Web Application Firewall di Azure in Frontdoor di Azure

Si applica a: ✔️ Front Door Standard/Premium ✔️ Front Door (classico) ✔️ CDN Standard di Microsoft (classico)

Web application firewall di Azure in Frontdoor di Azure offre una protezione centralizzata per le applicazioni Web. Un web application firewall (WAF) protegge i servizi Web da exploit e vulnerabilità comuni. Mantiene una disponibilità elevata del servizio per gli utenti e consente di soddisfare i requisiti di conformità.

Il Web Application Firewall di Azure su Frontdoor di Azure è una soluzione globale e centralizzata. distribuita nei punti perimetrali della rete di Azure in tutto il mondo. Le applicazioni Web abilitate per WAF controllano ogni richiesta in ingresso recapitata da Frontdoor di Azure nel perimetro di rete.

Un WAF impedisce attacchi dannosi vicini alle origini di attacco prima che entrino nella rete virtuale. offrendo protezione globale su larga scala senza compromettere le prestazioni. La politica WAF si collega facilmente a qualsiasi profilo Frontdoor di Azure nella tua sottoscrizione. È possibile implementare rapidamente nuove regole, in modo da rispondere con tempestività ai mutevoli modelli di minacce.

Screenshot che mostra il firewall per applicazioni web di Azure.

Nota

Per i carichi di lavoro Web, è consigliabile usare Protezione DDoS di Azure e un web application firewall per proteggersi dagli attacchi DDoS emergenti. Un'altra opzione consiste nell'usare Frontdoor di Azure insieme a un web application firewall. Frontdoor di Azure offre protezione a livello di piattaforma dagli attacchi DDoS a livello di rete. Per altre informazioni, vedere Baseline di sicurezza per i servizi di Azure.

Frontdoor di Azure ha due livelli:

  • Normale
  • Di alta qualità

Web application firewall di Azure è integrato in modo nativo con Frontdoor di Azure Premium con funzionalità complete. Per Frontdoor di Azure Standard sono supportate solo le regole personalizzate.

Protezione

Web application firewall di Azure protegge:

  • Protezione delle applicazioni Web da vulnerabilità e attacchi Web senza modifiche al codice back-end.
  • Protezione delle applicazioni web da bot malevoli usando il Set di Regole di Reputazione IP.
  • Applicazioni contro gli attacchi DDoS. Per altre informazioni, vedere Protezione DDoS dell'applicazione.

Regole e criteri di WAF

È possibile configurare un criterio WAF e associarlo a uno o più domini frontdoor di Azure per la protezione. I criteri di WAF sono costituiti da due tipi di regole di sicurezza:

  • Regole personalizzate che crei tu.
  • Set di regole gestite che rappresentano una raccolta di set di regole preconfigurati gestiti da Azure.

Quando sono presenti entrambi i tipi, le regole personalizzate vengono elaborate prima di quelle incluse in un set di regole gestito. Una regola è costituita da una condizione di corrispondenza, una priorità e un'azione. I tipi di azione supportati sono Permesso, Blocca, Log, Reindirizza e Punteggio Anomalia (per il Set di Regole Default 2.0 o successivo). È possibile creare criteri completamente personalizzati che soddisfino specifici requisiti di protezione delle applicazioni combinando regole gestite e personalizzate.

Importante

Il regolamento HTTP DDoS è un'eccezione a questo ordine di elaborazione. Viene valutato prima delle regole personalizzate e le regole personalizzate configurate con l'azione Consenti non lo aggirano. Per maggiori informazioni, consulta il regolamento HTTP DDoS.

Le regole all'interno dei criteri vengono elaborate in ordine di priorità. La priorità è un numero intero univoco che definisce l'ordine di elaborazione delle regole. Un valore intero più piccolo indica una priorità più alta e tali regole vengono valutate prima delle regole con un valore intero superiore. Dopo che una regola è stata abbinata, l'azione corrispondente che hai definito nella regola viene applicata alla richiesta. Dopo l'elaborazione di una corrispondenza di questo tipo, le regole con priorità più bassa non vengono elaborate ulteriormente.

Un'applicazione Web fornita da Frontdoor di Azure può avere un solo criterio WAF associato in ogni momento. Tuttavia, è possibile avere una configurazione frontdoor di Azure senza criteri WAF associati. Se è presente una policy WAF, essa viene replicata in tutte le zone edge di Microsoft per garantire politiche di sicurezza coerenti in tutto il mondo.

Ambiti di allegamento delle politiche

Con Frontdoor di Azure, puoi collegare policy WAF su più ambiti così da bilanciare una protezione ampia con controlli mirati:

  • Policy a livello di profilo: applica una policy di base condivisa su tutto il profilo Frontdoor di Azure.
  • Policy a livello di dominio: applica le impostazioni di policy a domini specifici nel profilo.
  • Politica a livello di percorso: applica la politica più specifica a percorsi selezionati.

Puoi usare un solo telescopio o combinare i telescopi in base alle tue esigenze di implementazione.

Precedenza dei criteri

Quando più ambiti di policy si applicano a una richiesta, Frontdoor di Azure WAF utilizza il scope più specifico:

  1. Criterio a livello di route
  2. Politica a livello di dominio
  3. Politica a livello di profilo

Ad esempio, se una richiesta corrisponde sia a una policy a livello di profilo sia a una policy a livello di route, Frontdoor di Azure WAF applica la policy a livello di route per quella richiesta.

Tip

Inizia con una policy di base a livello di profilo, poi applica politiche a livello di dominio o di route solo dove hai bisogno di tutele diverse.

Modalità di WAF

È possibile configurare un criterio WAF da eseguire in due modalità:

  • Rilevamento: quando un WAF viene eseguito in modalità di rilevamento, monitora e registra solo la richiesta e la regola WAF corrispondente ai log WAF. Non esegue altre azioni. È possibile attivare la diagnostica di registrazione per Frontdoor di Azure. Se si usa il portale, andare alla sezione Diagnostica.
  • Prevenzione: in modalità di prevenzione, un WAF esegue l'azione specificata se una richiesta corrisponde a una regola. Se viene trovata una corrispondenza, le eventuali altre regole con priorità più bassa non vengono valutate. Tutte le richieste corrispondenti vengono anche registrate nei log di WAF.

Azioni di WAF

I clienti di WAF possono scegliere di eseguire una delle azioni seguenti quando una richiesta soddisfa le condizioni di una regola:

  • Consenti: la richiesta passa attraverso il WAF e viene inoltrata all'origine. Nessuna regola con priorità più bassa può bloccare questa richiesta.
  • Blocca: la richiesta viene bloccata e WAF invia una risposta al client senza inoltrare la richiesta all'origine.
  • Log: la richiesta viene registrata nei log WAF e WAF continua a valutare le regole con priorità inferiore.
  • Reindirizzamento: WAF reindirizza la richiesta all'URI specificato. L'URI specificato è un'impostazione a livello di policy. Dopo la configurazione, tutte le richieste che corrispondono all'azione di reindirizzamento vengono inviate a tale URI.
  • Punteggio anomalie: il punteggio di anomalia totale viene aumentato in modo incrementale quando viene trovata una corrispondenza con una regola con questa azione. Questa azione predefinita è per il set di regole predefinito 2.0 o versione successiva. Non è applicabile per il set di regole di Bot Manager.

Regole di WAF

I criteri di WAF sono costituiti da due tipi di regole di sicurezza:

  • Regole personalizzate, create da te, e set di regole gestiti
  • Set di regole preconfigurati gestiti da Azure

Regole create in modo personalizzato

Per configurare regole personalizzate per un WAF, usare i controlli seguenti:

  • Lista di permessi IP e lista di blocchi: Controlla l'accesso alle tue applicazioni web basandosi su un elenco di indirizzi IP client o intervalli di indirizzi IP. Entrambi i tipi di indirizzi IPv4 e IPv6 sono supportati. Configura questa lista per bloccare o consentire richieste in cui l'IP sorgente corrisponde a un IP nella lista.
  • Controllo degli accessi basato sulla geografia: Controlla l'accesso alle tue applicazioni web in base al codice paese associato all'indirizzo IP del cliente.
  • Controllo di accesso basato su parametri HTTP: regole di base sulle corrispondenze delle stringhe nei parametri delle richieste HTTP/HTTPS. Gli esempi includono stringhe di query, parametri POST, URI della richiesta, intestazione della richiesta e corpo della richiesta.
  • Controllo di accesso basato su metodo di richiesta: Regole basate sul metodo HTTP della richiesta. Gli esempi includono GET, PUT o HEAD.
  • Vincolo di dimensione: regole di base sulle lunghezze di parti specifiche di una richiesta, come stringa di query, Uri o Corpo della richiesta.
  • Regole di limitazione della frequenza: una regola di limitazione della frequenza limita in modo anomalo il traffico proveniente da qualsiasi indirizzo IP client. È possibile configurare una soglia per il numero di richieste Web consentite da un INDIRIZZO IP client durante una durata di un minuto. Questa regola è diversa da una regola personalizzata basata su elenco IP che consente o blocca tutte le richieste provenienti da un indirizzo IP client. I limiti di frequenza possono essere combinati con altre condizioni di corrispondenza, ad esempio le corrispondenze dei parametri HTTP(S) per il controllo della frequenza granulare.

Set di regole gestiti da Azure

I set di regole gestiti da Azure consentono di distribuire in modo semplice la protezione da un set comune di minacce alla sicurezza. Poiché Azure gestisce questi set di regole, aggiorna le regole secondo necessità per proteggerle da nuove firme di attacco. Il set di regole predefinito gestito da Azure include regole per le categorie di minacce seguenti:

  • Scripting intersito
  • Attacchi Java
  • Inclusione di file locali
  • Attacchi PHP injection
  • Esecuzione di comandi remoti
  • Inclusione di file remoti
  • Attacchi di tipo Session Fixation
  • Protezione dagli attacchi SQL injection
  • Aggressori del protocollo

Le regole personalizzate vengono sempre applicate prima della valutazione delle regole del set predefinito. Se una richiesta corrisponde a una regola personalizzata, viene applicata l'azione della regola corrispondente. La richiesta viene bloccata o passata al back-end. Non vengono elaborate altre regole personalizzate né le regole del Set di regole predefinito. È anche possibile rimuovere il set di regole predefinito dai criteri di WAF.

Per ulteriori informazioni, vedere Gruppi di regole e regole del set di regole predefinito del Web application firewall.

Set di regole di protezione bot

Abilita un set di regole di protezione dei bot gestiti per intraprendere azioni personalizzate sulle richieste di tutte le categorie di bot.

Il set di regole supporta tre categorie di bot: Cattivi, Buoni e Sconosciuti. La piattaforma WAF gestisce e aggiorna in modo dinamico le firme dei bot.

  • Bad: i bot dannosi sono bot con indirizzi IP dannosi e bot che falsificano le identità. I bot dannosi includono indirizzi IP malevoli provenienti dai feed degli indicatori IP di compromissione ad alta attendibilità e di reputazione IP di Microsoft Threat Intelligence. I bot non validi includono anche bot che si identificano come bot validi, ma gli indirizzi IP non appartengono a autori di bot legittimi.
  • Bene: I bot buoni sono user agent affidabili. Le regole del bot valide sono suddivise in più categorie per fornire un controllo granulare sulla configurazione dei criteri WAF. Queste categorie includono bot del motore di ricerca verificati (ad esempio Googlebot e Bingbot), bot di controllo dei collegamenti convalidati, bot di social media verificati (ad esempio Facebookbot e LinkedInBot), bot pubblicitari verificati, bot di verifica del contenuto verificati e bot vari convalidati.
  • Sconosciuto: i bot sconosciuti sono agenti utente senza convalida aggiuntiva. I bot sconosciuti includono anche indirizzi IP dannosi provenienti dagli Indicatori di Compromessa IP a media fiducia del feed di Microsoft Threat Intelligence.

La piattaforma WAF gestisce e aggiorna in modo dinamico le firme dei bot. È possibile impostare azioni personalizzate per bloccare, consentire, registrare o reindirizzare diversi tipi di bot.

Screenshot che mostra un set di regole di protezione bot.

Se la protezione del bot è abilitata, le richieste in ingresso che corrispondono alle regole del bot vengono bloccate, consentite o registrate in base all'azione configurata. I bot non validi sono bloccati, sono consentiti bot validi e i bot sconosciuti vengono registrati per impostazione predefinita. È possibile impostare azioni personalizzate per bloccare, consentire, registrare o inviare richieste JS per diversi tipi di bot. È possibile accedere ai log WAF da un account di archiviazione, un hub eventi, analisi dei log o inviare log a una soluzione partner.

Il set di regole di Bot Manager 1.1 è disponibile nella versione Premium di Frontdoor di Azure.

Per altre informazioni, vedere Bot Manager di Azure WAF 1.1 e JavaScript Challenge: Affrontare le minacce dei bot.

Impostazione

È possibile configurare e distribuire tutti i criteri WAF usando le portale di Azure, le API REST, i modelli di Azure Resource Manager e Azure PowerShell. È anche possibile configurare e gestire i criteri waf di Azure su larga scala usando l'integrazione di Gestione firewall. Per ulteriori informazioni, vedere Usa Manager del firewall di Azure per gestire le politiche del firewall per applicazioni web di Azure.

Monitoraggio

Il monitoraggio di un WAF in Frontdoor di Azure è integrato con Monitoraggio di Azure per tenere traccia degli avvisi e monitorare facilmente le tendenze del traffico. Per altre informazioni, vedere Monitoraggio e registrazione di Web Application Firewall di Azure.

Contenuti correlati

  • Last updated on