Web Application Firewall för Azure nätverk

Azure Web Application Firewall (WAF) skyddar dina webbprogram från vanliga HTTP-lagerattacker som SQL-inmatning, XSS (cross-site scripting) och sökvägsbläddring. Till skillnad från Azure Firewall, som inspekterar trafik på Layer 3 till 7 för hot på nätverksnivå, fungerar WAF endast på Layer 7 och förstår HTTP-semantik, inklusive begärandehuvuden, frågesträngar, begärandeorgan och cookies. Distribuera WAF som en princip som är kopplad till antingen Azure Application Gateway (regional) eller Azure Front Door (global edge) för att matcha skyddsomfånget med din programarkitektur. Web Application Firewall är en av tre centrala Azure-nätverkssäkerhetstjänster, tillsammans med Azure Firewall och Azure DDoS Protection.

Vad den här artikeln beskriver

Den här artikeln beskriver HTTP-lagerskydd med hjälp av Azure Web Application Firewall. Du lär dig mer om:

• Plattformsjämförelse mellan WAF på Application Gateway v2 och WAF på Azure Front Door.
• OWASP-baserade regeluppsättningar, inklusive Standardregeluppsättning (DRS) och Core Rule Set (CRS).
• Identifieringsläge jämfört med förebyggande läge och när var och en ska användas.
• Alternativ för WAF-principomfång: globala associationer, per plats och per lyssnare.
• Anpassade regler för hastighetsbegränsning, geofiltrering och programspecifik logik.
• Skillnaden mellan WAF (Layer 7 HTTP) och Azure Firewall (Layer 3–7-nätverk).

Vem behöver den här artikeln

Distribuera WAF när dina arbetsbelastningar uppfyller ett eller flera av följande kriterier:

• Offentliga webbprogram: Dina program accepterar inkommande HTTP/HTTPS-trafik från Internet och exponerar dem för OWASP:s 10 främsta sårbarheter, inklusive inmatningsattacker, missbruk av bruten autentisering och försök till exponering av känsliga data.
• Efterlevnadskrav: Regelverk som PCI DSS (Payment Card Industry Data Security Standard) kräver en brandvägg för webbprogram framför alla program som bearbetar betalkortsdata.
• API-skydd: Dina API:er är offentligt tillgängliga och kräver skydd mot smuggling av begäranden, överdimensionerade nyttolaster och attacker på protokollnivå som nätverksbrandväggarna inte inspekterar.
• Botreducering: Du måste kategorisera och kontrollera automatiserad trafik, blockera skadliga robotar samtidigt som du tillåter legitima crawlers och övervakningstjänster.

Organisationer som bara behöver trafikfiltrering på nätverksnivå (IP, port och protokoll) utan HTTP-begärandegranskning bör använda Azure Firewall eller NSG:er i stället.

Azure WAF-plattformsjämförelse

Azure WAF finns på två plattformar. Varje plattform integrerar WAF-inspektion i en annan punkt i trafikflödet.

Så här väljer du din WAF-plattform

Använd följande beslutsvillkor:

• Välj WAF på Application Gateway när ditt program distribueras i en enda region och du redan använder Application Gateway för layer 7-belastningsutjämning, TLS-avslutning eller sökvägsbaserad routning. WAF lägger till HTTP-inspektion direkt i linje utan att införa ett extra tjänstehopp.
• Välj WAF på Azure Front Door när programmet sträcker sig över flera regioner, kräver global belastningsutjämning eller fördelar med cdn-acceleration (content delivery network). Front Door WAF inspekterar trafiken vid den närmaste gränspunkten för närvaro (PoP). Tjänsten blockerar skadliga begäranden innan de passerar Azure stamnät för att nå ditt ursprung. Den här metoden minskar exponeringen av attackytan och absorberar volymtriska Layer 7-attacker vid kanten.
• Välj båda (skiktade) när ett program med flera regioner som hanteras av Front Door också kräver regionala WAF-principer som skiljer sig åt för varje serverdel. Front Door ger globalt skydd på första raden, medan Application Gateway WAF tillämpar regionspecifika anpassade regler närmare arbetsbelastningen.

Designöverväganden

Förutsättningar

Innan du distribuerar Azure Web Application Firewall kontrollerar du att du har:

• Application Gateway v2 eller Azure Front Door resurs: WAF distribueras som en princip som är kopplad till någon av dessa plattformar. Du måste ha en befintlig Application Gateway v2-instans eller Azure Front Door profil etablerad innan du skapar och associerar en WAF-princip.
• Offentlig HTTP/HTTPS-arbetsbelastning: Ditt program måste ta emot inkommande HTTP/HTTPS-trafik. WAF inspekterar semantik på begäran och ger ingen fördel för icke-HTTP-arbetsbelastningar eller rent interna tjänster.
• Förstå HTTP-trafikmönster: Om du är bekant med programmets normala begärandemönster (rubriker, frågeparametrar och brödtextinnehåll) kan du konfigurera undantag och justera regler för att minimera falska positiva identifieringar under övergången Identifiering till förebyggande läge.

Regeluppsättningar och regelbearbetning

WAF använder regeluppsättningar för att identifiera skadliga mönster i HTTP-begäranden. Genom att förstå regelhierarkin och bearbetningsordningen kan du finjustera WAF för dina specifika program.

Hanterade regeluppsättningar

Microsoft underhåller hanterade regeluppsättningar baserat på CRS-mönster (OWASP Core Rule Set). Den rekommenderade regeluppsättningen för nya distributioner är DRS 2.2 (standardregeluppsättning). DRS 2.2 bygger på OWASP CRS 3.3.4 och lägger till signaturer för Microsoft Threat Intelligence.

DRS- och CRS-regeluppsättningar använder avvikelsebedömning. Varje matchande regel bidrar med en poäng i stället för att omedelbart blockera begäran. När den kumulativa avvikelsepoängen överskrider ett konfigurerbart tröskelvärde, vidtar WAF en åtgärd (blockerar eller loggar). Den här metoden minskar falska positiva identifieringar jämfört med blockering av enskilda regler eftersom en enda matchning med låg konfidens inte utlöser verkställighet.

Anpassade regler

Anpassade regler körs före hanterade regler och använder prioritetsnummer för att kontrollera utvärderingsordningen (lägre antal = högre prioritet). Använd anpassade regler för:

• Hastighetsbegränsning: Begränsa begäranden för varje klient-IP inom ett tidsfönster för att minska autentiseringsuppgifternas fyllning och råstyrkeattacker.
• Geofiltrering: Tillåt eller neka trafik baserat på klientens ursprungsland eller ursprungsregion.
• Tillåtelselistor och blockeringslistor för IP-adresser: Tillåt IP-adresser till kända partner eller blockera kända skadliga aktörer innan hanterade regler tillämpas.
• Granskning av begärandehuvud: Framtvinga programspecifika krav, till exempel obligatoriska API-nycklar eller förväntade innehållstyper.

Regeluppsättning för robotskydd

Båda plattformarna erbjuder en regeluppsättning för robotskydd som kategoriserar automatiserad trafik i bra robotar (verifierade sökmotorer), dåliga robotar (kända skadliga skannrar) och okända robotar. Konfigurera åtgärder för varje kategori: tillåt bra robotar, blockera dåliga robotar och utmana okända robotar med hastighetsbegränsning eller CAPTCHA.

Detektionsläge vs. Förebyggande läge

WAF-principer fungerar i något av två lägen som avgör hur systemet hanterar matchade begäranden:

Rekommenderat arbetsflöde för justering

1. Distribuera i identifieringsläge: Aktivera WAF med den valda regeln inställd i identifieringsläge. Dirigera produktionstrafik via WAF.
2. Analysera loggar: Granska WAF-loggar för att identifiera falska positiva resultat. Fastställ vilka regler som utlöses av legitim applikationstrafik.
3. Skapa undantag: För regler som genererar falska positiva identifieringar definierar du undantag som anger de fält för begäran (rubriker, cookies och frågeparametrar) som ska hoppa över för specifika regler.
4. Växla till förebyggande läge: Efter 1–2 veckors rena identifieringsloggar med godtagbara falska positiva frekvenser växlar du till förebyggande läge för aktiv blockering.
5. Löpande övervakning: Fortsätt övervaka loggar efter att du har växlat till förebyggande läge. Nya programfunktioner eller API-ändringar kan introducera nya falska positiva mönster.

WAF-principens omfattning och associering

En WAF-princip är en fristående Azure resurs som innehåller val av läge, regeluppsättningskonfiguration, anpassade regler och undantag. Associera principen med ett eller flera mål för att kontrollera skyddsomfånget.

Application Gateway WAF-principomfång

På Application Gateway associerar du en WAF-princip på tre detaljnivåer:

• Global (gateway-wide): Principen gäller för alla lyssnare och sökvägsregler på Application Gateway. Använd globalt omfång när alla program bakom gatewayen har samma skyddskrav.
• Lyssnarnivå: En annan WAF-princip gäller för en specifik lyssnare (värdnamn och portkombination). Använd omfång på lyssnarnivå när flera program delar en gateway men behöver olika regeljusteringar eller undantag.
• Sökvägsregelnivå: En WAF-princip gäller för en specifik URL-sökvägsregel i en lyssnare. Använd sökvägsregelns omfattning för finjusterad kontroll över applikationer med olika känslighet i backend.

När flera omfång gäller för en och samma begäran har den mest specifika policyn företräde: sökvägsregel åsidosätter lyssnarnivån, som i sin tur åsidosätter den globala nivån.

Front Door WAF-principens omfång

På Front Door associerar WAF-principer på slutpunkts- eller routningsnivå. Varje Front Door-slutpunkt kan ha en egen WAF-policy. Den här metoden möjliggör programspecifika skyddsprofiler i en enda Front Door-instans.

Dela principer mellan resurser

Dela en enskild WAF-princip över flera Application Gateway-instanser eller Front Door-slutpunkter. Azure Firewall Manager ger centraliserad synlighet och hantering i alla dina WAF-principer, oavsett plattform. Använd delade principer när flera resurser kräver identiskt skydd för att förenkla hanteringen och hålla konsekvent säkerhetsstatus.

Skillnad från Azure Firewall

WAF och Azure Firewall skydda olika lager i nätverksstacken och hantera kompletterande roller. Distribuera båda för skydd på djupet.

Använd WAF för HTTP-programskydd och Azure Firewall för centraliserad nätverkstrafikkontroll. I en hub-spoke-arkitektur flödar trafik från Internet till ett webbprogram vanligtvis via Azure Firewall (för DNAT och inspektion på nätverksnivå) och sedan via Application Gateway med WAF (för HTTP-nivåkontroll). Se Azure Firewall och trafikkontroll för komponenten på nätverksnivå.

Säkerhetsfrågor

Följande säkerhetsmetoder hjälper dig att få ut mesta möjliga skydd mot WAF:

• Förebyggandeläge i produktion: Lämna aldrig arbetsbelastningar i produktion i detekteringsläge. Identifieringsläget ger synlighet men ingen tillämpning, vilket gör att program exponeras för attacker.
• Regeljustering pågår: Program utvecklas. Nya API-slutpunkter, parametrar och innehållstyper kan utlösa falska positiva identifieringar i befintliga regeluppsättningar. Granska WAF-loggar regelbundet efter distributioner.
• Log Analytics integrering: Skicka WAF-diagnostikloggar till en Log Analytics arbetsyta. Använd WAF-arbetsboken för visualisering av blockerade begäranden, utlösta regler och fördelningar av avvikelsepoäng.
• DDoS och WAF tillsammans: WAF skyddar mot Layer 7-programattacker men minskar inte DDoS-attacker på volymskiktet. Parkoppla WAF med Azure DDoS Protection för full stack-täckning.
• Låsning av ursprung: När du använder Front Door WAF konfigurerar du ditt ursprung så att det endast accepterar trafik från Front Door-tjänsttaggen. Utan ursprungslåsning kan angripare kringgå Front Door och skicka begäranden direkt till din ursprungs-IP-adress.
• Känsligt dataskydd: WAF-loggar kan innehålla begärandedata. Konfigurera regler för loggrensning för att maskera känsliga fält (auktoriseringshuvuden, cookies eller brödtextinnehåll) i WAF-diagnostikloggar.

Relaterade artiklar

Följande artiklar beskriver relaterade nätverkssäkerhetsämnen:

• Internet-ingress och trafikroutning: Ingressmönster för offentliga program.
• Programleveranstjänster: Application Gateway och Front Door som leveransplattformar.
• Azure Firewall och trafikkontroll: Inspektion på nätverksnivå som kompletterar WAF Layer 7-skydd.
• DDoS-skydd: Skydd mot volymetriska attacker för offentliga IP-adresser.
• Vad är Azure-nätverkssäkerhet?: Översikt som jämför Azure Firewall, DDoS Protection och Web Application Firewall.

Learn more

• Översikt över Azure Web Application Firewall
• WAF på Application Gateway
• WAF på Azure Front Door
• Översikt över WAF-policy
• CRS-regelgrupper och -regler i Web Application Firewall (WAF)
• Justera Web Application Firewall för Azure Front Door

Nästa steg