gateway applicazione di Azure elenco delle eccezioni WAF (anteprima)

Si applica a: ✔️ Gateway di applicazione V2

Il gateway applicazione di Azure Web application firewall (WAF) consente di proteggere le applicazioni Web da minacce e attacchi comuni. Questo articolo descrive come configurare gli elenchi di eccezioni WAF in un criterio WAF associato ad Application Gateway.

Per una panoramica dei criteri WAF, vedi Web application firewall di Azure in gateway applicazione di Azure e Creare criteri di Web application firewall per Application Gateway.

In alcuni casi, WAF potrebbe bloccare le richieste sicure e previste per l'applicazione. Gli elenchi di eccezioni consentono di ignorare l'ispezione WAF per richieste specifiche. È possibile configurare eccezioni a livello di regola, gruppo di regole o set di regole gestite.

Solo la generazione successiva del motore WAF supporta le eccezioni ed è possibile usarle solo se la versione del set di regole gestite è CRS 3.2, DRS 2.1 o versione successiva. Per altre informazioni, vedere Aggiornare la versione del set di regole CRS o DRS.

Important

Le eccezioni nel gateway applicazione di Azure Web application firewall (WAF) sono attualmente in ANTEPRIMA. Vedi le Condizioni supplementari d'uso per le anteprime di Microsoft Azure per conoscere le condizioni legali applicabili alle funzionalità di Azure che sono in beta, in anteprima o non ancora rilasciate nella disponibilità generale.

Definire gli attributi della richiesta

Quando si crea un'eccezione, specificare gli attributi della richiesta che identificano il traffico che deve ignorare la valutazione WAF. Gli attributi supportati includono:

  • URI della richiesta
  • Indirizzo IP remoto
  • Nome e valore dell'intestazione della richiesta

Associare gli attributi esattamente o parzialmente usando gli operatori seguenti:

  • Uguale: Corrisponde al valore esatto.
    Esempio: Per selezionare l'intestazione bearerToken, usare l'operatore Equals con bearerToken come selettore.

  • Inizia con: Trova la corrispondenza con i valori che iniziano con il selettore specificato.

  • Termina con: Trova la corrispondenza dei valori che terminano con il selettore specificato.

  • Contiene: Trova la corrispondenza con i valori contenenti il selettore specificato.

  • Corrispondenza IP: corrisponde a uno o più indirizzi IP.

Impostare l'ambito dell'eccezione

Eccezioni di ambito per:

  • Una regola specifica

  • Un gruppo di regole

  • Un intero set di regole gestite

Quando si definisce un'eccezione:

  • Specificare le regole, il gruppo di regole o il set di regole gestite a cui si applica.

  • Definire l'attributo della richiesta che identifica il traffico da escludere.

  • Per escludere un intero gruppo di regole, specificare il ruleGroupName parametro . Usare il rules parametro solo quando si restringe l'eccezione a regole specifiche all'interno di tale gruppo.

Tip

Mantenere sempre le eccezioni il più limitate possibile. Le eccezioni generali potrebbero esporre involontariamente l'applicazione agli attacchi. Quando possibile, usare eccezioni per regola.

Applicare un'eccezione ai criteri WAF

Supponiamo che non si voglia che WAF ispezioni le richieste a /login.php e /logout.php quando valuta le regole di SQL injection. Configurare le eccezioni come indicato di seguito:

  1. Vai al criterio WAF a cui vuoi aggiungere eccezioni.

  2. In Impostazioni selezionare Regole gestite.

  3. Nella scheda Eccezioni selezionare Aggiungi eccezioni.

    Screenshot che mostra come aggiungere eccezioni in un criterio WAF nel portale di Azure.

  4. In Si applica a selezionare il set di regole DRS a cui applicare l'eccezione, ad esempio Microsoft_DefaultRuleSet_2.1 e selezionare l'ambito (gruppo di regole, regole specifiche o l'intero set di regole).

    Schermata che mostra come selezionare il set di regole DRS e l'ambito per l'eccezione nel criterio WAF nel portale di Azure.

  5. Selezionare Aggiungi eccezione e configurare la variabile di corrispondenza, l'operatore di corrispondenza valore e i valori.

    Schermata che mostra come configurare la variabile di corrispondenza, l'operatore di corrispondenza del valore e i valori per l'eccezione in un criterio WAF nel portale di Azure.

  6. Selezionare Aggiungi e quindi Salva per applicare la nuova eccezione.

    La nuova eccezione viene visualizzata nella scheda Eccezioni .

Limitations

Le limitazioni seguenti si applicano alle eccezioni WAF:

  • Ogni Azure criterio WAF supporta fino a 60 eccezioni.

  • Ogni Application Gateway supporta fino a 60 eccezioni in totale, calcolate come somma di tutte le eccezioni tra i criteri WAF associati a questo gateway.

  • All'interno di una singola eccezione, è possibile configurare fino a:

    • 600 indirizzi IP, o

    • 10 URI, o

    • 10 intestazioni delle richieste.

Opzioni per consentire il traffico attraverso Azure WAF

Web application firewall di Azure (WAF) offre diversi meccanismi per consentire in modo sicuro il traffico quando necessario mantenendo la protezione. A seconda che si voglia ignorare l'ispezione per parte di una richiesta o l'intera richiesta, usare esclusioni, eccezioni o regole personalizzate.

Consentire parti specifiche di una richiesta usando le esclusioni

Usare esclusioni quando si vuole che WAF ignori l'ispezione di un elemento specifico all'interno di una richiesta, ad esempio un'intestazione, un parametro di query o un cookie, applicando comunque l'ispezione al resto della richiesta.

Esempio: Se un'applicazione legittima invia un cookie di sessione con caratteri casuali che attivano frequentemente falsi positivi di SQL injection, è possibile configurare un'esclusione per quel cookie. WAF ignora l'ispezione del valore del cookie, ma applica comunque le protezioni al resto della richiesta.

Consentire l'intera richiesta usando regole ed eccezioni personalizzate

Per consentire a un'intera richiesta di ignorare l'ispezione WAF, usare una delle opzioni seguenti:

Regola personalizzata con un'azione Consenti

Quando si configura una regola personalizzata con l'azione Consenti , la richiesta ignora l'ispezione dal set di regole predefinito (DRS), dal set di regole di base (CRS) e dal set di regole di protezione bot.

Important

Questo bypass è assoluto per questi set di regole e non può essere modificato o applicato in modo selettivo. Una volta attivata l'azione Consenti , nessuno di questi set di regole valuta la richiesta. Tuttavia, il set di regole di protezione DDoS HTTP continua a elaborare la richiesta. Questo set di regole garantisce che le richieste vengano controllate per individuare attacchi volumetrici o flood, anche se tutti gli altri set di regole vengono ignorati.

Usare questa configurazione solo quando si considera completamente attendibile l'origine del traffico o l'applicazione, poiché disabilita in modo efficace la firma e il rilevamento anomalie.

Esempio: Se si dispone di un'API partner attendibile che attiva spesso le regole drS a causa del relativo formato di payload, è possibile creare una regola di autorizzazione personalizzata per il traffico proveniente dall'intervallo IP del partner. Questa configurazione garantisce che il traffico non venga mai bloccato da DRS, CRS o Bot Protection, pur traendo vantaggio dalle misure di sicurezza DDoS HTTP.

Eccezioni (controllo più granulare)

Al contrario, le eccezioni consentono di ignorare l'ispezione solo per regole specifiche, gruppi di regole o interi set di regole anziché disabilitarli tutti contemporaneamente.

È possibile applicare eccezioni a DRS, CRS, Bot Protection e anche al set di regole DDoS HTTP.

Questo approccio offre un controllo con granularità fine, pertanto è possibile disabilitare l'ispezione per una regola problematica mantenendo attivo il resto delle protezioni.

Esempio: Se una singola regola DRS (ad esempio Limita l'intestazione Content-Type) blocca richieste valide dell'app mobile, è possibile creare un'eccezione solo per quella regola. Tutte le altre regole DRS, la protezione dai bot e le protezioni DDoS continuano ad applicarsi al traffico.

Contenuti correlati

  • Last updated on