Introduction
L'application e-commerce côté client de Contoso Retail s'exécute sur Azure App Service et est exposée directement à l'Internet public. Un test de pénétration récent a révélé trois lacunes de sécurité qui restent non traitées dans le déploiement actuel. L’application n’applique aucun contrôle d’authentification au niveau de la plateforme : toute requête non authentifiée atteint le code de l’application. App Service accepte le trafic entrant à partir de n’importe quelle adresse IP source, ce qui signifie qu’un attaquant qui découvre le nom d’hôte App Service peut contourner tout contrôle de sécurité placé devant lui. Aucun pare-feu applicatif web ne protège l'application, et le test d'intrusion a démontré qu'une attaque par injection SQL a été menée avec succès contre le point de terminaison de recherche de produits.
Ces trois lacunes constituent un problème superposé. Fermer l’un sans les autres laisse un risque significatif ouvert. L'authentification au niveau de la plateforme n'empêche pas un attaquant de router autour d'un Web Application Firewall (WAF) en ciblant directement App Service. Un WAF placé devant l’application ne fournit aucune protection si l’application accepte toujours le trafic direct à partir d’Internet. Chaque couche dépend des autres pour être efficace.
Dans ce module, vous parcourez chacune des trois couches dans l’ordre. Vous commencez par sécuriser la plateforme App Service elle-même : configuration de l’authentification avec Microsoft Entra ID, affectation d’une identité managée pour les appels de service sortants, application du protocole HTTPS et application de restrictions d’accès et contrôles réseau qui limitent l’origine du trafic entrant. Vous configurez ensuite une stratégie de Web Application Firewall sur Application Gateway. Sélectionnez ensuite des ensembles de règles managés, définissez les modes WAF et définissez des exclusions et des règles personnalisées. Enfin, vous connectez les deux composants afin que tout le trafic entrant passe par l’inspection du WAF avant d’atteindre App Service, et vous apprenez à surveiller les journaux du WAF et à ajuster la stratégie pour réduire les faux positifs.
Objectifs d’apprentissage
À l’issue de ce module, vous pourrez :
- Implémenter des contrôles d’authentification, d’identité managée et de réseau pour Azure App Service
- Configurer les stratégies de pare-feu d’applications web, y compris les ensembles de règles gérés et les règles personnalisées
- Intégrer Web Application Firewall avec App Service pour assurer une protection en périphérie