Azure Front Door WAF-Ausnahmenliste (Vorschau)

Gilt für: ✔️ Front Door Premium

Die Azure Front Door Web Application Firewall (WAF) schützt Ihre Webanwendungen vor gängigen Bedrohungen und Angriffen. In diesem Artikel wird beschrieben, wie Sie WAF-Ausnahmelisten in einer WAF-Richtlinie konfigurieren, die Ihrem Azure Front Door zugeordnet ist.

Einen Überblick über WAF-Richtlinien finden Sie unter Azure Web Application Firewall in Azure Front Door und WAF-Richtlinieneinstellungen.

In einigen Fällen kann WAF Anfragen blockieren, die für Ihre Anwendung unbedenklich und vorgesehen sind. Mit Ausnahmelisten können Sie die WAF-Inspektion für bestimmte Anforderungen umgehen. Sie können Ausnahmen auf Regel-, Regelgruppen- oder verwaltete Regelsatzebene konfigurieren.

Nur die nächste Generation des WAF-Moduls unterstützt Ausnahmen, und Sie können sie nur verwenden, wenn Ihre verwaltete Ruleset-Version DRS 2.1 oder höher ist. Weitere Informationen finden Sie unter DRS-Regelgruppen und -regeln.

Wichtig

Die Ausnahmefunktion für Azure Front Door Web Application Firewall (WAF) ist derzeit als VORSCHAU verfügbar. Die zusätzlichen Nutzungsbestimmungen für Microsoft Azure-Vorschauen enthalten rechtliche Bedingungen. Sie gelten für diejenigen Azure-Features, die sich in der Beta- oder Vorschauversion befinden oder aber anderweitig noch nicht zur allgemeinen Verfügbarkeit freigegeben sind.

Definieren von Anforderungsattributen

Wenn Sie eine Ausnahme erstellen, geben Sie an, welche Anforderungsattribute den Datenverkehr identifizieren, der die WAF-Auswertung umgehen soll. Zu den unterstützten Attributen gehören:

  • URI anfordern
  • Remote-IP-Adresse
  • Anforderungsheadername und -wert

Gleichen Sie Attribute entweder exakt oder teilweise mithilfe der folgenden Operatoren ab:

  • Entspricht: Entspricht dem exakten Wert. Beispiel: Um das Kopfzeilen-BearerToken auszuwählen, verwenden Sie den Operator "Equals " mit bearerToken als Selektor.

  • Beginnt mit: Entspricht Werten, die mit dem angegebenen Selektor beginnen.

  • Endet mit: Entspricht Werten, die auf den angegebenen Selektor enden.

  • Enthält: Gleicht Werte ab, die den angegebenen Selektor enthalten.

  • IP-Übereinstimmung: Entspricht einer oder mehreren IP-Adressen.

Festlegen des Ausnahmebereichs

Ausnahmen eingrenzen auf:

  • Eine bestimmte Regel

  • Eine Regelgruppe

  • Ein gesamtes verwaltetes Regelset

Wenn Sie eine Ausnahme definieren:

  • Geben Sie die Regeln, Regelgruppe oder verwaltete Regelgruppe an, auf die sie angewendet wird.

  • Definieren Sie das Anforderungsattribut, das den auszuschließenden Datenverkehr identifiziert.

  • Um eine gesamte Regelgruppe auszuschließen, geben Sie den Parameter an ruleGroupName . Verwenden Sie den rules Parameter nur, wenn Sie die Ausnahme auf bestimmte Regeln innerhalb dieser Gruppe einschränken.

Tipp

Ausnahmen immer so schmal wie möglich machen. Allgemeine Ausnahmen können Ihre Anwendung unbeabsichtigt für Angriffe verfügbar machen. Verwenden Sie nach Möglichkeit Ausnahmen pro Regel.

Wenden Sie eine Ausnahme auf Ihre WAF-Richtlinie an

Angenommen, Sie möchten nicht, dass WAF Anfragen an /login.php und /logout.php überprüft, wenn WAF SQL-Injection-Regeln auswertet. Konfigurieren Sie Ausnahmen wie folgt:

  1. Wechseln Sie zur WAF-Richtlinie, in der Sie Ausnahmen hinzufügen möchten.

  2. Wählen Sie unter "Einstellungen" die Option "Verwaltete Regeln" aus.

  3. Wählen Sie auf der Registerkarte "Ausnahmen " die Option "Ausnahmen hinzufügen" aus.

    Screenshot, der zeigt, wie Ausnahmen in einer WAF-Richtlinie im Azure-Portal hinzugefügt werden.

  4. Wählen Sie unter "Gilt für" das DRS-Regelset aus, auf das die Ausnahme angewendet werden soll, z. B. Microsoft_DefaultRuleSet_2.1, und wählen Sie den Bereich aus (gesamtes Regelsatz, Regelgruppe oder bestimmte Regeln).

    Screenshot, der zeigt, wie Sie das DRS-Regelet und den Gültigkeitsbereich für die Ausnahme in einer WAF-Richtlinie im Azure-Portal auswählen.

  5. Wählen Sie "Ausnahme hinzufügen" aus, und konfigurieren Sie die Übereinstimmungsvariable, den Wert-Übereinstimmungsoperator und die Werte.

    Screenshot, der zeigt, wie Sie die Übereinstimmungsvariable, den Wertabgleichsoperator und die Werte für die Ausnahme in einer WAF-Richtlinie im Azure-Portal konfigurieren.

  6. Wählen Sie "Hinzufügen" und dann " Speichern " aus, um die neue Ausnahme anzuwenden.

  7. Wechseln Sie zur Registerkarte "Ausnahmen ", um die neue Ausnahme anzuzeigen.

Limitations

Die folgenden Einschränkungen gelten für WAF-Ausnahmen:

  • Jede Azure WAF-Richtlinie unterstützt bis zu 60 Ausnahmen.

  • Jede Azure Front Door unterstützt bis zu 60 Ausnahmen insgesamt, berechnet als Summe aller Ausnahmen in den WAF-Richtlinien, die diesem Gateway zugeordnet sind.

  • Innerhalb einer einzigen Ausnahme können Sie folgendes konfigurieren:

    • 600 IP-Adressen oder

    • 10 URIs, oder

    • 10 Anforderungsheader.

Optionen zum Zulassen von Datenverkehr über Azure WAF

Azure Web Application Firewall (WAF) bietet verschiedene Mechanismen, um den Datenverkehr bei Bedarf sicher zuzulassen und gleichzeitig den Schutz aufrechtzuerhalten. Je nachdem, ob Sie die Inspektion für einen Teil einer Anforderung oder die gesamte Anforderung umgehen möchten, verwenden Sie Ausschlüsse, Ausnahmen oder benutzerdefinierte Regeln.

Bestimmte Teile einer Anforderung mithilfe von Ausschlüssen zulassen

Verwenden Sie Ausschlüsse , wenn WAF die Überprüfung eines bestimmten Elements innerhalb einer Anforderung überspringen soll, z. B. einen Header, einen Abfrageparameter oder ein Cookie, während die Überprüfung weiterhin auf den Rest der Anforderung angewendet wird.

Beispiel: Wenn eine legitime Anwendung ein Sitzungs-Cookie mit zufälligen Zeichen sendet, die häufig Fehlalarme bei SQL-Injection auslösen, können Sie für dieses Cookie einen Ausschluss konfigurieren. WAF überspringt die Prüfung auf den Cookie-Wert, erzwingt jedoch weiterhin Schutzmaßnahmen für den Rest der Anforderung.

Gesamte Anforderungen mithilfe von benutzerdefinierten Regeln und Ausnahmen zulassen

Verwenden Sie eine der folgenden Optionen, um eine vollständige Anforderung zur Umgehung der WAF-Inspektion zuzulassen:

Benutzerdefinierte Regel mit einer Zulassen-Aktion

Wenn Sie eine benutzerdefinierte Regel mit der Aktion "Zulassen " konfigurieren, wird durch die Anforderung die Überprüfung durch den Standardregelsatz (Default Rule Set, DRS), den Kernregelsatz (Core Rule Set, CRS) und das Bot Protection-Regelset umgangen.

Wichtig

Diese Umgehung ist absolut für diese Regelsätze und kann nicht geändert oder selektiv angewendet werden. Sobald die Allow-Aktion ausgelöst wurde, wertet keine dieser Regelets die Anforderung aus. Das HTTP-DDoS-Schutzregelnet verarbeitet die Anforderung jedoch weiterhin. Mit diesem Regelsatz wird sichergestellt, dass Anfragen auf volumetrische oder Flooding-Angriffe geprüft werden, auch wenn alle anderen Regelsätze übersprungen werden.

Verwenden Sie diese Konfiguration nur, wenn Sie der Datenverkehrsquelle oder -anwendung vollständig vertrauen, da die Signatur und Anomalieerkennung effektiv deaktiviert wird.

Beispiel: Wenn Sie über eine vertrauenswürdige Partner-API verfügen, die HÄUFIG DRS-Regeln aufgrund des Nutzlastformats auslöst, können Sie eine benutzerdefinierte Zulassungsregel für Datenverkehr aus dem IP-Bereich des Partners erstellen. Diese Konfiguration stellt sicher, dass der Datenverkehr niemals durch DRS, CRS oder Bot-Schutz blockiert wird und gleichzeitig weiterhin durch HTTP-DDoS-Schutz abgesichert ist.

Ausnahmen (genauere Kontrolle)

Im Gegensatz dazu können Sie mit Ausnahmen die Inspektion nur für bestimmte Regeln, Regelgruppen oder ganze Regelsätze überspringen, anstatt sie alle gleichzeitig zu deaktivieren.

Sie können Ausnahmen auf DRS, CRS, Bot Protection und sogar das HTTP-DDoS-Regelet anwenden.

Dieser Ansatz bietet eine differenzierte Kontrolle, sodass Sie die Überprüfung für eine problematische Regel deaktivieren können, während die restlichen Schutzmaßnahmen aktiv bleiben.

Beispiel: Wenn eine einzelne DRS-Regel (z. B. Content-Type Header) gültige mobile App-Anforderungen blockiert, können Sie nur eine Ausnahme für diese Regel erstellen. Alle anderen DRS-Regeln sowie der Bot-Schutz und der DDoS-Schutz werden weiterhin auf den Datenverkehr angewendet.

Verwandte Inhalte

  • Last updated on