Sichern Sie Ihre Azure-Webanwendungsfirewall-Bereitstellung

Die Azure Web Application Firewall (WAF) bietet zentralen Schutz für Ihre Webanwendungen vor häufigen Exploits und Schwachstellen wie SQL-Injektion, Crosssite-Scripting und anderen Top 10-Angriffen des Open Worldwide Application Security Project (OWASP). WAF ist mit Azure Front Door, Azure Application Gateway und Azure Application Gateway for Containers verfügbar, um internetnahe Anwendungen am Edge oder in Ihrem virtuellen Netzwerk zu schützen.

Dieser Artikel enthält Sicherheitsempfehlungen für die Azure Web Application Firewall. Diese Empfehlungen helfen Ihnen, Ihre Sicherheitsverpflichtungen zu erfüllen und die gesamte Sicherheitslage Ihrer Bereitstellung zu verbessern. Für einen Überblick über die Netzwerksicherheitsdienste von Azure und wie sie zusammenarbeiten, siehe Was ist Azure-Netzwerksicherheit?

Die Sicherheitsempfehlungen in diesem Artikel implementieren Zero Trust-Prinzipien: "Explizit überprüfen", "Minimalen Berechtigungszugriff verwenden" und "Verletzung als gegeben ansehen". Umfassende Anleitungen zu Zero Trust finden Sie im Zero Trust Guidance Center.

Netzwerksicherheit

Die Netzwerksicherheit für die Azure Web Application Firewall konzentriert sich darauf, den Anwendungsverkehr zu inspizieren, häufige Webangriffe zu verringern und WAF-Richtlinieneinstellungen anzuwenden, die zu jeder geschützten Anwendung passen.

Identitäts- und Zugriffsverwaltung

Identitäts- und Zugriffsmanagement für die Azure Web Application Firewall steuert, wer WAF-Richtlinien und zugehörige Netzwerkressourcen erstellen, ändern, genehmigen und überwachen kann.

  • Verwenden Sie Microsoft Entra ID für zentrale Authentifizierung: Verwenden Sie Microsoft Entra ID als Ihr zentrales Authentifizierungs- und Autorisierungssystem zur Verwaltung von WAF-Ressourcen. Microsoft Entra ID bietet ein konsistentes Identitätsmanagement in Ihrer Azure-Umgebung. Weitere Informationen finden Sie unter Was ist Microsoft Entra ID?

  • Zuweisen Sie Azure RBAC-Rollen mit geringsten Privilegien: Verwenden Sie Azure rollenbasierte Zugriffskontrolle, um nur die Berechtigungen zu erteilen, die für die Verwaltung von WAF-Richtlinien, Front-Door-Profilen, Application Gateways, Diagnoseeinstellungen und Überwachungszielen erforderlich sind. Vermeiden Sie die Zuweisung weit gefasster Rollen wie „Besitzer“, wenn eine benutzerdefinierte Rolle mit eingeschränktem Geltungsbereich ausreicht. Weitere Informationen finden Sie unter Zuweisen von Azure-Rollen mithilfe des Azure-Portals.

  • Verwenden Sie verwaltete Identitäten für die Verwaltung von WAF-Richtlinien, wo angebracht: Verwenden Sie verwaltete Identitäten für Automatisierung, die WAF-Richtlinien über Azure Resource Manager, Bicep oder CI/CD-Workflows bereitstellt, exportiert oder aktualisiert. Gewähren Sie der verwalteten Identität nur die erforderlichen Berechtigungen für die Ziel-Ressourcengruppe, das Front Door-Profil, das Application Gateway und die Diagnose-Ziele. Weitere Informationen finden Sie unter Verwaltete Identitäten für Azure-Ressourcen.

  • Führen Sie ein Inventar administrativer Zugriffe: Überprüfen Sie die Azure RBAC-Rollenzuweisungen in der Managementgruppe, Abonnement, Ressourcengruppe und Ressourcenumfang, die WAF-Richtlinien, Front Door-Profile, Application Gateways und Überwachungsziele enthalten. Entferne veraltete Aufgaben und untersuche privilegierte Aufgaben, die für die WAF-Verwaltung nicht erforderlich sind. Weitere Informationen finden Sie unter Auflisten von Azure-Rollenzuweisungen mithilfe des Azure-Portal.

  • Für Administratoren eine Multi-Faktor-Authentifizierung erforderlich: Für alle Benutzer mit administrativem Zugriff auf WAF-Ressourcen und zugehörige Netzwerkressourcen eine Multifaktor-Authentifizierung vorgeschrieben. MFA bietet eine kritische Schutzschicht, falls Zugangsdaten kompromittiert werden. Weitere Informationen finden Sie unter Wie man Multifaktor-Authentifizierung in Microsoft Entra aktiviert.

  • Beschränken Sie den Verwaltungszugriff mit Conditional Access: Konfigurieren Sie Conditional Access Richtlinien mit benannten Standorten, konformen Geräten und starker Authentifizierung für Administratoren, die die Ressourcen des Azure Resource Manager verwalten. Weitere Informationen finden Sie unter Was ist die Standortbedingung in Microsoft Entra Conditional Access?

  • Verwenden Sie privilegierte Zugriffskontrollen für die WAF-Administration: Verwenden Sie dedizierte Administratorkonten, privilegierte Zugriffsarbeitsplätze und Just-in-Time-Zugriff für Änderungen der WAF-Richtlinien. Diese Kontrollen verringern das Risiko unbefugter Änderungen von Sicherheitsregeln und Ausschlüssen. Weitere Informationen finden Sie unter Übersicht Sicherung privilegierter Zugriffe.

  • Überprüfen und gleichen Sie den Zugriff regelmäßig ab: Nutzen Sie Microsoft Entra ID Access Reviews, um Gruppenmitgliedschaften und Rollenzuweisungen für Benutzer zu verwalten, die WAF-Ressourcen ändern können. Entfernen Sie den Zugriff, der nicht mehr erforderlich ist. Weitere Informationen finden Sie unter Was sind Zugangsbewertungen?

  • Überwachen Sie Identitätsrisiken und verdächtige administrative Aktivitäten: Senden Sie Microsoft Entra-Anmelde-, Audit- und Risikoprotokolle an Azure Monitor oder Microsoft Sentinel. Warnung bei riskanten Anmeldungen, Änderungen privilegierter Rollenzuweisungen und unerwarteten Aktualisierungen der WAF-Richtlinien. Weitere Informationen finden Sie unter Integration von Microsoft Entra-Logs mit Azure Monitor-Logs.

Datenschutz

Der Datenschutz für die Azure Web Application Firewall konzentriert sich darauf, sensible Anfragedaten, Protokolle, Richtlinienexporte und zugehörige Telemetrie vor unbefugtem Zugriff oder Offenlegung zu schützen.

  • Verschlüsselung während des Transports sicherstellen: TLS 1.2 oder höher für Client-Verbindungen und Backend-Verbindungen erfordern, die über Azure Front Door oder Application Gateway laufen. Validiere Zertifikate und Protokolleinstellungen als Teil jeder Bereitstellung. Weitere Informationen finden Sie unter End-to-End-TLS mit Azure Front Door und Überblick über TLS-Terminierung sowie End-to-End-TLS mit Application Gateway.

  • Aktivieren Sie den Schutz sensibler Daten mit Log Scrubbing, wo es unterstützt wird: Für Front Door und Application Gateway WAF-Richtlinien konfigurieren Sie die Log-Clearing-Regeln, um sensible Werte wie Passwörter, Geheimnisse und persönliche Daten aus den WAF-Logs zu entfernen, bevor sie geschrieben werden. Dieser Ansatz hilft, die Sicherheitstransparenz zu erhalten und gleichzeitig die Exposition in Überwachungssystemen zu verringern. Weitere Informationen finden Sie unter Azure Web Application Firewall Sensitive Data Protection for Azure Front Door und Azure Web Application Firewall Sensitive Data Protection for Application Gateway.

  • Schützen Sie WAF-Protokolle und Richtlinienexporte: Behandeln Sie WAF-Diagnoseprotokolle, Azure Resource Manager-Vorlagen, Bicep-Dateien und exportierte Richtliniendefinitionen als sensible Daten, da sie Anwendungspfade, benutzerdefinierte Regeln, Ausschlüsse und Ursprungsdetails offenbaren können. Speichere sie in Repositories, Speicherkonten oder Log Analytics-Arbeitsbereichen mit minimalem Zugang ab. Weitere Informationen finden Sie unter Verwalten des Zugriffs auf Log Analytics-Arbeitsbereiche.

  • Verwenden Sie kundenverwaltete Schlüssel für zugehörige Speicher: Wenn Ihre Organisation direkte Kontrolle über den Schlüssellebenszyklus benötigt, verwenden Sie kundenverwaltete Schlüssel für die Azure Storage-Konten, die WAF-Logs empfangen, und wenden entsprechende Schlüsselverwaltungskontrollen auf andere von Ihnen genutzte Log-Ziele an (wie Event Hubs oder Log Analytics-Arbeitsbereiche). Weitere Informationen finden Sie unter Vom Kunden verwaltete Schlüssel für die Verschlüsselung von Azure Storage.

  • Inspizieren Sie Anfrageorgane, wo es angebracht ist: Aktivieren Sie die Anfrage-Body-Inspektion für Anwendungen, die Formulardaten, JSON, XML oder Dateihochladungen erhalten. Überprüfen Sie die Größenbeschränkungen für Anfragen und konfigurieren Sie Ausschlusslisten, um die Sicherheitsabdeckung mit der Anwendungskompatibilität in Einklang zu bringen. Weitere Informationen finden Sie unter Application Gateway WAF-Anforderungsgrößenbeschränkungen und Web Application Firewall-Ausschlusslisten.

  • Tag-Ressourcen, die sensible Informationen verarbeiten: Verwenden Sie Tags, um WAF-Richtlinien, Gateways, Front Door-Profile, Log-Ziele und zugehörige Ressourcen zu identifizieren, die sensible Informationen verarbeiten oder speichern. Tags helfen bei der Compliance-Berichterstattung und operativen Eigentumsübernahmen. Weitere Informationen finden Sie unter Verwenden von Tags zum Organisieren Ihrer Azure-Ressourcen.

Protokollierung und Überwachung

Protokollierung und Überwachung für Azure Web Application Firewall bieten Einblick in überprüften Datenverkehr, Regeltreffer, blockierte Anfragen, Konfigurationsänderungen und den Betriebsstatus.

  • Aktivieren Sie Diagnoseeinstellungen auf allen WAF-Ressourcen: Senden Sie WAF-Logs und Metriken für Azure Front Door und Application Gateway an einen Log Analytics-Arbeitsbereich, ein Speicherkonto oder einen Event Hubs. Diagnoseprotokolle zeigen, was WAF bewertet, abgeglichen und blockiert hat. Weitere Informationen finden Sie unter Überwachung und Protokollierung der Azure Web Application Firewall in Azure Front Door und Application Gateway-Diagnose.

  • Zentralisieren Sie WAF-Ereignisse in Microsoft Sentinel: Verbinden Sie Azure WAF-Protokolle mit Microsoft Sentinel oder einer anderen Sicherheitsinformations- und Ereignismanagementplattform (SIEM), um WAF-Erkennungen mit der Telemetrie von Identität, Endpunkt, Netzwerk und Anwendung zu korrelieren. Weitere Informationen finden Sie unter Daten verbinden von Microsoft Web Application Firewall zu Microsoft Sentinel.

  • Überprüfen Sie WAF-Protokolle im Erkennungsmodus und nach Regeländerungen: Überprüfen Sie Treffer verwalteter Regeln, Treffer benutzerdefinierter Regeln, Ausschlüsse und Anomaliebewertungen nach neuen Bereitstellungen oder Aktualisierungen von Regelsätzen. Nutzen Sie diese Erkenntnisse, um Richtlinien anzupassen, bevor Sie den Präventionsmodus aktivieren. Weitere Informationen finden Sie unter Optimieren der Azure Web Application Firewall für Azure Front Door.

  • Erstellen Sie Warnungen für anomale Aktivitäten: Konfigurieren Sie Azure Monitor-Warnungen für blockierte Anfragespitzen, hohe Regel-Match-Zahlen, ungesunde Backends und Konfigurationsänderungen. Warnungen helfen, aktive Angriffe und unbeabsichtigte Richtlinienänderungen schnell zu erkennen. Weitere Informationen finden Sie unter Erstellen oder Bearbeiten einer Warnungsregel.

  • Überwachen Sie Änderungen der Ressourcenkonfiguration: Verwenden Sie das Azure Activity Log, um Änderungen an WAF-Richtlinien, benutzerdefinierten Regeln, verwalteten Regelüberschreibungen, Ausschlüssen, Front Door-Profilen, Application Gateways und Diagnoseeinstellungen zu erkennen. Weitere Informationen finden Sie unter Aktivitätsprotokoll anzeigen.

  • Verwenden Sie WAF-Arbeitsbücher zur Untersuchung: Verwenden Sie Azure Monitor-Arbeitsbücher oder Microsoft Sentinel-Arbeitsbücher, um Top-Regelübereinstimmungen, blockierte Clients, URI-Pfade und Trends zu überprüfen. Arbeitsbücher helfen Sicherheitsteams, Angriffe von Fehlalarmen zu unterscheiden. Weitere Informationen finden Sie unter Verwenden von Microsoft Sentinel mit azure Web Application Firewall.

  • Protokolle für Vorfallreaktion und Compliance bewahren: Konfigurieren Sie die Aufbewahrung in Log Analytics oder archivieren Sie die Protokolle für ein Speicherkonto entsprechend den Anforderungen Ihrer Organisation zur Einhaltung und Untersuchung. Weitere Informationen finden Sie unter Datenaufbewahrung in einem Log Analytics-Arbeitsbereich festlegen.

Compliance und Governance

Compliance und Governance für die Azure Web Application Firewall tragen dazu bei, eine einheitliche Richtlinienkonfiguration, Inventarisierung, Tagging und Durchsetzung über Abonnements und Anwendungen hinweg sicherzustellen.

  • Verwenden Sie Azure Policy, um die WAF-Bereitstellung und -Konfiguration zu erzwingen: Weisen Sie Azure Policy-Definitionen zu, um Anwendungen ohne WAF-Schutz zu prüfen, abzulehnen oder zu beheben, WAF-Richtlinien ohne Logging und nicht konforme WAF-Modi. Weitere Informationen finden Sie unter Azure Web Application Firewall und Azure Policy.

  • Definieren Sie die WAF-Konfiguration als Code: Verwalten Sie WAF-Richtlinien mit ARM-Vorlagen, Bicep, Terraform oder anderen Infrastructure-as-Code-Workflows. Die Konfiguration als Code vereinfacht die Überprüfung, wiederholbare Bereitstellung, das Management von Regelausschlüssen und die Erkennung von Driften. Weitere Informationen finden Sie unter Best Practices für Azure Web Application Firewall in Azure Front Door.

  • Führen Sie ein genehmigtes WAF-Ressourceninventar: Verwenden Sie Azure Resource Graph, um WAF-Richtlinien, Anwendungs-Gateways, Frontdoor-Profile, Endpunkte, Diagnoseeinstellungen und zugehörige öffentliche Einstiegspunkte zwischen Abonnements zu entdecken. Stimmt das Inventar regelmäßig ab und entfernt unautorisierte Ressourcen. Weitere Informationen finden Sie unter Quickstart: Führen Sie Ihre erste Resource Graph-Abfrage mit dem Azure Resource Graph Explorer aus.

  • Verwenden Sie konsistente Tags und Metadaten zur Zuständigkeit: Versehen Sie WAF-Richtlinien und zugehörige Ressourcen mit Tags für Anwendung, Umgebung, Datenklassifizierung, Verantwortliche und Kostenstelle. Tags unterstützen operative Verantwortlichkeit und Compliance-Berichterstattung. Weitere Informationen finden Sie unter Verwenden von Tags zum Organisieren Ihrer Azure-Ressourcen.

  • Organisieren Sie Umgebungen mit Managementgruppen und Abonnements: Trennen Sie Produktions-, Test- und Entwicklungsumgebungen mithilfe von Managementgruppen und Abonnements, die Ihre Sicherheits- und Compliance-Grenzen widerspiegeln. Setzen Sie politische Initiativen im angemessenen Umfang um. Weitere Informationen finden Sie unter Create Management Groups.

  • Premiumfunktionen bei Bedarf vorschreiben: Verwenden Sie Governance-Steuerelemente, um Azure Front Door Premium für Workloads vorzuschreiben, die verwaltete WAF-Regelsätze, Bot-Schutz und Private Link zu Ursprüngen benötigen. Weitere Informationen finden Sie unter Funktionsvergleich zwischen Azure Front Door-Tiers.

  • Begrenze den Zugriff auf Azure Resource Manager: Nutze Conditional Access für die Microsoft Azure Management Cloud-App, um einzuschränken, wer Azure-Ressourcen verwalten kann und von wo aus. Weitere Informationen finden Sie unter Configure Conditional Access for Azure Management.

Sicherung und Wiederherstellung

Backup und Wiederherstellung für die Azure Web Application Firewall konzentrieren sich darauf, Richtliniendefinitionen zu erhalten, die Auswirkungen von Richtlinienfehlern zu begrenzen und bekannten Schutz bei Ausfällen oder fehlgeschlagenen Änderungen wiederherzustellen.

  • WAF-Richtlinien regelmäßig exportieren: Exportieren Sie WAF-Richtlinien als Azure Resource Manager-Vorlagen oder Bicep, und speichern Sie sie in der Quellcodeverwaltung. Behandle die WAF-Richtlinie als Wahrheitsquelle, da sie benutzerdefinierte Regeln, Ausschlüsse, verwaltete Regelüberschreibungen, Richtlinienmodus und Einstellungen zur Inspektion von Anfrageorganen enthält. Weitere Informationen finden Sie unter Exportvorlage aus dem Azure-Portal.

  • Verwenden Sie pro Standort eine WAF-Richtlinie zur Wiederherstellungsisolation: Weisen Sie jedem Ursprung, jedem Standort oder jeder Anwendung eine separate WAF-Richtlinie zu. Die Isolierung von Richtlinien pro Website hilft Ihnen, die Richtlinie einer Anwendung zurückzusetzen oder zu ersetzen, ohne den Schutz anderer Anwendungen zu schwächen. Weitere Informationen finden Sie unter Best Practices für Azure Web Application Firewall in Azure Front Door.

  • Upgrades von Regelsätzen vor der Erzwingung durchführen: Neue oder aktualisierte verwaltete Regelsätze zunächst im Erkennungsmodus anwenden, auf Fehlalarme abstimmen und erst nach der Validierung in den Präventionsmodus wechseln. Halten Sie die zuvor als funktionsfähig bekannte Richtliniendefinition für ein schnelles Rollback verfügbar. Weitere Informationen finden Sie unter Optimieren der Azure Web Application Firewall für Azure Front Door.

  • Entwickeln Sie Multiregion-WAF-Deployments: Azure Front Door WAF ist global, aber Application Gateway WAF ist regional und muss in jeder Region bereitgestellt werden, die Ihre Anwendung hostet. Für Multiregion-Architekturen replizieren Sie WAF-Richtlinien und Gateway-Konfigurationen, damit das regionale Failover die Inspektion nicht umgeht. Weitere Informationen finden Sie unter How to choose your WAF platform.

  • Verfahren für den Richtlinien-Rollback testen: Dokumentieren und testen Sie, wie eine bekannte, funktionsfähige Richtlinie wiederhergestellt wird. Für Application Gateway WAF ersetzen Sie den Verweis auf die Application Gateway- oder Listener-Richtlinie durch die bekanntermaßen funktionierende WAF-Richtlinie. Für Front Door WAF wechseln Sie die Zuordnung der Sicherheitsrichtlinie zu einer als funktionsfähig bekannten WAF-Richtlinienversion, oder stellen Sie die als funktionsfähig bekannte Richtliniendefinition erneut aus der Quellcodeverwaltung bereit. Weitere Informationen finden Sie unter WAF-Richtlinien und -Regeln für Azure Front Door und Create Web Application Firewall für Application Gateway.

  • Wiederherstellung mit Monitoring validieren: Nach dem Rollback oder Failover bestätigen Sie, dass WAF-Protokolle, Diagnoseeinstellungen, Warnungen und SIEM-Verbindungen noch aktiv sind. Die Wiederherstellung ist unvollständig, wenn die Durchsetzung der Richtlinien wiederhergestellt wird, aber die Überwachung fehlt. Weitere Informationen finden Sie unter Überwachung und Protokollierung von Azure Web Application Firewall für Azure Front Door.

Nächste Schritte

  • Last updated on