Firewall de Aplicações Web para redes Azure

O Firewall de Aplicações Web do Azure (WAF) protege as suas aplicações web de ataques comuns ao nível da camada HTTP, como injeção SQL, cross-site scripting (XSS) e travessia de caminhos. Ao contrário do Azure Firewall, que inspeciona o tráfego nas Camadas 3 a 7 para ameaças ao nível da rede, o WAF opera apenas na Camada 7 e compreende a semântica HTTP, incluindo cabeçalhos de pedido, cadeias de consulta, corpos de pedidos e cookies. Implemente o WAF como uma política associada ao Gateway de Aplicação do Azure (regional) ou ao Azure Front Door (global edge) para alinhar o âmbito de proteção com a arquitetura da sua aplicação. Firewall de Aplicações Web é um dos três principais serviços de segurança de rede do Azure, juntamente com o Azure Firewall e o Azure DDoS Protection.

O que este artigo aborda

Este artigo aborda a proteção da camada HTTP utilizando o Firewall de Aplicações Web do Azure. Você aprende sobre:

• Comparação de plataforma entre WAF no Application Gateway v2 e WAF no Azure Front Door.
• Conjuntos de regras baseados em OWASP, incluindo o Conjunto de Regras Padrão (DRS) e o Conjunto de Regras Core (CRS).
• Modo de deteção versus modo de prevenção e quando usar cada um.
• Opções de âmbito de política WAF: associações globais, por site e por ouvinte.
• Regras personalizadas para limitação de taxa, geo-filtragem e lógica específica da aplicação.
• A distinção entre WAF (HTTP de Camada 7) e Azure Firewall (rede de Camada 3–7).

Quem precisa deste artigo

Implemente o WAF quando as suas cargas de trabalho cumprem um ou mais dos seguintes critérios:

• Aplicações web públicas: As suas aplicações aceitam tráfego HTTP/HTTPS de entrada da internet, expondo-as a vulnerabilidades Top 10 do OWASP, incluindo ataques por injeção, abuso de autenticação falhada e tentativas de exposição de dados sensíveis.
• Requisitos de conformidade: Quadros regulatórios como o PCI DSS (Payment Card Industry Data Security Standard) exigem um firewall de aplicações web à frente de qualquer aplicação que processe dados de cartões de pagamento.
• Proteção da API: As suas APIs são acessíveis publicamente e requerem proteção contra contrabando de pedidos, cargas úteis sobredimensionadas e ataques ao nível de protocolo que os firewalls de rede não inspecionam.
• Mitigação de bots: Precisa de categorizar e controlar o tráfego automatizado, bloqueando bots maliciosos enquanto permite rastreadores legítimos e serviços de monitorização.

Organizações que necessitam apenas de filtragem de tráfego ao nível da rede (IP, porta e protocolo) sem inspeção de pedidos HTTP devem usar Azure Firewall ou NSGs em vez disso.

Comparação de plataformas do Azure WAF

O Azure WAF está disponível em duas plataformas. Cada plataforma integra a inspeção WAF num ponto diferente do fluxo de tráfego.

Como escolher a sua plataforma WAF

Use os seguintes critérios de decisão:

• Escolha WAF no Application Gateway quando a sua aplicação for implementada numa única região e já usar o Application Gateway para balanceamento de carga da Camada 7, terminação TLS ou encaminhamento baseado em caminhos. O WAF adiciona inspeção HTTP em linha sem introduzir um salto adicional de serviço.
• Escolha WAF no Azure Front Door quando a sua aplicação abrange várias regiões, necessita de balanceamento global de carga ou beneficia da aceleração da rede de distribuição de conteúdos (CDN). O Front Door WAF analisa o tráfego no ponto de presença (PoP) mais próximo da borda. O serviço bloqueia solicitações maliciosas antes de estas atravessarem a rede principal do Azure até à sua origem. Esta abordagem reduz a exposição da superfície de ataque e absorve ataques volumétricos da camada 7 na periferia.
• Escolha ambos (em camadas) quando uma aplicação multirregional servida pelo Front Door também exige políticas WAF regionais que diferem para cada backend. O Front Door oferece proteção global de primeira linha, enquanto o Application Gateway WAF aplica regras personalizadas específicas de região mais próximas da carga de trabalho.

Considerações de design

Prerequisites

Antes de implementar o Firewall de Aplicações Web do Azure, certifique-se de que tem:

• Application Gateway v2 ou recurso Azure Front Door: O WAF é implementado como uma política associada a uma destas plataformas. Tem de ter uma instância existente do Application Gateway v2 ou um perfil do Azure Front Door já provisionados antes de criar e associar uma política de WAF.
• Aplicação HTTP/HTTPS com acesso público: A sua aplicação tem de receber tráfego HTTP/HTTPS de entrada. O WAF inspeciona a semântica ao nível do pedido e não oferece qualquer benefício para cargas de trabalho não HTTP ou serviços puramente internos.
• Compreensão dos padrões de tráfego HTTP: A familiaridade com os padrões normais de pedido da sua aplicação (cabeçalhos, parâmetros de consulta e conteúdo do corpo) ajuda-o a configurar exclusões e ajustar regras para minimizar falsos positivos durante a transição do modo Deteção para Prevenção.

Conjuntos de regras e processamento de regras

O WAF utiliza conjuntos de regras para detetar padrões maliciosos em pedidos HTTP. Compreender a hierarquia de regras e a ordem de processamento ajuda-te a ajustar o WAF para as tuas aplicações específicas.

Conjuntos de regras geridos

A Microsoft mantém conjuntos de regras geridos baseados nos padrões OWASP Core Rule Set (CRS). O conjunto de regras recomendado para novas implementações é o DRS 2.2 (Default Rule Set). O DRS 2.2 baseia-se no OWASP CRS 3.3.4 e adiciona assinaturas de Inteligência de Ameaças da Microsoft.

Os conjuntos de regras DRS e CRS usam pontuação por anomalias. Cada regra de correspondência contribui para uma pontuação em vez de bloquear imediatamente a solicitação. Quando a pontuação cumulativa de anomalia excede um limiar configurável, o WAF toma uma ação (bloquear ou registar). Esta abordagem reduz os falsos positivos em comparação com o bloqueio de regras individuais, porque uma única correspondência com baixa confiança não ativa a aplicação da regra.

Regras personalizadas

Regras personalizadas executam-se antes das regras geridas e usam números de prioridade para controlar a ordem de avaliação (número inferior = prioridade superior). Use regras personalizadas para:

• Limitação da taxa de pedidos: Restrinja os pedidos de cada IP cliente dentro de um intervalo de tempo para mitigar ataques de reutilização de credenciais e de força bruta.
• Geo-filtragem: Permitir ou negar o tráfego com base no país ou região de origem do cliente.
• Listas de autorização e listas de bloqueio de IP: Permitem autorizar IPs de parceiros conhecidos ou bloquear agentes mal-intencionados conhecidos antes de as regras geridas serem avaliadas.
• Solicitar inspeção do cabeçalho: Aplicar requisitos específicos da aplicação, como chaves de API obrigatórias ou tipos de conteúdo esperados.

Conjunto de regras de proteção de bot

Ambas as plataformas oferecem um conjunto de regras de proteção contra bots que categoriza o tráfego automatizado em bots bons (motores de busca verificados), bots maus (scanners maliciosos conhecidos) e bots desconhecidos. Configure ações para cada categoria: permita bots bons, bloqueie bots maus e desafie bots desconhecidos com limitação de taxa ou CAPTCHA.

Modo de deteção vs. modo de prevenção

As políticas WAF operam em dois modos que determinam como o sistema lida com pedidos correspondidos:

Fluxo de trabalho recomendado para afinação

1. Implementar em modo de Deteção: Ativa o WAF com o conjunto de regras escolhido no modo Deteção. Encaminhar o tráfego de produção através da WAF.
2. Analise os registos: Consulte os registos WAF para identificar falsos positivos. Determine as regras que ativam o tráfego legítimo da aplicação.
3. Criar exclusões: Para regras que geram falsos positivos, defina exclusões que especifiquem os campos do pedido (cabeçalhos, cookies e parâmetros de consulta) a ignorar em regras específicas.
4. Mudar para o modo de Prevenção: Após 1–2 semanas de registos de deteção limpa com taxas aceitáveis de falsos positivos, mude para o modo de Prevenção para bloqueio ativo.
5. Monitorização contínua: Continue a monitorizar os registos depois de mudar para o modo de Prevenção. Novas funcionalidades de aplicação ou alterações na API podem introduzir novos padrões de falsos positivos.

Âmbito de aplicação e associação da política WAF

Uma política WAF é um recurso Azure autónomo que contém a seleção de modos, configuração do conjunto de regras, regras personalizadas e exclusões. Associe a apólice a um ou mais alvos para controlar o âmbito da proteção.

Âmbito da política de WAF do Application Gateway

No Application Gateway, associe uma política WAF em três níveis de granularidade:

• Global (em todo o gateway): A política aplica-se a todos os ouvintes e regras de caminho no Application Gateway. Use âmbito global quando todas as aplicações atrás do gateway partilham os mesmos requisitos de proteção.
• Nível de ouvinte: Uma política WAF diferente aplica-se a um ouvinte específico (nome do host e combinação de porta). Utilize o âmbito ao nível do listener quando múltiplas aplicações partilham um gateway, mas precisam de ajustes diferentes das regras ou de exclusões.
• Nível da regra de caminho: Uma política WAF aplica-se a uma regra específica do caminho do URL dentro de um listener. Utilize o âmbito da regra de caminho para um controlo granular sobre aplicações com backends com diferentes níveis de sensibilidade.

Quando vários âmbitos se aplicam a um único pedido, prevalece a política mais específica: a regra de caminho prevalece sobre a política ao nível do recetor, que prevalece sobre a política global.

Âmbito da política WAF do Front Door

No Front Door, as políticas WAF são associadas ao nível do ponto final ou da rota. Cada endpoint da Porta Principal pode ter a sua própria política WAF. Esta abordagem permite perfis de proteção específicos de aplicação dentro de uma única instância da Porta Principal.

Partilha de políticas entre recursos

Partilhe uma única política WAF entre várias instâncias do Application Gateway ou pontos finais do Front Door. O Azure Firewall Manager oferece visibilidade e gestão centralizadas de todas as suas políticas WAF, independentemente da plataforma. Use políticas partilhadas quando múltiplos recursos requerem proteção idêntica para simplificar a gestão e manter uma postura de segurança consistente.

Distinção em relação ao Azure Firewall

WAF e Azure Firewall protegem diferentes camadas da pilha de rede e desempenham funções complementares. Utiliza ambos para defesa em profundidade.

Use o WAF para proteção de aplicações HTTP e o Azure Firewall para inspeção centralizada do tráfego de rede. Numa arquitetura hub-spoke, o tráfego da internet para uma aplicação Web flui normalmente através do Azure Firewall (para DNAT e inspeção ao nível da rede) e depois pelo Application Gateway com WAF (para inspeção na camada HTTP). Consulte Azure Firewall e inspeção de tráfego para o componente ao nível da rede.

Considerações de segurança

As seguintes práticas de segurança ajudam-no a obter a maior proteção contra o WAF:

• Modo de prevenção para produção: Nunca deixe cargas de trabalho de produção no modo de deteção. O modo de deteção proporciona visibilidade, mas não faz fiscalização, deixando as aplicações expostas a ataques.
• O ajuste das regras está em andamento: As aplicações evoluem. Novos pontos finais, parâmetros e tipos de conteúdo da API podem originar falsos positivos em conjuntos de regras existentes. Revise regularmente os registos do WAF após as missões.
• Integração com Log Analytics: Envie registos de diagnóstico WAF para um espaço de trabalho Log Analytics. Use o livro de exercícios WAF para visualizar pedidos bloqueados, regras ativadas e distribuições de pontuação por anomalia.
• DDoS e WAF juntos: O WAF protege contra ataques de aplicações de Camada 7, mas não mitiga ataques DDoS na camada de rede volumétrica. Associe o WAF ao Azure DDoS Protection para uma cobertura completa.
• Restrição da origem: Quando utilizar o Front Door WAF, configure a sua origem para aceitar tráfego apenas da etiqueta de serviço do Front Door. Sem o bloqueio de origem, os atacantes podem contornar a Porta Principal e enviar pedidos diretamente para o seu endereço IP de origem.
• Proteção de dados sensíveis: Os registos WAF podem conter dados de pedido. Configure regras de limpeza de registos para mascarar campos sensíveis (cabeçalhos de autorização, cookies ou conteúdo do corpo) nos registos de diagnóstico do WAF.

Artigos relacionados

Os seguintes artigos abordam temas relacionados com a segurança de redes:

• Entrada na Internet e encaminhamento de tráfego: Padrões de entrada para aplicações públicas.
• Serviços de entrega de aplicações: Application Gateway e Front Door como plataformas de entrega.
• Azure Firewall e inspeção de tráfego: Inspeção de nível de rede que complementa a proteção WAF da Camada 7.
• Proteção DDoS: Proteção contra ataques volumétricos para endereços IP públicos.
• O que é a segurança de rede do Azure?: Hub de visão geral que compara Azure Firewall, DDoS Protection e Firewall de Aplicações Web.

Saiba mais

• Visão geral do Firewall de Aplicações Web do Azure
• WAF no Gateway de Aplicações
• WAF on Azure Front Door
• Descrição geral da política WAF
• Grupos de Regras e Regras do Firewall de Aplicações Web CRS
• Ajuste do firewall de aplicações Web para o Azure Front Door

Passos seguintes