Waktu yang tepat untuk menggunakan Azure Web Application Firewall
Anda tahu apa itu Azure Web Application Firewall dan cara kerjanya. Sekarang Anda memerlukan beberapa kriteria untuk membantu Anda mengevaluasi apakah Azure Web Application Firewall adalah pilihan yang sesuai untuk perusahaan Anda. Untuk membantu Anda memutuskan, mari kita pertimbangkan skenario berikut:
- Anda memiliki aplikasi web yang berisi data sensitif atau eksklusif
- Anda memiliki aplikasi web yang mengharuskan pengguna untuk masuk
- Pengembang aplikasi web Anda tidak memiliki pakar keamanan
- Pengembang aplikasi web Anda memiliki prioritas lain
- Anda memiliki batasan anggaran pengembangan aplikasi web
- Anda memiliki batasan waktu pengembangan aplikasi web
- Aplikasi web Anda harus dibuat dan diterapkan dengan cepat
- Peluncuran aplikasi web Anda akan menarik banyak perhatian
Sebagai bagian dari evaluasi Azure Web Application Firewall, Anda tahu bahwa Contoso sesuai dengan beberapa skenario ini. Baca bagian yang sesuai untuk detail selengkapnya.
Anda memiliki aplikasi web yang berisi data sensitif atau eksklusif
Beberapa penyerang web hanya ingin merasakan tantangan untuk masuk ke sistem. Namun, sebagian besar peretas yang berbahaya menggunakan injeksi, serangan protokol, dan eksploitasi serupa dengan tujuan tertentu. Tujuan tersebut dapat berupa salah satu dari hal berikut:
- Nomor kartu kredit pelanggan
- Informasi pribadi sensitif, seperti nomor SIM atau nomor paspor
- Data eksklusif atau rahasia milik perusahaan
Penyerang mungkin menggunakan data ini secara langsung. Misalnya, pengguna dapat membeli barang dengan nomor kartu kredit yang dicuri. Namun, kemungkinan besar penyerang dapat menjual data di pasar kriminal atau menyimpan data untuk meminta tebusan.
Jika perusahaan Anda menjalankan satu atau beberapa aplikasi web yang menyimpan data sensitif atau eksklusif, Azure Web Application Firewall dapat melindungi data tersebut dari upaya gangguan dan penyelundupan.
Anda memiliki aplikasi web yang mengharuskan pengguna untuk masuk
Penyerang aplikasi web sering mencoba untuk mendapatkan nama pengguna dan kata sandi akun. Memiliki kredensial akun pengguna berguna bagi penyerang karena hal berikut:
- Penyerang dapat mengakses aplikasi sebagai pengguna yang diotorisasi.
- Penyerang mungkin dapat menjalankan skrip atau perintah dengan hak istimewa yang lebih tinggi.
- Penyerang mungkin dapat mengakses bagian lain dari jaringan.
- Penyerang mungkin dapat menggunakan kredensial akun untuk masuk ke situs dan layanan lain.
Apakah bisnis Anda menggunakan aplikasi web yang mengharuskan pengguna untuk masuk? Azure Web Application Firewall dapat mendeteksi eksploitasi, seperti injeksi SQL dan penyertaan file lokal, yang mencoba menampilkan atau mencuri kredensial akun.
Penting
Perlu diingat bahwa Azure Web Application Firewall hanyalah salah satu aspek dari berbagai strategi keamanan jaringan. Untuk data masuk, strategi tersebut mungkin juga mencakup persyaratan kata sandi yang ketat dan menyimpan kata sandi dalam bentuk terenkripsi.
Pengembang aplikasi web Anda tidak memiliki pakar keamanan
Pengkodean terhadap berbagai potensi eksploitasi aplikasi web membutuhkan keahlian yang signifikan. Keahlian ini mencakup pengetahuan terperinci tentang konsep-konsep berikut:
- Struktur umum permintaan dan respons HTTP/HTTPS
- Jenis permintaan HTTP/HTTPS tertentu, seperti GET, POST, dan PUT
- Pengodean URL dan UTF
- Agen pengguna, string kueri, dan variabel lainnya
- Perintah, jalur, shell, dan data serupa untuk beberapa sistem operasi server
- Teknologi web ujung depan, seperti HTML, CSS, dan JavaScript
- Teknologi web sisi server, seperti SQL, PHP, dan sesi pengguna
Bagaimana jika tim pengembangan web perusahaan Anda tidak memiliki pengetahuan dalam satu atau beberapa konsep ini? Dalam hal ini, aplikasi web Anda rentan terhadap beberapa eksploitasi. Sebaliknya, Azure Web Application Firewall dikelola dan diperbarui oleh tim pakar keamanan Microsoft.
Pengembang aplikasi web Anda memiliki prioritas lain
Perusahaan Anda tidak mungkin menerapkan aplikasi webnya untuk satu tujuan saja: menggagalkan eksploitasi seperti injeksi SQL dan eksekusi perintah jarak jauh. Kemungkinan besar perusahaan Anda memiliki tujuan lain untuk aplikasi webnya. Tujuan itu mungkin untuk menjual produk, menyediakan layanan, atau mempromosikan bisnis Anda.
Kemungkinan Anda lebih suka bahwa tim pengembangan web Anda berfokus pada pemenuhan tujuan ini daripada menulis kode keamanan aplikasi yang kuat. Dengan Azure Web Application Firewall, Anda mengizinkan Microsoft mengelola keamanan saat tim Anda fokus pada aspek bisnis.
Anda memiliki batasan anggaran pengembangan aplikasi web
Pengodean internal terhadap semua eksploitasi OWASP adalah persoalan yang mahal:
- Pengembang web dengan keahlian keamanan yang diperlukan relatif jarang ditemukan. Pengembang ini dapat meminta gaji yang lebih tinggi daripada rekan yang tidak memiliki keahlian tersebut.
- Pengodean terhadap berbagai eksploitasi aplikasi web bukanlah pekerjaan satu kali saja. Saat ditemukan eksploitasi baru atau dengan modifikasi, tim Anda harus terus mempertahankan dan memperbarui kode keamanannya. Pakar keamanan Anda harus menjadi anggota permanen tim pengembangan web Anda, dan item baris permanen dalam anggaran Anda.
Azure Web Application Firewall tidak gratis. Namun, Anda mungkin menyadari bahwa ini adalah solusi yang lebih hemat biaya daripada mempekerjakan tim pakar keamanan web penuh waktu.
Anda memiliki batasan waktu pengembangan aplikasi web
Banyak tim pengembangan web membuat kode in-house terhadap semua eksploitasi OWASP. Namun, sebagian besar tim ini segera menyadari bahwa membuat dan mengelola kode ini melelahkan dan memakan waktu. Jika Anda mencoba memenuhi tenggat waktu yang ketat untuk meluncurkan aplikasi web baru, ribuan jam kerja yang diperlukan untuk melindungi aplikasi dari semua eksploitasi OWASP adalah rintangan utama,
Anda dapat mengonfigurasi instans Azure Application Gateway atau profil Azure Front Door dengan Azure Web Application Firewall dalam hitungan menit.
Aplikasi web Anda harus dibuat dan diterapkan dengan cepat
Banyak aplikasi web tidak memerlukan perawatan pengembangan penuh. Misalnya, pertimbangkan dua jenis aplikasi berikut:
- Bukti konsep: Aplikasi ini hanya dimaksudkan untuk membuktikan bahwa beberapa teknik, proposal, atau desain layak.
- Produk layak minimum (MVP): Aplikasi ini hanya mencakup fitur yang cukup untuk digunakan oleh pengadopsi awal yang memberikan umpan balik untuk versi mendatang.
Aplikasi web proof-of-concept dan MVP dimaksudkan untuk dibuat dan digunakan dengan cepat. Dalam kasus ini, tidak masuk akal untuk membuat kode manual terhadap eksploitasi umum. Anda masih ingin melindungi aplikasi ini dari orang yang berbahaya, jadi masuk akal untuk menempatkannya di belakang firewall aplikasi web.
Peluncuran aplikasi web Anda akan menarik banyak perhatian
Apakah tim pemasaran Anda mempromosikan aplikasi web yang akan segera dirilis secara besar-besaran? Apakah mereka memposting pesan di beberapa platform media sosial untuk meningkatkan minat pada aplikasi menjelang waktu rilisnya? Hal ini bagus, tetapi tahukah Anda siapa lagi yang mungkin tertarik dengan perilisan aplikasi? Pengguna berbahaya yang mungkin memutuskan untuk mencoba mengganggu perilisan aplikasi dengan meluncurkan beberapa serangan umum terhadap aplikasi.
Untuk menghindari gangguan, merupakan hal yang baik untuk melindungi aplikasi web dengan Azure Web Application Firewall.