Preguntas más frecuentes sobre el Firewall de aplicaciones web de Azure en Azure Front Door Service

Azure WAF es un Firewall de aplicaciones web que ayuda a proteger sus aplicaciones web frente a amenazas comunes como inyección de código SQL, el scripting entre sitios y otras vulnerabilidades de seguridad de la web. Puede definir una directiva de WAF, que consta de una combinación de reglas personalizadas y administradas para controlar el acceso a sus aplicaciones web.

Para las aplicaciones web hospedadas en el servicio Application Gateway o Azure Front Door, se puede aplicar una directiva de WAF de Azure.

Azure Front Door es una red de entrega de contenido y de aplicaciones altamente escalable y distribuida globalmente. Cuando WAF de Azure se integra con Front Door, detiene los ataques por denegación de servicio y de aplicaciones dirigidas en el borde de la red de Azure. De este modo, cierra los orígenes de los ataques antes de que entren en la red virtual y ofrece protección sin sacrificar el rendimiento.

Front Door ofrece la descarga de SSL. WAF se integra de forma nativa con Front Door y puede inspeccionar una solicitud una vez se descifra.

Sí. Puede configurar restricciones de IP para IPv4 e IPv6. Para obtener más información, consulte Adopción de IPv6: mejora de Azure WAF en Front Door.

Hacemos todo lo posible para mantenernos al día con el panorama de amenazas que cambia constantemente. Una vez que se actualiza una regla nueva, se agrega al conjunto de reglas predeterminado con un nuevo número de versión.

La mayoría de las implementaciones de directivas de WAF se completan en menos de 20 minutos. Puede esperar que la directiva surta efecto en cuanto se complete la actualización en todas las ubicaciones perimetrales globalmente.

Cuando se integra con Front Door, WAF es un recurso global. Se aplica la misma configuración en todas las ubicaciones de Front Door.

Puede configurar la lista de control de acceso de IP en el back-end para permitir solo los intervalos de direcciones IP salientes que usan la etiqueta del servicio Azure Front Door y denegar cualquier acceso directo desde Internet. Se admite el uso de etiquetas de servicio en la red virtual. Además, puede verificar que el campo de encabezado HTTP X-Forwarded-Host es válido para su aplicación web.

Hay dos opciones al aplicar las directivas de WAF en Azure. WAF con Azure Front Door es una solución de seguridad de borde distribuida globalmente. WAF con Application Gateway es una solución regional y dedicada. Le recomendamos que elija una solución basada en los requisitos de seguridad y rendimiento generales. Para obtener más información, consulte Equilibrio de carga con el conjunto de entrega de aplicaciones de Azure.

Al habilitar WAF en una aplicación existente, suele haber detecciones de falsos positivos en las que las reglas de WAF detectan tráfico legítimo como una amenaza. Para minimizar el riesgo de que los usuarios se vean afectados, se recomienda el siguiente proceso:

• Habilite WAF en el modo Detección para asegurarse de que WAF no bloquee las solicitudes mientras realiza este proceso. Este paso se recomienda para realizar pruebas en WAF.

  Importante

  Este proceso describe cómo habilitar WAF en una solución nueva o existente cuando tiene como prioridad minimizar las interrupciones para los usuarios de la aplicación. Si está siendo atacado o está bajo amenaza inminente, se recomienda que implemente WAF en el modo Prevención inmediatamente y use el proceso de optimización para supervisar y ajustar WAF con el tiempo. Esto probablemente hará que se bloquee parte del tráfico legítimo, por lo que solo recomendamos hacerlo cuando esté bajo amenaza.

• Siga las instrucciones para optimizar WAF. Este proceso requiere que habilite el registro de diagnóstico, revise los registros con regularidad y agregue exclusiones de reglas y otras mitigaciones.
• Repita todo este proceso y compruebe los registros con regularidad hasta que esté convencido de que no se está bloqueando el tráfico legítimo. Todo el proceso puede tardar varias semanas. Idealmente, debería haber menos detecciones de falsos positivos después de cada optimización que realice.
• Por último, habilite WAF en modo de prevención.
• Incluso cuando esté ejecutando WAF en producción, debe seguir supervisando los registros para identificar cualquier otra detección de falsos positivos. Revisar periódicamente los registros también le ayudará a identificar los intentos de ataques reales que se hayan bloqueado.

Actualmente, las reglas ModSec CRS 3.0, CRS 3.1, y CRS 3.2 solo se admiten con WAF en Application Gateway. Las reglas de limitación de velocidad y de conjuntos de reglas predeterminadas administradas por Azure solo se admiten con WAF en Azure Front Door.

Gracias a que Azure Front Door está distribuido globalmente en los bordes de la red de Azure, puede absorber y aislar geográficamente los ataques de gran volumen. Puede crear directivas personalizadas de WAF para bloquear automáticamente los ataques HTTP(S) que tienen firmas conocidas, así como para limitar el volumen de estos. Además, puede habilitar DDoS Network Protection en la red virtual donde se implementan sus back-ends. Los clientes de Azure DDoS Protection reciben ventajas adicionales, como protección de los costos, garantía del SLA y acceso a expertos del equipo de respuesta rápida de DDoS para obtener ayuda inmediata durante un ataque. Para más información, consulte Protección contra DDoS en Front Door.

Es posible que no vea las solicitudes bloqueadas inmediatamente por el límite de frecuencia cuando los distintos servidores de Front Door procesan las solicitudes. Para más información, consulte Limitación de velocidad y servidores de Front Door.

Front Door WAF admite los siguientes tipos de contenido:

• DRS 2.0

  Reglas administradas

  • application/json
  • aplicación/xml
  • application/x-www-form-urlencoded
  • multipart/form-data

  Reglas personalizadas

  • application/x-www-form-urlencoded

• DRS 1.x

  Reglas administradas

  • application/x-www-form-urlencoded
  • text/plain

  Reglas personalizadas

  • application/x-www-form-urlencoded

No, no puede. El perfil de AFD y la directiva de WAF deben estar en la misma suscripción.

Pasos siguientes

• Más información sobre Firewall de aplicaciones web de Azure.
• Obtenga más información acerca de Azure Front Door.