Hoe te verbeteren Application Security met Azure Web Application Firewall

In tegenstelling tot traditionele netwerk firewalls die op pakketniveau werken, begrijpt Azure WAF webapplicatieprotocollen (HTTP/2, HTTP/1.1, WebSocket) en kan headers, verzoeken om instanties en URL's ontleden om aanvalspatronen te identificeren. Deze diepgaande inspectie maakt het mogelijk om geavanceerde pogingen om de toepassingslogica of inputvalidatie-zwaktes te benutten te stoppen. Voor organisaties die hun werklast op Azure uitvoeren, wordt WAF een essentieel onderdeel van een defensie-diepgangsstrategie, die netwerkbeveiligingsgroepen, DDoS-bescherming en identity-aware toegangscontrole aanvullen.

Belangrijkste kenmerken van Azure WAF

Bescherming tegen de OWASP Top 10

De OWASP Top 10 vertegenwoordigt de meest kritieke beveiligingsrisico's voor webapplicaties. Azure WAF heeft een beheerde set met een regel die betrekking heeft op injectieaanvallen, gebroken authenticatie, gevoelige gegevensblootstelling en meer. De regels worden regelmatig bijgewerkt door het beveiligingsonderzoeksteam van Microsoft, zodat u beschermd blijft tegen zero-day exploits zodra patches beschikbaar zijn. U kunt kiezen tussen de standaardregelset (versie 3.x of 2.x) of kiezen voor de nieuwere Microsoft managed rule set die aanvullende bot‐protection regels en anomalie scoren bevat.

Aangepaste regels voor op maat gemaakte beveiliging

De regels van Out-of-the-box zijn krachtig, maar er zijn geen twee identieke toepassingen. Azure WAF stelt u in staat om aangepaste regels te schrijven met eenvoudige voorwaarden . match op IP-adressen, geo-locatie, verzoekkoppen, URI-patronen of query string parameters. Aangepaste regels ondersteunen zowel handelingen toestaan als weigeren, en u kunt een prioriteit toekennen aan elke regel, zodat kritieke uitzonderingen eerst worden verwerkt. Bijvoorbeeld, u kunt een regel creëren om alle verkeer vanuit een bepaald land te blokkeren, tenzij het verzoek een geldige API-sleutel bevat, of een bekende administratieve IP-bereik toestaan terwijl u al het andere weigert.

Real-time monitoring en loggen

Elke aanvraag dat Azure WAF processen kunnen worden aangemeld op Azure Monitor, Log Analytics, of een opslagaccount. De logs bevatten gedetailleerde velden: regel-ID, actie ondernomen (toegestaan, geblokkeerd, of aangemeld), client IP, verzoek URI, en een bijbehorende handtekening. Deze telemetrie is cruciaal voor beveiligingsteams. Met Azure Monitor waarschuwingen kunt u een e-mail, SMS of webhook activeren wanneer een specifieke aanvalshandtekening herhaaldelijk wordt geactiveerd. De logs integreren ook met Microsoft Sentinel (Azures SIEM) voor geavanceerde dreigingsjacht en correlatie.

Eenvoudige integratie met Azure Services

Azure WAF is geen losstaand product.Het is een kenmerk van twee Azure diensten: Toepassingspoort (regionaal, laag-7 load balancer) en Azure Front Door[] (global, HTTP-gebaseerde CDN en load balancer). Deze strakke integratie betekent dat u WAF op een bestaande gateway of voordeur met een paar klikken kunt inschakelen. Het WAF-beleid kan gedeeld worden over meerdere luisteraars en back-end zwembaden, waardoor het beheer overhead wordt verminderd. Voor hybride of multi-cloud opstellingen kunt u Azure Front Door koppelen met derde partijen en nog steeds profiteren van WAF-bescherming aan de rand.

Hoe werkt Azure WAF?

Wanneer een verzoek aankomt op het eindpunt van de Application Gateway of de Front Door, voert de WAF-motor een reeks inspecties uit:

1. Vraag normalisatie
2. Regelsevaluatie
3. Anomaal scoren
4. Aangepaste regelevaluatie . . . De aangepaste regels worden als laatste geëvalueerd, zodat u beheerde regels kunt overschrijven of extra logica kunt toevoegen.
5. Actieuitvoering

Deze pijpleiding loopt in milliseconden, wat een te verwaarlozen latentie toevoegt. Voor toepassingen die bestandsuploads verwerken, kan WAF de aanvraag tot een instelbare grootte inspecteren (128 KB standaard, instelbaar). Als een verzoek groter is dan die grootte, kan het gedeeltelijk worden afgewezen of geïnspecteerd.

Azure WAF inschakelen

Het instellen van Azure WAF is eenvoudig, of u nu een nieuwe gateway of een bestaande inbouwt. Hieronder vindt u een uitgebreide doorloop.

Stap 1: Maak een Azure toepassing Gateway of schakel de voordeur in

In de Azure Portal, zoek naar

Stap 2: Configureren van het WAF-beleid

Een WAF-beleid bevat de beheerde regels, aangepaste regels en globale instellingen (modus, body-inspectie, uitsluitingen). U kunt een beleid creëren binnen de gateway creation flow of als een standalone resource. Standalone beleid is herbruikbaar hetzelfde beleid op meerdere Application Gateways of Front Door profielen. Belangrijkste configuratie punten:

• Mode: Kies Detection (alleen log) of Preventie (blok). Begin met Detection om te zien welke regels leiden zonder de gebruikers te verstoren.
• Beheerde regelsets: Selecteer de versie (bijv. Microsoft DefaultRuleSet 2.1 of OWASP 3.2) U kunt individuele regels inschakelen of uitschakelen.
• Uitsluitingen: Als uw toepassing legitieme verzoeken stuurt die patronen bevatten die overeenkomen met een WAF-regel (bijvoorbeeld een teksteditor die HTML-tags gebruikt), kunt u specifieke verzoeken attributen (headers, cookies, aanvraag-instantie) uitsluiten van inspectie.
• Aangepaste regels: Voeg IP whitelist, geo-block of URI-specifieke regels toe.

Stap 3: Het beleid koppelen aan de poort of de voordeur

Koppel het WAF-beleid aan de Application Gateway. Partners voor de HTTP-instellingen of de luisteraar. Voor Front Door wordt het beleid gekoppeld aan de frontend host of de route. Na de associatie wordt het verkeer onmiddellijk geïnspecteerd.

Stap 4: Test in een vaste omgeving

Voordat u naar productie gaat, zet u een test-instance in en voer een set bekende aanvalsladingen (SQLi, XSS) tegen het in. Gebruik gereedschap als OWASP ZAP of aangepaste curl-scripts. Controleer de WAF-logs om te zien of de aanvallen correct zijn afgestemd. Pas uitsluitingsregels aan als er vals positieven optreden.

Integratieopties: Application Gateway vs. Front Door

Azure Application Gateway (Regional)

Application Gateway is een regionale load balancer die werkt op Layer 7. Het beëindigt TLS, routes verkeer naar back-end pools, en biedt sessie-affiniteit en URL-gebaseerde routering. Wanneer u een WAF-beleid aan een Application Gateway, de inspectie gebeurt binnen het regionale Azure datacenter. Dit is ideaal voor toepassingen die:

• Ze worden volledig gehost in één Azure regio.
• Vereiste lage-latency verkeersinspectie binnen hetzelfde datacenter.
• Noodzaak om SSL-afgifte te lossen en te integreren met back-end gezondheidssondes.

Azure voordeur (Global)

Azure Front Door is een wereldwijde HTTP load balancer met ingebouwde CDN mogelijkheden. Het routeert verkeer naar de snelste back-end en kan dynamische inhoud versnellen. WAF beleid op Front Door worden geëvalueerd op Microsoft edge locaties voordat het verzoek uw oorsprong bereikt. Voordelen zijn onder meer:

• Bescherming tegen DDoS en kwaadaardig verkeer aan de rand van het netwerk, waardoor de belasting op uw origin servers wordt verminderd.
• Wereldwijde distributie met dezelfde beveiligingsregels wereldwijd toegepast.
• Native integratie met Azure App Service, opslag of enig openbaar HTTP eindpunt.

Beide platforms gebruiken dezelfde WAF-motor en beheerde regelsets. Uw keuze hangt af van het feit of u regionaal of mondiaal verkeersmanagement nodig heeft.

Veiligheidsbeleid en Regelgroepen

Azure WAF gebruikt regelgroepen[] om verwante handtekeningen te organiseren.De OWASP-regelset omvat groepen zoals REQUEST‐920‐PROTOCOL‐ENFORCEMENT[, REQUEST‐930‐APPLICATION‐ATTACK‐LFI en REQUEST‐942--APPLICATION‐ATTACK‐SQLI[]. Elke groep bevat individuele regels die kunnen worden ingeschakeld of uitgeschakeld. In een gelaagde opstelling zou je de meer agressieve anomalie-scoringsregels in detectiemodus kunnen uitschakelen en ze vervolgens in staat stellen nadat ze in een stroomversnelling zijn gebracht nadat valse positieven zijn aangesproken.

De nieuwere Microsoft managed rule set (DRS) introduceert een eenvoudigere structuur met vooraf gedefinieerde regelgroepen (bijv., SQLI, XSS, PHP Attacks) en een ernstveld. Het bevat ook een bot-beschermingsregelgroep die goede bots (zoekmachine crawlers) en slechte bots (scrapers) identificeert. De DRS wordt aanbevolen voor nieuwe implementaties omdat het anomalie scoremodel vals positief vermindert in vergelijking met de oudere OWASP-regel set.

Aangepaste regels worden geëvalueerd na de beheerde regels. U kunt ze gebruiken om:

• Maak geo-bloklijsten aan (bijvoorbeeld blokkeer alle landen behalve de VS en Canada).
• Een verzoek om een maximale maximale steunintensiteit van één IP (handig voor API-eindpunten).
• Laat specifieke gebruikersagenten zoals
• Onderbreek verzoeken die bepaalde HTTP-headers bevatten (bijv. blokuploads met bepaalde MIME-types).

Monitoring en loggen met Azure Monitor

Zonder de juiste opmerkzaamheid is een WAF slechts een zwarte doos. Azure WAF logs zijn onderverdeeld in twee hoofdkanalen:

• WAF logs: Bevat per-verzoek beslissingen (toestemming/blok) en gematchte regel ID's.
• Activiteitslogboeken: toont administratieve handelingen zoals beleidsaanpassingen.

Om diagnostiek in te schakelen, ga naar de Application Gateway of Front Door resource, selecteer ..Diagnostische instellingen .. en routeer de logs naar een Log Analytics werkruimte . Hieronder enkele praktische vragen die u kunt uitvoeren:

// Count blocked requests by rule type
AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and rulesMatched contains "blocked"
| project TimeGenerated, ruleId = extractjson("$.rulesMatched[0].ruleId", tostring(rulesMatched))
| summarize BlockedCount = count() by ruleId
| top 10 by BlockedCount desc

Integratie met Microsoft Sentinel maakt geautomatiseerde incidentrespons mogelijk. Zo creëert u een Sentinel-analyseregel die een onderzoek in gang zet wanneer hetzelfde IP meer dan 5 SQL-injectiemeldingen in een uur inschakelt. De Log Analytics-werkruimte geeft ook dashboards en aangepaste waarschuwingen.

Azure WAF optimaliseren en afstellen

Vals positief en legitimistisch verkeer dat verkeerd gemarkeerd is als kwaadaardig zijn de meest voorkomende uitdaging met een WAF. Tuning is een doorlopend proces:

1. Start in detectiemodus gedurende ten minste één week om het basisverkeer te verzamelen.
2. Analyseer de logs om patronen van valse positieven te identificeren. Bijvoorbeeld, een forumtoepassing kan HTML in POST-lichaam verzenden dat de XSS-regel activeert.
3. Voeg uitsluitingen toe voor specifieke verzoekattributen. U kunt een header, cookie of een verzoek om een body argument op naam of patroon uitsluiten.
4. Als een beheerde regel is consequent problematisch, schakel het volledig ..maar bewust van de veiligheidskloof.
5. Gebruik aangepaste regels met een
6. Na elke update van de toepassing de regels voor uitsluitingen en gehandicapten opnieuw bekijken.

resource wafPolicy 'Microsoft.Network/applicationGatewayWebApplicationFirewallPolicies@2022-01-01' = {
 name: 'myWafPolicy'
 location: resourceGroup().location
 properties: {
 managedRules: {
 managedRuleSets: [
 {
 ruleSetType: 'Microsoft_DefaultRuleSet'
 ruleSetVersion: '2.1'
 }
 ]
 }
 policySettings: {
 mode: 'Detection'
 }
 }
}