Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
O Gateway de Aplicativo do Azure é um balanceador de carga de tráfego da Web que permite gerenciar o tráfego para seus aplicativos Web. Como um componente crítico em sua infraestrutura de rede, o Gateway de Aplicativo lida com solicitações de entrada e as encaminha para serviços de back-end, tornando essencial implementar medidas de segurança adequadas para proteger contra ameaças e garantir a conformidade com os requisitos de segurança organizacional.
Este artigo fornece diretrizes sobre como proteger melhor sua implantação do Gateway de Aplicativo do Azure.
As recomendações de segurança neste artigo implementam os princípios de Confiança Zero: "Verificar explicitamente", "Usar acesso de privilégio mínimo" e "Presumir violação". Para obter diretrizes abrangentes sobre Confiança Zero, consulte o Centro de Diretrizes de Confiança Zero.
Segurança de rede
A segurança de rede do Gateway de Aplicativo envolve controlar o fluxo de tráfego, implementar a segmentação adequada e proteger as comunicações entre clientes e serviços de back-end.
Implante uma sub-rede dedicada: Coloque seu Gateway de Aplicação em uma sub-rede dedicada dentro da sua rede virtual para fornecer isolamento de rede e suportar a configuração necessária da infraestrutura. Para obter mais informações, consulte a configuração de infraestrutura do Gateway de Aplicativo.
Aplicar grupos de segurança de rede: Use grupos de segurança de rede (NSGs) para restringir o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras NSG que permitam o tráfego necessário de clientes, backend e infraestrutura, enquanto limitam o acesso de redes não confiáveis. Para saber mais, confira Grupos de segurança de rede.
Configure o Application Gateway Link Privado: Use o Application Gateway Link Privado para estabelecer conectividade privada ao seu gateway a partir de clientes através de redes virtuais, assinaturas, regiões e inquilinos do Microsoft Entra sem expor o tráfego à internet pública. Para obter mais informações, consulte Configure Gateway de Aplicativo do Azure Link Privado.
Implantar o Gateway de Aplicação sem um IP público: Use uma implantação de Gateway de Aplicação apenas privada para remover o requisito de endereço IP público do gateway, defina uma regra NSG de negação total para evitar a exfiltração de dados e elimine a dependência da tag de serviço de entrada
GatewayManager. Para obter mais informações, confira Implantação do Gateway de Aplicativo Privado.Ative a Proteção de Rede DDoS do Azure: Implante a Proteção de Rede DDoS do Azure na rede virtual que hospeda seu Gateway de Aplicações para ajudar a proteger aplicações voltadas para a internet contra ataques DDoS em grande escala com ajuste adaptativo e notificações de ataque. Para obter mais informações, consulte Proteger seu gateway de aplicativo com a Proteção de Rede de DDoS do Azure.
Configure DNS privado para endpoints privados: Vincule as zonas DNS privadas necessárias à rede virtual do Application Gateway quando backends ou certificados do Key Vault usam endpoints privados para que o gateway resolva corretamente endereços IP privados. Para mais informações, veja resolução DNS no Gateway de Aplicativo do Azure.
Proteção de aplicativo Web
O Firewall de Aplicativo Web (WAF) oferece proteção essencial contra vulnerabilidades comuns na web e ataques que têm como alvo suas aplicações.
Implante o Application Gateway WAF v2: Ative o Firewall de Aplicativo Web do Azure no Application Gateway para aplicações voltadas para a internet, protegendo-se contra ataques comuns como injeção SQL e scripting entre sites. Para obter mais informações, consulte o que é o Firewall do Aplicativo Web do Azure no Gateway de Aplicativo do Azure?
Gerencie configurações de WAF com políticas WAF: Use políticas WAF para o WAF v2 do Gateway de Aplicação em vez da configuração legada do WAF, assim você pode gerenciar regras gerenciadas, exclusões, regras personalizadas e associações de políticas globalmente, por ouvinte ou por URI. Para mais informações, veja a visão geral da política do Firewall de Aplicativo Web do Azure.
Use o Conjunto de Regras Padrão (DRS) 2.2: Execute o DRS 2.2, a versão atual mais alta disponível do Conjunto de Regras Padrão, preserve as customizações existentes ao atualizar e valide as regras habilitadas recém-adicionadas no modo log antes de permitir que bloqueiem o tráfego. Para obter mais informações, consulte Atualizar a versão do conjunto de regras do CRS ou DRS.
Ajuste o WAF antes do modo de prevenção: Comece pelo modo de detecção para entender padrões de tráfego e ajustar falsos positivos, depois mude para o modo de prevenção para que o WAF bloqueie solicitações maliciosas. Para mais informações, veja Melhores Práticas para Firewall de Aplicativo Web do Azure no Application Gateway.
Configure regras WAF personalizadas: Crie regras personalizadas para lidar com ameaças específicas da aplicação, incluindo restrições de IP, geo-filtragem e correspondência de atributos de requisição que não são totalmente cobertas por conjuntos de regras gerenciadas. Para mais informações, veja Criar e usar regras personalizadas de firewall para aplicações web.
Escopar exceções WAF de forma restrita: Use exceções WAF de pré-visualização apenas quando falsos positivos exigirem burlar a inspeção para solicitações específicas, e exceções de escopo para a regra prática mais restrita, grupo de regras ou conjunto de regras gerenciado. Para mais informações, veja a lista de exceções WAF do Gateway de Aplicativo do Azure (prévia).
Ative a proteção contra bots: Use o conjunto de regras gerenciadas contra proteção de bots com o Application Gateway WAF v2 para classificar e bloquear bots maliciosos, permitindo bots conhecidos como bons. Para obter mais informações, confira Visão geral da proteção contra bots do Firewall de Aplicativo Web no Gateway de Aplicativo do Azure.
Implementar limitação de taxa WAF: Configurar regras personalizadas de limitação de taxa para detectar e bloquear volumes de requisições anormalmente altos de clientes, geografias ou outros agrupamentos de sessão. Para obter mais informações, consulte a visão geral de limitação de taxa.
Gerenciamento de identidade e acesso
Controles adequados de autenticação e autorização garantem que apenas usuários e sistemas autorizados possam acessar o Application Gateway e sua configuração.
Configurar autenticação TLS mútua: Use autenticação TLS mútua quando aplicações exigirem autenticação de certificado do cliente no gateway ou passagem de certificado para o backend. Para mais informações, veja Visão geral de autenticação mútua.
Atribuir funções Azure RBAC com privilégio mínimo: Gerencie o escopo de acesso ao grupo de recursos ou recurso do Application Gateway. Use o papel de Contribuidor de Rede embutido apenas para operadores que precisam gerenciar recursos de rede, porque não existe um papel de gerenciamento específico para o Gateway de Aplicação. Para mais informações, veja Azure Built-in Roles for Networking.
Impor Acesso Condicional para administradores de Gateway de Aplicação: Aplicar políticas de Acesso Condicional que exijam autenticação multifator e dispositivos compatíveis para identidades que possam criar, modificar ou excluir Gateway de Aplicação, políticas WAF, certificados de ouvinte no Key Vault e os recursos de rede virtual e IP público dos quais o gateway depende. Para mais informações, veja Exigir MFA para gerenciamento do Azure.
Use identidades gerenciadas para certificados Key Vault: Atribua uma identidade gerenciada atribuída pelo usuário ao Application Gateway e conceda acesso para recuperar certificados ou segredos do Key Vault, como o papel de usuário do Key Vault Secrets quando o Key Vault usa o Azure RBAC. Para mais informações, veja terminação TLS com certificados do Azure Key Vault.
Aplicar bloqueios de recursos a gateways de produção: Usar bloqueios de recursos para ajudar a evitar a exclusão ou modificação acidental dos recursos de Gateway de Aplicação de produção e da política WAF. Para obter mais informações, consulte Bloquear seus recursos para proteger sua infraestrutura.
Revise o acesso privilegiado regularmente: Realize revisões de acesso para grupos e identidades privilegiadas que possam administrar o Application Gateway, políticas WAF, redes virtuais, endereços IP públicos e certificados do Key Vault. Para mais informações, veja Criar uma revisão de acesso dos papéis de recursos do Azure no PIM.
Proteção de dados
A proteção de dados para o Gateway de Aplicativo concentra-se em garantir a segurança dos dados em trânsito e em gerenciar certificados e segredos adequadamente.
Exija versões atuais do TLS: Configure políticas de TLS frontend para que as conexões do cliente usem TLS 1.2 ou posterior, use configurações de backend HTTPS para TLS de ponta a ponta e verifique se os servidores backend suportam TLS 1.2 ou posterior, pois o suporte para TLS 1.0 e 1.1 terminou para o Application Gateway. Para mais informações, veja Visão Geral da terminação TLS e TLS de ponta a ponta com Application Gateway.
Configure a terminação TLS de forma segura: Use certificados confiáveis e políticas TLS apropriadas nos ouvintes HTTPS para que o Application Gateway descriptografe o tráfego cliente de forma segura antes de aplicar decisões de roteamento da Camada 7. Para mais informações, veja Configurar terminação TLS com Application Gateway.
Ative TLS de ponta a ponta: Use configurações de backend HTTPS para que o Application Gateway termine a sessão TLS do cliente e crie uma nova conexão TLS para os servidores backend, protegendo o tráfego ao longo de todo o caminho de requisição. Para mais informações, veja Visão Geral da terminação TLS e TLS de ponta a ponta com Application Gateway.
Armazene certificados no Azure Key Vault: Certifique-se ou segredos do Key Vault para ouvintes HTTPS em vez de incorporar certificados em artefatos de implantação. Use identificadores secretos sem versão para que o Application Gateway possa captar versões renovadas dos certificados. Para mais informações, veja terminação TLS com certificados do Azure Key Vault.
Automatizar a rotação de certificados: Use a renovação de certificados do Key Vault com o Application Gateway para que as instâncias do gateway consultem o Key Vault e rotacionem automaticamente para versões mais recentes dos certificados. Para mais informações, veja terminação TLS com certificados do Azure Key Vault.
Redirecione o tráfego HTTP para HTTPS: Configure o redirecionamento de HTTP para HTTPS para reduzir o risco de dados sensíveis serem transmitidos em texto simples. Para obter mais informações, consulte Criar um gateway de aplicativo com redirecionamento HTTP para HTTPS usando o portal do Azure.
Registro e monitoramento
O registro em log e o monitoramento fornecem visibilidade das operações do Gateway de Aplicativo e ajudam a detectar possíveis ameaças à segurança.
Ative configurações de diagnóstico: Configure configurações de diagnóstico para coletar logs de acesso ao Application Gateway e logs de firewall WAF em um destino, como Log Analytics, armazenamento ou Event Hubs. Revise o registro de atividades coletado automaticamente para as mudanças no plano de controle. Para obter mais informações, consulte logs de diagnóstico para o Gateway de Aplicações.
Use tabelas de logs específicas de recursos: Envie logs para tabelas específicas de recursos, como
AGWAccessLogseAGWFirewallLogspara simplificar consultas e melhorar a descoberta de logs. Para mais informações, veja Monitor Gateway de Aplicativo do Azure.Configure alertas de segurança: Crie alertas no Azure Monitor para solicitações falhadas, hosts instáveis, utilização de capacidade, anomalias no status de resposta e outros sinais que possam indicar problemas de disponibilidade ou segurança. Para mais informações, veja Monitor Gateway de Aplicativo do Azure.
Revise os logs WAF regularmente: Analise os logs WAF do Gateway de Aplicação para identificar ataques, ajuste falsos positivos e confirme que o modo de prevenção está bloqueando solicitações maliciosas como esperado. Para obter mais informações, confira Monitoramento e Registro em Log do Firewall de Aplicativo Web do Azure.
Envie logs WAF para o Microsoft Sentinel: Integre logs WAF com Microsoft Sentinel ou outro SIEM para que as ameaças de aplicações web estejam correlacionadas com sinais do restante do seu ambiente. Para obter mais informações, consulte Como usar o Microsoft Sentinel com o Firewall do Aplicativo Web do Azure.
Monitore a saúde do backend: Use views de saúde backend e sondas de saúde personalizadas para detectar servidores backend insalubres e evitar que o tráfego seja roteado para instâncias falhadas ou comprometidas. Para mais informações, veja Ver saúde do backend pelo portal.
Conformidade e governança
Conformidade e governança garantem que as configurações do seu Application Gateway sejam inventariadas, monitoradas e alinhadas com as políticas organizacionais.
Impor configuração com Azure Policy: Use definições embutidas do Azure Policy para auditar e aplicar configurações do Application Gateway e WAF. Políticas importantes incluem que o Gateway de Aplicativo do Azure deve ser implantado com o Azure WAF, o Firewall de Aplicativo Web (WAF) deve estar ativado para o Application Gateway, e o Firewall de Aplicativo Web (WAF) deve usar o modo especificado para O Application Gateway e a Proteção contra Bots devem ser habilitados para o Gateway de Aplicativo do Azure WAF. Para obter mais informações, consulte as definições internas do Azure Policy para serviços de rede do Azure.
Marque recursos de gateway de forma consistente: Aplique tags ao Application Gateway, políticas WAF, endereços IP públicos e recursos de rede relacionados para que propriedade, ambiente e escopo de conformidade fiquem claros. Para mais informações, consulte Marcar recursos, grupos de recursos e assinaturas para organização lógica.
Inventarie recursos de gateway com Azure Resource Graph: Consulte o Application Gateway, política WAF, endereço IP público e recursos de rede virtual para identificar desvios de configuração e padrões não suportados em escala. Para obter mais informações, consulte o que é o Azure Resource Graph?.
Backup e recuperação
O Application Gateway não oferece um recurso de backup de plano de dados para o próprio gateway. O planejamento de recuperação foca em preservar a configuração, proteger certificados e definições de políticas WAF, e projetar caminhos de tráfego resilientes.
Defina a configuração do gateway como código: Armazene o Gateway de Aplicação, ouvinte, regra, backend, endereço IP público e configuração de rede relacionada em Bicep, templates ARM, Terraform ou outro sistema de infraestrutura como código, para que você possa reimplantar consistentemente após exclusão acidental ou falha regional. Para mais informações, veja Quickstart: Direção do tráfego web com Gateway de Aplicativo do Azure - Bicep.
Exporte configurações existentes para recuperação: Exporte configurações de Gateway de Aplicação de Produção para templates ARM quando criar recursos manualmente, depois revise e parametrize os templates antes de usá-los para recuperação. Para mais informações, veja Exportar templates do portal Azure.
Implante o Application Gateway redundante v2: Use o Application Gateway v2 com suporte a zonas de disponibilidade em regiões que suportam zonas para melhorar a resiliência contra falhas zonais. Para obter mais informações, confira Gateway de Aplicativo de Dimensionamento v2 e WAF v2.
Projete recuperação de tráfego entre regiões: Use serviços globais de roteamento como Azure Front Door ou Gerenciador de Tráfego do Azure antes de implantações regionais de Gateway de Aplicação quando as aplicações exigem failover entre regiões. Para mais informações, veja Use Gateway de Aplicativo do Azure com Gerenciador de Tráfego do Azure.
Configuração da política WAF de versão: Mantenha definições de políticas WAF, regras personalizadas, exclusões e escolhas de conjuntos de regras gerenciadas no controle de versões para restaurar versões de políticas conhecidas e reaplicar ajustes após atualizações do conjunto de regras. Para mais informações, veja Melhores Práticas para Firewall de Aplicativo Web do Azure no Application Gateway.
Proteger dependências de recuperação de certificados: Incluir certificados Key Vault, referências secretas, atribuições gerenciadas de identidade e permissões de acesso ao Key Vault nos planos de recuperação para que gateways restaurados possam recuperar certificados TLS. Para mais informações, veja terminação TLS com certificados do Azure Key Vault.