Cómo mejorar la seguridad de aplicaciones con el cortafuegos de aplicaciones web de Azure

El nuevo Microsoft (DRS) introduce una estructura más simple con grupos de reglas predefinidos (por ejemplo, SQLI, XSS, PHP Attacks) y un campo de gravedad. También incluye un grupo de reglas de protección de bots que identifica buenos bots (los rastreadores de motores de búsqueda) y los bots malos (scrapers).

Las reglas personalizadas se evalúan después de las reglas administradas. Puedes utilizarlas para:

• Crear listas de bloqueo geológico (por ejemplo, bloquear todos los países excepto los EE.UU. y Canadá).
• Solicitudes de tarifas de un único IP (útil para los puntos finales de API).
• Permitir a agentes específicos de usuario como “Googlebot” mientras bloquea a otros.
• Solicitudes de interceptación que contienen cabeceras HTTP particulares (por ejemplo, cargas de bloque con ciertos tipos MIME).

Monitoreo y registro con Azure Monitor

Sin una observabilidad adecuada, un WAF es sólo una caja negra. Los registros de Azure WAF se clasifican en dos canales principales:

• WAF logs: Contiene decisiones por solicitud (allow/block) y ID de reglas coincidentes.
• Logros de actividad: Muestra acciones administrativas como modificaciones de política.

Para habilitar el diagnóstico, vaya a la puerta de aplicación o al recurso de puerta delantera, seleccione “Configuración diagnóstica”, y enrute los registros a un espacio de trabajo Log Analytics. A continuación se presentan algunas consultas prácticas que puede ejecutar:

// Count blocked requests by rule type
AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and rulesMatched contains "blocked"
| project TimeGenerated, ruleId = extractjson("$.rulesMatched[0].ruleId", tostring(rulesMatched))
| summarize BlockedCount = count() by ruleId
| top 10 by BlockedCount desc

Integrando con ]Microsoft Sentinel permite una respuesta automática de incidentes. Por ejemplo, crea una regla de análisis Sentinel que activa una investigación cuando la misma IP activa más de 5 alertas de inyección SQL en una hora.El espacio de trabajo Log Analytics también potencia tableros de control y alertas personalizadas.

Optimización y Tuning Azure WAF

Los falsos positivos —el tráfico legítimo, incorrectamente insignia como malicioso— son el reto más común con cualquier WAF. Tuning es un proceso continuo:

1. Iniciar el modo de detección por lo menos una semana para recoger el tráfico de referencia.
2. Analizar los registros para identificar patrones de falsos positivos. Por ejemplo, una aplicación de foro puede enviar HTML en el cuerpo de POST que activa la regla XSS.
3. Añádase exclusiones] para atributos de solicitud específicos. Puede excluir un encabezado, cookie o un argumento del cuerpo de solicitud por nombre o patrón.
4. Si una regla administrada es siempre problemática, deshágala por completo, pero tenga en cuenta la brecha de seguridad.
5. Use reglas de uso con una acción "log" para probar una nueva regla antes de cambiar a "bloquear".
6. Revisita las exclusiones y las reglas de discapacidad después de cada actualización de la aplicación.

Para aplicaciones altamente dinámicas (por ejemplo, SPAs o Puntos finales de GraphQL), considere la posibilidad de realizar una inspección del cuerpo de solicitud únicamente si es necesario, y ajustar el tamaño máximo del cuerpo. Además, utilice la función de la tasa límite] (disponible mediante reglas personalizadas) para mitigar los ataques de fuerza bruta en puntos de acceso sin bloquear usuarios legítimos.

Consideraciones de gastos

El precio de Azure WAF está vinculado al servicio subyacente. Para Application Gateway, se factura en base a la puerta de entrada SKU (V2) más un recargo de WAF por hora. Para la puerta delantera, hay una cuota por perfil más un pequeño costo por solicitud para la inspección de WAF. La licencia de regla administrada se incluye—sin cargo adicional por regla general. Para la mayoría de las cargas de trabajo de empresa, el costo es modesto[LT]

Casos de uso real-mundial

• Plataforma de comercio electrónico: Combine el CDN de la puerta delantera de Azure con WAF para proteger contra scripts de tarjeta de crédito y DDoS. Reglas personalizadas bloquean bots de raspado que intentan cosechar datos de producto.
• Portal de atención de salud: Use WAF para prevenir los intentos de inyección SQL que podrían exponer los registros de pacientes. Permita que la anomalía se muestre para captar variaciones sutiles de ataques conocidos.
• Puerta de API financiera: Aplicar reglas de tipo de medida que limitan los puntos finales de API para evitar el robo de token de fuerza bruta. Usar geofiltración para negar el tráfico de regiones no autorizadas.
• Aplicación de SaaS: Ejecuta un portal de aplicaciones compartido con una sola política de WAF aplicada a todos los inquilinos. Las excepciones específicas de los arrendatarios se manejan mediante reglas personalizadas que verifican el encabezado del host.

Pitfalls comunes para evitar

• Modo de detección de bloqueos: Ir directamente al modo de “prevención” suele llevar a quejas inmediatas de los usuarios.
• Ignorar la retención de registros: Los registros de WAF son útiles sólo si los almacena. Configurar una política de retención de 90-365 días en Log Analytics.
• Exclusiones extensas: Excluir un encabezado entero (por ejemplo, "Cookie") debilita la seguridad. Usa patrones estrechos como "Cookie: sessionId=... "
• Actualizaciones de reglas : Se actualizan mensualmente conjuntos de reglas gestionadas. Compruebe las notificaciones “Qué es nuevo” en el portal Azure para revisar los cambios.
• No se realizan pruebas con automatización: Use tuberías CI/CD para implementar cambios de política de WAF. Las ediciones manuales en el portal son propensas a errores e indiscutibles.

Configuración de WAF automatizada

Infraestructuras-como-código (IaC) asegura que las políticas de WAF sean controladas y desplegadas en entornos. Panillos de ARM, Bicep y ]Terraform todos apoyan los recursos de políticas de WAF.

resource wafPolicy 'Microsoft.Network/applicationGatewayWebApplicationFirewallPolicies@2022-01-01' = {
 name: 'myWafPolicy'
 location: resourceGroup().location
 properties: {
 managedRules: {
 managedRuleSets: [
 {
 ruleSetType: 'Microsoft_DefaultRuleSet'
 ruleSetVersion: '2.1'
 }
 ]
 }
 policySettings: {
 mode: 'Detection'
 }
 }
}

Utilice el Azure CLI o PowerShell para permitir rápidamente el WAF en los recursos existentes durante la respuesta a incidentes. El script también ayuda a aplicar políticas uniformes en múltiples suscripciones.

Conclusión

Azure Web Application Firewall es una forma potente y rentable de fortificar sus aplicaciones web contra las amenazas más comunes y avanzadas. Al combinar conjuntos de reglas gestionados, reglas personalizadas y monitoreo en tiempo real, puede reducir significativamente su superficie de ataque. La clave para el éxito está en configuración reflexiva — sintonía para falsos positivos, integrar con la tala y análisis de la política de WAF como un artefacto vivo que evoluciona con su modo de prevención de tráfico.