruszające zasady WAF. System WAF Application Gateway pozostawiony w trybie detekcji rejestruje ataki na twoje serwery backendowe bez ich powstrzymywania.

Akcja korygowania

Inspekcja treści żądań jest włączona w zaporze aplikacji internetowej usługi Application Gateway

Azure Application Gateway Web Application Firewall (WAF) kontroluje pliki żądań HTTP POST, PUT i PATCH dla wtrysku SQL, skryptów międzyomiejscowych oraz wstrzykiwania poleceń, zanim ruch dotrze do regionalnej puli backendowej. Jeśli wyłączysz inspekcję ciała żądań, WAF ocenia tylko nagłówki żądań i URI. W rezultacie payloady ukryte w postach formularzy, wywołaniach API i przesyłaniu plików docierają do serwerów backendowych bez badania. Zarządzane zestawy reguł, w tym Open Worldwide Application Security Project (OWASP) Core Rule Set oraz zestaw reguł Microsoft Bot Manager, nie mogą działać na podstawie treści, których nigdy nie widzą.

Akcja korygowania

Domyślny zestaw reguł jest włączony w zaporze Application Gateway WAF.

Azure Application Gateway Web Application Firewall (WAF) stosuje ochronę poprzez zarządzane zestawy reguł: Microsoft Default Rule Set oraz Open Worldwide Application Security Project (OWASP) Core Rule Set. Microsoft aktualizuje oba zestawy reguł na bieżąco, dodając sygnatury wykrywające znane wzorce ataków, więc nie potrzebujesz wewnętrznej wiedzy o bezpieczeństwie, by je konfigurować. Polityka WAF bez przypisanego zarządzanego zestawu reguł niczego nie kontroluje i przekazuje każde żądanie do puli backendowej. Automatyczne zestawy narzędzi skanują aplikacje w tym stanie i wykorzystują dobrze udokumentowane luki w zakresie wstrzykiwania SQL, skryptów międzyokręgowych oraz wstrzykiwania poleceń na serwerach backendowych.

Akcja korygowania

Zestaw reguł ochrony przed botami jest aktywowany i przypisany w WAF usługi Application Gateway.

Azure Application Gateway Web Application Firewall (WAF) zapewnia ochronę botów poprzez zestaw reguł Microsoft Bot Manager, który klasyfikuje zautomatyzowany ruch jako znany dobry, znany zły lub nieznany na podstawie wzorców zachowań, sygnatur botów i reputacji IP. Bez włączonego zestawu reguł wypełnianie poświadczeń, scraping treści, gromadzenie zapasów oraz ruch odmowy usług na warstwie aplikacji mieszają się z legalnymi żądaniami i zużywają pojemność backendu. Ataki tego typu często pochodzą z rozproszonych botnetów, które rotują adresy IP, aby uniknąć ograniczenia szybkości, dlatego potrzebna jest klasyfikacja oparta na podpisach, a nie tylko ograniczanie tempa.

Akcja korygowania

Zestaw reguł ochrony przed atakami DDoS protokołu HTTP jest włączony w Web Application Firewall aplikacji Application Gateway.

Zapora aplikacji internetowej (WAF) w usłudze Azure Application Gateway zapewnia ochronę przed rozproszoną odmową usługi HTTP (DDoS) za pośrednictwem zestawu reguł DDoS protokołu Microsoft HTTP, który wykrywa i zmniejsza liczbę ataków opartych na protokole HTTP w warstwie aplikacji. W przeciwieństwie do ataków DDoS w warstwie sieciowej, które są celem przepustowości, ataki DDoS oparte na protokole HTTP wykorzystują warstwę aplikacji, wysyłając pozornie uzasadnione żądania HTTP na dużych ilościach do wyczerpania zasobów serwera, połączeń z bazą danych i wątków aplikacji. Jeśli ochrona przed atakami DDoS HTTP nie jest włączona, napastnicy mogą wykonywać ataki typu HTTP flood, które przeciążają serwery obsługujące, ataki typu Slowloris, które utrzymują otwarte połączenia, aby wyczerpać pule połączeń, oraz wzorce żądań o wysokiej częstotliwości, które mają na celu uruchomienie operacji mocno obciążających zasoby. Zestaw reguł DDoS HTTP zawiera grupy reguł, które wykrywają nietypowe współczynniki żądań na podstawie konfigurowalnych poziomów poufności i mogą blokować, rejestrować lub przekierowywać złośliwy ruch, zanim wpłynie to na serwery aplikacji zaplecza.

Akcja korygowania

Limitowanie szybkości jest włączone w zaporze sieciowej Application Gateway

Zapora aplikacji internetowej (WAF) usługi Azure Application Gateway obsługuje ograniczanie szybkości za pośrednictwem reguł niestandardowych, które ograniczają liczbę żądań, które klienci mogą wykonywać w określonym przedziale czasu. Ograniczanie szybkości chroni aplikacje przed atakami siłowymi, wypychaniem poświadczeń, nadużyciem interfejsu API i atakami typu "odmowa usługi w warstwie aplikacji", które zalewają punkty końcowe nadmiernymi żądaniami. Bez konfigurowania ograniczania szybkości aktorzy zagrożeń mogą podejmować próby tysięcy kombinacji haseł na minutę względem punktów końcowych uwierzytelniania, przetestować skradzione poświadczenia na dużą skalę, wyodrębnić duże ilości danych i przeciążyć pojemność serwera. Reguły ograniczania szybkości umożliwiają administratorom definiowanie progów na podstawie liczby żądań na minutę i śledzenie poszczególnych klientów według adresu IP. Gdy klient przekroczy skonfigurowany próg, zapora aplikacji internetowej (WAF) może zablokować kolejne żądania, zarejestrować naruszenie lub przekierować na stronę niestandardową.

Akcja korygowania

Wyzwanie JavaScript jest włączone w zaporze aplikacji Application Gateway WAF.

Zapora sieciowa aplikacji internetowej (WAF) usługi Azure Application Gateway obsługuje mechanizm wyzwania JavaScript (aktualnie w wersji zapoznawczej) jako formę ochrony przed zautomatyzowanymi botami i przeglądarkami bez interfejsu użytkownika. Gdy żądanie wyzwoli wyzwanie, zapora aplikacji internetowej obsługuje fragment kodu JavaScript, który przeglądarka kliencka musi wykonać w celu uzyskania prawidłowego pliku cookie wyzwania, udowadniając, że żądanie pochodzi z prawdziwej przeglądarki, a nie prostego klienta HTTP lub bota. Klienci, którzy pomyślnie wykonają wyzwanie, są zwykle kontynuowani do momentu wygaśnięcia pliku cookie, podczas gdy boty i zautomatyzowane narzędzia, które nie mogą wykonywać kodu JavaScript, są blokowane. Ten mechanizm jest skuteczny w przypadku botów do wypychania poświadczeń, robotów do skrobania stron internetowych i botów rozproszonych ataków DDoS warstwy aplikacji, które korzystają z prostych bibliotek HTTP bez aparatów języka JavaScript. Wyzwanie JavaScript stanowi rozwiązanie pośrednie między zezwalaniem na cały ruch a blokowaniem podejrzanych botów wprost, weryfikując możliwości przeglądarki bez potrzeby interakcji z użytkownikiem, takiej jak CAPTCHA.

Akcja korygowania

Rejestrowanie diagnostyczne jest włączone w zaporze WAF usługi Application Gateway.

Zapora aplikacji internetowej (WAF) usługi Azure Application Gateway chroni aplikacje internetowe przed typowymi exploitami, w tym SQL injection, cross-site scripting i 10 najpoważniejszych zagrożeń OWASP (Projekt Bezpieczeństwa Aplikacji Webowych OWASP). Gdy rejestrowanie diagnostyczne nie jest włączone, zespoły ds. zabezpieczeń tracą wgląd w zablokowane ataki, dopasowania reguł, wzorce dostępu i zdarzenia zapory. Bez rejestrowania ataków nie są one wykrywane, a specjaliści ds. bezpieczeństwa nie mogą skorelować zdarzeń WAF z inną telemetrią ani budować osi czasu ataków. Zapora aplikacyjna WAF usługi Application Gateway oferuje wiele kategorii dzienników, w tym dzienniki dostępu, dzienniki wydajności i dzienniki zapory sieciowej, które muszą być kierowane do Log Analytics, konta magazynu lub centrum zdarzeń w celu monitorowania zabezpieczeń.

Akcja korygowania

Treści powiązane

  • Ostatnia aktualizacja o