Come mascherare i dati sensibili in Web application firewall di Azure

Lo strumento di scrubbing dei log di Web Application Firewall (WAF) consente di rimuovere i dati sensibili dai log WAF. Funziona usando un motore regole che consente di creare regole personalizzate per identificare parti specifiche di una richiesta che contengono dati sensibili. Una volta identificato, lo strumento esegue lo scrubing delle informazioni dai log e lo sostituisce con *******.

Nota

Quando si abilita la funzionalità di pulitura dei log, Microsoft mantiene comunque gli indirizzi IP nei log interni per supportare le funzionalità di sicurezza critiche.

La tabella seguente mostra esempi di regole di pulitura dei log che possono essere usate per proteggere i dati sensibili:

Corrispondenza variabile	Operatore	Selettore	Cosa ottiene lo scrubbed
Nomi intestazione richiesta	Uguale a	X-Forwarded-For	REQUEST_HEADERS:x-forwarded-for.","data":"******"
Request Cookie Names	Uguale a	cookie1	"Dati corrispondenti: ****** trovati all'interno di REQUEST_COOKIES:cookie1: ******"
Request Arg Names	Uguale a	arg1	"requestUri":"/?arg1=******"
Request Post Arg Names	Uguale a	Post1	"data":"Matched Data: ****** trovato in ARGS:post1: ******"
Richiedere nomi Arg JSON	Uguale a	Jsonarg	"data":"Matched Data: ****** trovato in ARGS:jsonarg: ******"
Indirizzo IP della richiesta*	Uguale a qualsiasi	NULL	"clientIp":"******"

* Le regole di indirizzo IP della richiesta supportano solo qualsiasi operatore ed esegue lo scrubing di tutte le istanze dell'indirizzo IP del richiedente visualizzato nei log WAF.

Per altre informazioni, vedere Che cos'è la protezione dei dati sensibili di Web Application Firewall di Azure?

Abilitare la protezione dei dati sensibili

Usare le informazioni seguenti per abilitare e configurare la protezione dei dati sensibili.

Portale

Per abilitare la protezione dei dati sensibili:

1. Aprire un criterio WAF gateway applicazione esistente.
2. In Impostazioni selezionare Dati sensibili.
3. Nella pagina Dati sensibili selezionare Abilita lo scrubbing dei log.

Per configurare le regole di scrubbing dei log per la protezione dei dati sensibili:

1. In Regole di pulitura log selezionare una variabile Di corrispondenza.
2. Selezionare un operatore (se applicabile).
3. Digitare un selettore (se applicabile).
4. Seleziona Salva.

Ripetere per aggiungere altre regole.

PowerShell

Usare i comandi di Azure PowerShell seguenti per creare e configurare le regole di scrubbing dei log per la protezione dei dati sensibili:

$logScrubbingRule1 = New-AzApplicationGatewayFirewallPolicyLogScrubbingRule `
  -State <String> -MatchVariable <String> `
  -SelectorMatchOperator <String> -Selector <String>

$logScrubbingRuleConfig = New-AzApplicationGatewayFirewallPolicyLogScrubbingConfiguration `
  -State <String> -ScrubbingRule $logScrubbingRule1

CLI

Usare i comandi seguenti dell'interfaccia della riga di comando per creare e configurare le regole di scrubbing dei log per la protezione dei dati sensibili:

az network application-gateway waf-policy policy-setting update -g <MyResourceGroup> --policy-name <MyPolicySetting> --log-scrubbing-state <Enabled/Disabled> --scrubbing-rules "[{state:<Enabled/Disabled>,match-variable:<MatchVariable>,selector-match-operator:<Operator>,selector:<Selector>}]"

Verificare la protezione dei dati sensibili

Per verificare le regole di protezione dei dati sensibili, aprire il log del firewall gateway applicazione e cercare ****** al posto dei campi sensibili.

Passaggi successivi

• Usare Log Analytics per esaminare gateway applicazione log di Web Application Firewall (WAF)