Zabezpieczanie wdrożenia usługi Azure Web Application Firewall

Azure Web Application Firewall (WAF) zapewnia scentralizowaną ochronę aplikacji internetowych przed typowymi atakami i lukami w zabezpieczeniach, takimi jak wstrzykiwanie kodu SQL, skrypty międzywitrynowe (XSS) oraz inne ataki z listy OWASP Top 10. WAF jest dostępny z Azure Front Door, Azure Application Gateway oraz Azure Application Gateway for Containers, aby chronić aplikacje dostępne w internecie na krawędzi lub w Twojej wirtualnej sieci.

Ten artykuł zawiera zalecenia dotyczące bezpieczeństwa dla Azure Web Application Firewall. Te zalecenia pomagają wypełnić Twoje zobowiązania związane z bezpieczeństwem i poprawić ogólną pozycję bezpieczeństwa podczas wdrożenia. Aby uzyskać przegląd usług bezpieczeństwa sieciowego Azure i ich współpracy w artykule Czym jest bezpieczeństwo sieci Azure?

Zalecenia dotyczące zabezpieczeń w tym artykule implementują zasady Zero Trust: "Weryfikuj dokładnie", "Stosuj dostęp o najmniejszych uprawnieniach" i "Zakładaj, że doszło do naruszenia". Aby uzyskać kompleksowe wskazówki dotyczące zerowego zaufania, zobacz Centrum wskazówek dotyczących zerowego zaufania.

Bezpieczeństwo sieci

Bezpieczeństwo sieci dla Azure Web Application Firewall koncentruje się na inspekcji ruchu aplikacji, ograniczaniu narażenia na typowe ataki webowe oraz stosowaniu ustawień polityki WAF dopasowanych do każdej chronionej aplikacji.

Zarządzanie tożsamością i dostępem

Zarządzanie tożsamością i dostępem w Azure Web Application Firewall kontroluje, kto może tworzyć, modyfikować, zatwierdzać i monitorować polityki WAF oraz powiązane zasoby sieciowe.

  • Używaj Microsoft Entra ID do scentralizowanej autoryzacji: Używaj Microsoft Entra ID jako centralnego systemu uwierzytelniania i autoryzacji do zarządzania zasobami WAF. Microsoft Entra ID zapewnia spójne zarządzanie tożsamością w całym środowisku Azure. Aby uzyskać więcej informacji, zobacz Co to jest Microsoft Entra ID?

  • Przypisz role Azure RBAC z najmniejszymi uprawnieniami: Użyj kontroli dostępu opartej na rolach Azure, aby przyznawać tylko uprawnienia niezbędne do zarządzania politykami WAF, profilami Front Door, bramami aplikacji, ustawieniami diagnostycznymi i celami monitorowania. Unikaj przypisywania szerokich ról, takich jak Owner, gdy wystarczy niestandardowa rola o ograniczonym zakresie. Aby uzyskać więcej informacji, zobacz Przypisywanie ról Azure przy użyciu portalu Azure.

  • Używaj zarządzanych tożsamości do zarządzania politykami WAF, jeśli to możliwe: Używaj zarządzanych tożsamości do automatyzacji, która wdraża, eksportuje lub aktualizuje polityki WAF za pomocą workflow Azure Resource Manager, Bicep lub CI/CD. Nadaj zarządzanej tożsamości jedynie wymagane uprawnienia dla docelowej grupy zasobów, profilu Front Door, Application Gateway oraz celów diagnostycznych. Aby uzyskać więcej informacji, zobacz Tożsamości zarządzane dla zasobów Azure.

  • Utrzymuj inwentaryzację dostępu administracyjnego: Przeglądaj przypisania ról Azure RBAC w grupie zarządzającej, subskrypcyjnej, grupie zasobów oraz zakresach zasobów, które zawierają polityki WAF, profile Front Door, bramki aplikacji oraz miejsca monitorowania. Usuń nieaktualne przypisania i przeanalizuj uprzywilejowane przypisania, które nie są wymagane do administrowania usługą WAF. Aby uzyskać więcej informacji, zobacz Listę przypisań ról Azure za pomocą portalu Azure.

  • Wymóg uwierzytelniania wieloskładnikowego dla administratorów: Wymóg uwierzytelniania wieloskładnikowego dla wszystkich użytkowników posiadających dostęp administracyjny do zasobów WAF i powiązanych zasobów sieciowych. MFA dodaje krytyczną warstwę ochrony w przypadku naruszenia danych uwierzytelniających. Więcej informacji znajdziesz w artykule Jak włączyć uwierzytelnianie wieloskładnikowe w Microsoft Entra.

  • Ogranicz dostęp do zarządzania za pomocą dostępu warunkowego: Konfiguruj polityki dostępu warunkowego z nazwanymi lokalizacjami, zgodnymi urządzeniami i silną autoryzacją dla administratorów zarządzających zasobami Azure Resource Manager. Aby uzyskać więcej informacji, zobacz Co to jest warunek lokalizacji w usłudze Dostęp warunkowy usługi Microsoft Entra?

  • Stosuj mechanizmy uprzywilejowanego dostępu do administrowania WAF: Używaj dedykowanych kont administracyjnych, uprzywilejowanych stacji roboczych oraz dostępu nadawanego na czas do wprowadzania zmian w zasadach WAF. Te mechanizmy zmniejszają ryzyko nieautoryzowanych zmian w zasadach bezpieczeństwa i wyłączeniach. Więcej informacji można znaleźć w przeglądzie zabezpieczenia dostępu uprzywilejowanego.

  • Regularne przeglądanie i uzgadnianie dostępu: Korzystaj z przeglądów dostępu Microsoft Entra ID do zarządzania członkostwami grupowymi i przypisywaniem ról dla użytkowników, którzy mogą modyfikować zasoby WAF. Usuń dostęp, który już nie jest potrzebny. Więcej informacji znajdziesz w artykule Czym są przeglądy dostępu?

  • Monitorowanie ryzyka związanego z tożsamością i podejrzanej aktywności administracyjnej: Przesyłaj dzienniki logowania, inspekcji i ryzyka z Microsoft Entra do Azure Monitor lub Microsoft Sentinel. Uwaga na ryzykowne logowania, zmiany w przydziałach ról uprzywilejowanych oraz nieoczekiwane aktualizacje polityki WAF. Więcej informacji można znaleźć w artykule Integruj logi Microsoft Entra z logami Azure Monitor.

Ochrona danych

Ochrona danych w Azure Web Application Firewall koncentruje się na ochronie wrażliwych danych żądań, logów, eksportu polityk oraz powiązanej telemetrii przed nieautoryzowanym dostępem lub ujawnianiem.

  • Upewnij się, że szyfrowanie jest w trakcie transportu: Wymagaj TLS 1.2 lub nowszej wersji dla połączeń klientów oraz połączeń backendowych przechodzących przez Azure Front Door lub Application Gateway. Weryfikacja certyfikatów i ustawień protokołu w ramach każdego wdrożenia. Aby uzyskać więcej informacji, zobacz Kompleksowa ochrona TLS przy użyciu usługi Azure Front Door oraz Omówienie kończenia protokołu TLS i kompleksowej ochrony TLS przy użyciu usługi Application Gateway.

  • Włącz ochronę wrażliwych danych poprzez oczyszczanie logów tam, gdzie jest to obsługiwane: W przypadku polityk WAF Front Door i Application Gateway skonfiguruj reguły czyszczenia logów, aby usuwały wrażliwe wartości, takie jak hasła, sekrety i dane osobowe, z logów WAF zanim zostaną zapisane. Takie podejście pomaga zachować widoczność zdarzeń bezpieczeństwa, a jednocześnie ograniczyć ekspozycję w systemach monitorowania. Więcej informacji można znaleźć w Azure Web Application Firewall Sensitive Data Protection for Azure Front Door oraz Azure Web Application Firewall Sensitive Data Protection for Application Gateway.

  • Chroń logi WAF i eksporty polityk: Traktuj logi diagnostyczne WAF, szablony Azure Resource Manager, pliki Bicep oraz eksportowane definicje polityk jako dane wrażliwe, ponieważ mogą ujawniać ścieżki aplikacji, niestandardowe reguły, wykluczenia oraz szczegóły pochodzenia. Przechowuj je w repozytoriach, kontach pamięci lub przestrzeniach roboczych Log Analytics z dostępem z najmniejszą liczbą uprawnień. Aby uzyskać więcej informacji, zobacz Zarządzanie dostępem do obszarów roboczych usługi Log Analytics.

  • Używaj kluczy zarządzanych przez klienta do powiązanego przechowywania danych: Gdy Twoja organizacja wymaga bezpośredniej kontroli nad cyklem życia klucza, używaj kluczy zarządzanych przez klienta dla kont Azure Storage, które otrzymują logi WAF, oraz stosuj równoważne kontrole zarządzania kluczami do innych miejsc docelowych logów (takich jak Event Huby czy przestrzenie robocze Log Analytics). Aby uzyskać więcej informacji, zobacz Klucze zarządzane przez klienta na potrzeby szyfrowania usługi Azure Storage.

  • Inspekcja ciał żądań tam, gdzie to stosowne: Włącz inspekcję korpusu żądań dla aplikacji, które otrzymują dane formularzy, JSON, XML lub przesyłanie plików. Przejrzyj limity rozmiaru żądań i konfiguruj listy wykluczeń, aby zrównoważyć pokrycie bezpieczeństwa z kompatybilnością aplikacji. Więcej informacji można znaleźć w artykule o limitach rozmiaru żądań WAF w Application Gateway oraz listach wyłączeń Web Application Firewall.

  • Otaguj zasoby przetwarzające lub przechowujące informacje wrażliwe: Używaj tagów do oznaczania zasad WAF, bram, profilów Front Door, miejsc docelowych dzienników oraz powiązanych zasobów, które przetwarzają lub przechowują informacje wrażliwe. Tagi pomagają w raportowaniu zgodności i zarządzaniu operacyjnym. Aby uzyskać więcej informacji, zobacz Organizowanie zasobów platformy Azure przy użyciu tagów.

Rejestrowanie i monitorowanie

Logowanie i monitorowanie Azure Web Application Firewall zapewniają wgląd w kontrolowany ruch, dopasowania reguł, zablokowane żądania, zmiany konfiguracji oraz stan operacyjny.

  • Włącz ustawienia diagnostyczne dla wszystkich zasobów WAF: Wysyłaj dzienniki i metryki WAF dla usług Azure Front Door i Application Gateway do obszaru roboczego usługi Log Analytics, konta magazynu lub centrów zdarzeń. Dzienniki diagnostyczne pokazują, co moduł WAF ocenił, co uznał za zgodne z regułami i co zablokował. Więcej informacji można znaleźć w sekcji Azure Web Application Firewall monitoring and logging dotyczącejdiagnostyki Azure Front Door i Application Gateway.

  • Scentralizuj zdarzenia WAF w Microsoft Sentinel: Połącz logi Azure WAF z Microsoft Sentinel lub inną platformą do zarządzania informacjami i zdarzeniami bezpieczeństwa (SIEM), aby korelować wykrycia WAF z telemetrią tożsamości, punktów końcowych, sieci i aplikacji. Aby uzyskać więcej informacji, zobacz artykuł Łączenie danych z zapory aplikacji internetowych firmy Microsoft z usługą Microsoft Sentinel.

  • Przeglądaj logi WAF podczas trybu detekcji i po zmianach reguł: Przeglądaj zarządzane dopasowania reguł, dopasowania niestandardowych reguł, wyłączenia oraz oceny anomalii po nowych wdrożeniach lub aktualizacjach zestawu reguł. Wykorzystaj te wyniki do dostosowania polityk przed włączeniem trybu Prewencji. Aby uzyskać więcej informacji, zobacz Konfigurowanie zapory aplikacji sieciowej dla usługi Azure Front Door.

  • Utwórz alerty dotyczące nietypowej aktywności: Skonfiguruj alerty usługi Azure Monitor dla nagłych wzrostów liczby zablokowanych żądań, dużej liczby dopasowań reguł, nieprawidłowego stanu systemów zaplecza oraz zmian konfiguracji. Alerting pomaga szybko wykrywać aktywne ataki i niezamierzone zmiany polityki. Aby uzyskać więcej informacji, zobacz Tworzenie lub edytowanie reguły alertu.

  • Monitoruj zmiany konfiguracji zasobów: Użyj Azure Activity Log, aby wykrywać zmiany w politykach WAF, niestandardowych regułach, zarządzanych nadpisaniach reguł, wyłączeniach, profilach Front Door, bramach aplikacji oraz ustawieniach diagnostycznych. Więcej informacji można znaleźć w artykule Zobacz dziennik aktywności.

  • Korzystaj z podręczników WAF do badań: Użyj podręczników Azure Monitor lub Microsoft Sentinel, aby przejrzeć dopasowania najważniejszych reguł, zablokowanych klientów, ścieżki URI i trendy. Zeszyty ćwiczeń pomagają zespołom bezpieczeństwa odróżnić ataki od fałszywie pozytywnych. Aby uzyskać więcej informacji, zobacz Using Microsoft Sentinel with Azure Web Application Firewall (Używanie usługi Microsoft Sentinel z zaporą aplikacji internetowej platformy Azure).

  • Zachowaj logi do reagowania na incydenty i zgodności: Skonfiguruj przechowywanie w Log Analytics lub archiwizuj logi na koncie pamięci masowej zgodnie z wymaganiami organizacji dotyczącymi zgodności i dochodzenia. Więcej informacji można znaleźć w artykule Ustaw retencję danych w przestrzeni roboczej Log Analytics.

Zgodność i ład

Zgodność i zarządzanie Azure Web Application Firewall pomagają zapewnić spójną konfigurację polityk, inwentaryzację, tagowanie i egzekwowanie w ramach subskrypcji i aplikacji.

  • Użyj Azure Policy do wymuszenia wdrażania i konfiguracji WAF: Przypisz definicje Azure Policy do audytu, odrzucania lub remediacji aplikacji bez ochrony WAF, polityk WAF bez logowania oraz niezgodnych trybów WAF. Więcej informacji można znaleźć w Azure Web Application Firewall oraz Azure Policy.

  • Definiowanie konfiguracji WAF jako kodu: Zarządzaj zasadami WAF za pomocą szablonów ARM, Bicep, Terraform lub innych przepływów pracy infrastruktury jako kodu. Konfiguracja jako kod upraszcza przegląd, powtarzalne wdrożenie, zarządzanie wykluczeniami reguł oraz wykrywanie dryfów. Więcej informacji można znaleźć w artykule Best practices for Azure Web Application Firewall in Azure Front Door.

  • Utrzymuj zatwierdzony wykaz zasobów WAF: Użyj usługi Azure Resource Graph, aby wyszukiwać zasady WAF, bramy aplikacji, profile Front Door, punkty końcowe, ustawienia diagnostyczne oraz powiązane publiczne punkty dostępu w subskrypcjach. Regularnie uzgadniaj inwentaryzację i usuwaj nieautoryzowane zasoby. Więcej informacji znajdziesz w Quickstart: Uruchom swoje pierwsze zapytanie Resource Graph za pomocą Azure Resource Graph Explorer.

  • Stosuj spójne tagi i metadane własności: Oznacz polityki WAF i powiązane zasoby wraz z informacjami o aplikacji, środowisku, klasyfikacji danych, właścicielu i centrum kosztów. Tagi wspierają rozliczalność operacyjną i raportowanie zgodności. Aby uzyskać więcej informacji, zobacz Organizowanie zasobów platformy Azure przy użyciu tagów.

  • Organizuj środowiska za pomocą grup zarządzania i subskrypcji: Oddzielne środowiska produkcyjne, testowe i rozwojowe, korzystając z grup zarządzania i subskrypcji, które odzwierciedlają Twoje granice bezpieczeństwa i zgodności. Wdrażaj inicjatywy polityczne w odpowiednim zakresie. Więcej informacji można znaleźć w artykule Utwórz grupy zarządzające.

  • Wymagaj funkcji Premium w razie potrzeby: Stosuj mechanizmy nadzoru, aby wymuszać korzystanie z usługi Azure Front Door Premium w przypadku obciążeń wymagających zarządzanych zestawów reguł WAF, ochrony przed botami oraz usługi Private Link do źródeł. Więcej informacji można znaleźć w artykule Porównanie funkcji między poziomami Azure Front Door.

  • Ogranicz dostęp do Azure Resource Manager: Użyj dostępu warunkowego dla aplikacji Microsoft Azure Management w chmurze, aby ograniczyć, kto i skąd zarządza zasobami Azure. Więcej informacji można znaleźć w artykule Configure Conditional Access for Azure management.

Kopia zapasowa i przywracanie

Tworzenie kopii zapasowych i odzyskiwanie w usłudze Azure Web Application Firewall koncentrują się na zachowaniu definicji zasad, ograniczaniu wpływu błędów w zasadach oraz przywracaniu sprawdzonej ochrony podczas awarii lub po nieudanych zmianach.

  • Regularnie eksportuj polityki WAF: eksportuj polityki WAF jako szablony Azure Resource Manager lub Bicep i przechowuj je w kontroli wersji. Politykę WAF należy traktować jako główne źródło informacji, ponieważ zawiera niestandardowe reguły, wyłączenia, nadpisania reguł zarządzanych, tryb zasad oraz ustawienia inspekcji treści żądań. Więcej informacji można znaleźć w artykule Eksport szablonu z portalu Azure.

  • Aby zapewnić izolację odzyskiwania, używaj jednej polityki WAF dla każdej witryny: Przypisz osobną politykę WAF do każdego źródła, witryny lub aplikacji. Izolacja polityki na każdej lokalizacji pomaga cofnąć lub zastąpić politykę jednej aplikacji bez osłabienia ochrony innych aplikacji. Więcej informacji można znaleźć w artykule Best practices for Azure Web Application Firewall in Azure Front Door.

  • Wdróż aktualizacje zestawu reguł przed wymuszaniem: najpierw zastosuj nowe lub zaktualizowane zarządzane zestawy reguł w trybie wykrywania, dostosuj ustawienia pod kątem wyników fałszywie dodatnich, a następnie po weryfikacji przejdź do trybu zapobiegania. Zachowaj dostępną poprzednią sprawdzoną definicję polityki na potrzeby szybkiego wycofania zmian. Aby uzyskać więcej informacji, zobacz Konfigurowanie zapory aplikacji sieciowej dla usługi Azure Front Door.

  • Projektuj wdrożenia WAF w wielu regionach: Azure Front Door WAF jest globalny, ale Application Gateway WAF jest regionalny i musi być wdrożony w każdym regionie, w którym hostowana jest twoja aplikacja. W architekturach wieloregionalnych replikuj polityki WAF i konfigurację bramek, aby regionalne przełączanie awaryjne nie omijało inspekcji. Więcej informacji znajdziesz w artykule Jak wybrać swoją platformę WAF.

  • Testuj procedury cofania polityki: Dokumentuj i testuj, jak przywrócić znaną dobrą politykę. W usłudze Application Gateway WAF zastąp odwołanie do zasad usługi Application Gateway lub odbiornika znaną, poprawną zasadą WAF. W przypadku usługi Front Door WAF przełącz skojarzenie zasad zabezpieczeń na sprawdzoną, poprawną wersję zasad WAF lub wdroż ponownie sprawdzoną definicję zasad z systemu kontroli źródła. Więcej informacji można znaleźć w artykule WAF policy and rules for Azure Front Door oraz Create Web Application Firewall policies for Application Gateway.

  • Zweryfikuj odzyskiwanie za pomocą monitorowania: Po wycofaniu zmian lub przełączeniu awaryjnym potwierdź, że dzienniki WAF, ustawienia diagnostyczne, alerty i połączenia SIEM są nadal aktywne. Przywracanie jest niepełne, jeśli egzekwowanie zasad zostanie przywrócone, ale brakuje monitorowania. Aby uzyskać więcej informacji, zobacz Monitorowanie i rejestrowanie usługi Azure Web Application Firewall dla usługi Azure Front Door.

Następne kroki

  • Ostatnia aktualizacja o