Proteggere la distribuzione di Frontdoor di Azure

Frontdoor di Azure è una rete cloud di distribuzione dei contenuti (CDN) e un servizio globale di distribuzione di applicazioni che offre funzionalità di edge routeing, accelerazione, firewall per applicazioni web (WAF) e protezione dell'origine per applicazioni rivolte a internet. Poiché Frontdoor di Azure è comunemente il punto di ingresso pubblico per le applicazioni, la configurazione sicura aiuta a proteggere traffico, origini, certificati e telemetria operativa.

Questo articolo fornisce raccomandazioni di sicurezza per aiutare a proteggere la tua distribuzione Frontdoor di Azure.

Frontdoor di Azure (versione classica) non sarà più disponibile dal 31 marzo 2027. Per evitare interruzioni del servizio, migra i tuoi profili Frontdoor di Azure (classic) al livello Frontdoor di Azure Standard o Premium entro quella data. I livelli Standard e Premium utilizzano l'attuale piattaforma Frontdoor di Azure. Premium aggiunge funzionalità complete WAF, set di regole gestite e supporto per le origini collegamento privato, e entrambi i livelli supportano identità gestite. Per maggiori informazioni, consulta Migrate da Frontdoor di Azure (classic) a Standard o Premium tier.

Le raccomandazioni sulla sicurezza in questo articolo implementano i principi Zero Trust: "Verificare in modo esplicito", "Usare l'accesso con privilegi minimi" e "Presupporre violazione". Per indicazioni complete su Zero Trust, vedere Zero Trust Guidance Center.

Sicurezza della rete

La sicurezza di rete per Frontdoor di Azure si concentra sulla protezione delle applicazioni ai margini, sulla riduzione dell'esposizione diretta all'origine e sul controllo delle richieste che possono raggiungere i tuoi servizi backend.

  • Migra a Frontdoor di Azure Standard o Premium: Passa da Frontdoor di Azure (classic) prima del pensionamento e utilizza il livello Standard o Premium per l'attuale piattaforma Frontdoor di Azure. Usa Premium quando hai bisogno di tutte le funzionalità WAF, set di regole gestite o supporto per collegamento privato origin. Per maggiori informazioni, consulta Migrate da Frontdoor di Azure (classic) a Standard o Premium tier.

  • Origini sicure con collegamento privato: Usa Frontdoor di Azure Premium con collegamento privato di Azure per le origini Azure supportate, per tenere il traffico di origine fuori dall'internet pubblico e ridurre l'esposizione ad attacchi diretti contro i servizi backend. Per maggiori informazioni, consulta Proteggi la tua origine con collegamento privato in Frontdoor di Azure.

  • Limitare l'accesso diretto all'origine: Configurare le origini per accettare solo il traffico da Frontdoor di Azure utilizzando controlli supportati per ogni tipo di origine, come collegamento privato, autenticazione dell'origine dell'identità gestita per origini non collegamento privato, filtraggio IP con il AzureFrontDoor.Backend service tag e validazione dell'interiaX-Azure-FDID. Per altre informazioni, vedere Proteggere il traffico verso le origini di Frontdoor di Azure.

  • Abilita Web application firewall: associa una policy WAF ad Frontdoor di Azure per ispezionare le richieste al perimetro prima che il traffico raggiunga la tua origine. Usa Frontdoor di Azure Premium quando hai bisogno di set di regole gestite e di tutte le funzionalità WAF. Per altre informazioni, vedere Web application firewall su Frontdoor di Azure.

  • Usa l'ultimo set di regole predefinite gestito: mantieni le politiche WAF Premium sulla versione 2.x più recente disponibile del Default Rule Set (DRS) e convalida le modifiche alle regole prima del lancio in produzione. DRS 2.2 si basa su OWASP Core Rule Set (CRS) 3.3.4 e include le protezioni Microsoft Threat Intelligence. Per ulteriori informazioni, consulta il documento Gruppi di regole DRS e regole del Web Application Firewall di Azure.

  • Ottimizza il WAF prima di imporre i blocchi: inizia con la modalità di rilevamento, rivedi i log WAF, aggiungi esclusioni solo dove necessario, e poi passa alle politiche di produzione in modalità preventiva in modo che le richieste malevole vengano bloccate. Per maggiori informazioni, consulta Best practices for Web application firewall di Azure in Frontdoor di Azure.

  • Abilita la protezione contro i bot: Aggiungi il set di regole del Bot Manager alle policy WAF Premium per identificare bot buoni, negativi e sconosciuti e applicare azioni appropriate per il traffico automatizzato. Per maggiori informazioni, consulta Configura la protezione contro i bot per Web application firewall con Frontdoor di Azure.

  • Utilizzare il limite di velocità per ridurre l'abuso: Configurare regole personalizzate di limite di velocità WAF per bloccare volumi di richieste anomali per indirizzo IP del socket e per ridurre tempeste di ritentativi o tentativi di denial-of-service a livello applicativo. Per ulteriori informazioni, consulta limitazione della frequenza WAF per Frontdoor di Azure.

  • Applica il geo-filtraggio dove l'accesso è limitato a regione: Usa regole personalizzate di geo-filtraggio WAF quando la tua applicazione dovrebbe essere disponibile solo da specifici paesi o regioni. Includere la posizione sconosciuta (ZZ) nella progettazione delle regole per evitare falsi positivi. Per maggiori informazioni, consulta Filtro geografico in un dominio per Frontdoor di Azure.

  • Usa protezioni DDoS integrate al bordo: affidati alla rete edge globale di Frontdoor di Azure e all'integrazione WAF per assorbire e filtrare molti attacchi a livello di rete e applicazione prima che raggiungano le tue origini. Per maggiori informazioni, consulta la protezione DDoS su Frontdoor di Azure.

Gestione delle identità e dell'accesso

La gestione dell'identità e degli accessi per Frontdoor di Azure si concentra sull'uso delle identità Microsoft Entra invece dei segreti e sulla limitazione di chi può modificare le impostazioni di edge routing, WAF, certificati e origini.

  • Abilita le identità gestite per l'accesso ai servizi: Usa identità gestite assegnate dal sistema o dall'utente affinché Frontdoor di Azure possa accedere alle risorse Azure come Key Vault senza le credenziali memorizzate. Per altre informazioni, vedere Usare le identità gestite in Frontdoor di Azure.

  • Usa le identità gestite per l'autenticazione di origine (anteprima): Per origini supportate non collegamento privato, configura l'autenticazione di origine Frontdoor di Azure con identità gestite così Front Door può ottenere token Microsoft Entra e autenticarsi su risorse backend protette. Questa capacità è in anteprima; Verifica che le funzionalità di anteprima soddisfino i requisiti di produzione prima di adottare. Per altre informazioni, vedere Usare identità gestite per autenticarsi alle origini.

  • Concedere il minimo privilegio alle identità Front Door: assegnare solo i ruoli richiesti per lo scenario di origine o certificato, come accesso dati in sola lettura a un'origine di archiviazione o accesso al certificato a Key Vault. Non assegnare permessi di Contributor ampi alle identità gestite. Per altre informazioni, vedere Usare identità gestite per autenticarsi alle origini.

  • Limitare l'accesso amministrativo alle risorse Front Door: Assegnare ruoli di controllo accessi basato su ruoli Azure (Azure RBAC) solo agli amministratori che devono gestire profili, endpoint, domini, route, origini e politiche WAF. Rivedi regolarmente le assegnazioni di ruoli e rimuovi l'accesso obsoleto. Per maggiori informazioni, vedere Procedura per l’assegnazione di un ruolo Azure.

  • Utilizzare accesso idoneo per operazioni privilegiate: richiedere l'attivazione just-in-time per gli utenti che possono modificare profili Front Door di produzione, policy WAF, domini personalizzati e impostazioni di origine. Per ulteriori informazioni, vedi Attiva i ruoli di risorse Azure in Privileged Identity Management.

Protezione dei dati

La protezione dei dati per Frontdoor di Azure si concentra sulla crittografia del traffico, sulla protezione di certificati e chiavi, e sull'evitare l'esposizione non intenzionale di contenuti sensibili tramite funzionalità edge.

  • Usa TLS end-to-end: Configura HTTPS dai client verso Frontdoor di Azure e da Frontdoor di Azure verso origins così il traffico rimane criptato su tutto il percorso delle richieste. Per altre informazioni, vedere TLS end-to-end con Frontdoor di Azure.

  • Configura le politiche TLS attuali: Usa la policy TLS predefinita più recente o una policy TLS personalizzata che soddisfi i requisiti di sicurezza per le versioni minime del protocollo e le suite di cifratura. Per maggiori informazioni, consulta la policy Frontdoor di Azure TLS.

  • Non affidarti a Front Door per l'autenticazione con certificato del cliente: Front Door Standard e Premium attualmente non supportano l'autenticazione client o mutua (mTLS). Se il tuo carico di lavoro richiede mTLS, implementa quel controllo su un livello di origine o di ingresso alternativo e convalida l'intero percorso di richiesta. Per maggiori informazioni, consulta la policy Frontdoor di Azure TLS.

  • Gestisci i certificati in Azure Key Vault: Conserva i certificati TLS gestiti dal cliente in Key Vault, utilizza un'identità gestita per l'accesso, abilita il rinnovo automatico dei certificati quando applicabile e proteggi il vault con protezione contro cancellazioni e purge. Per altre informazioni, vedi Configurare HTTPS in un dominio personalizzato di Frontdoor di Azure e Panoramica dell'eliminazione temporanea di Azure Key Vault.

  • Non memorizzare nella cache contenuti sensibili: Configura attentamente le regole di cache in modo che contenuti privati, autenticati o regolamentati non vengano memorizzati involontariamente ai margini. Usa le intestazioni Cache-Control e le impostazioni di memorizzazione nella cache a livello di route appropriate in base alla classificazione dei dati. Per altre informazioni, vedere Memorizzazione nella cache con Frontdoor di Azure.

  • Proteggi i dati sensibili nei log WAF: Usa la protezione dei dati sensibili WAF per ridurre l'esposizione dei valori sensibili nei log WAF quando la tua politica ispeziona richieste che potrebbero contenere segreti o dati personali. Per maggiori informazioni, consulta Protezione dei dati sensibili per Web application firewall di Azure su Frontdoor di Azure.

Registrazione e monitoraggio

La registrazione e il monitoraggio per Frontdoor di Azure forniscono visibilità su modelli di accesso, azioni WAF, salute delle origini, problemi di certificato e modifiche di configurazione.

  • Abilita i log delle risorse: Configura le impostazioni diagnostiche per i log di accesso, i log WAF e i log delle sonde sanitarie. Invia questi log a Log Analytics, storage, Event Hub o a uno strumento di security information and event management (SIEM). Per altre informazioni, vedere Configurare i log di Frontdoor di Azure.

  • Monitorare l'attività dei WAF: Esaminare i log WAF per richieste bloccate, falsi positivi, attività dei bot, client a rate limitate e modelli di attacco. Usa queste informazioni per ottimizzare le politiche e confermare che la modalità prevenzione sia efficace. Per altre informazioni, vedere Monitoraggio e registrazione di Web Application Firewall di Azure.

  • Monitorare la salute delle origini e i segnali di failover: Utilizzare log di sonde di salute e metriche di origine per identificare origini non sane, guasti regionali, problemi di risoluzione DNS, fallimenti di handshake TLS ed eventi di failover. Per maggiori informazioni, consulta Monitor Frontdoor di Azure.

  • Crea avvisi per eventi di sicurezza e disponibilità: Configura gli avvisi di Monitoraggio di Azure per percentuali elevate di errori 4xx o 5xx, blocchi del WAF, cali della percentuale di integrità dell'origine, variazioni della latenza ed errori correlati ai certificati. Per maggiori informazioni, consulta Frontdoor di Azure monitoring data reference e Crea o modifica una regola di avviso.

  • Inoltrare telemetria WAF a Microsoft Sentinel: collega i log WAF a Microsoft Sentinel o a un altro SIEM per correlare eventi di sicurezza edge con segnali di applicazione, identità e infrastruttura. Per altre informazioni, vedere Usare Microsoft Sentinel con Web Application Firewall di Azure.

Conformità e governance

La conformità e la governance di Frontdoor di Azure aiutano a garantire una configurazione coerente, una gestione controllata dei cambiamenti e una postura di sicurezza auditabile tra profili e abbonamenti.

  • Definisci la configurazione di Front Door come codice: gestisci profili, endpoint, rotte, origini, associazioni WAF e impostazioni di sicurezza utilizzando Bicep, template Azure Resource Manager, Terraform o un'altra infrastruttura come processo di codice. Questo approccio riduce la deriva della configurazione. Per maggiori informazioni, vedi Create an Frontdoor di Azure using Bicep.

  • Modifiche alla versione dei criteri WAF: Archiviare nel controllo del codice sorgente le regole WAF personalizzate, le esclusioni, le versioni dei set di regole gestite e le impostazioni dei criteri. Questa pratica garantisce che l’ottimizzazione delle regole e gli aggiornamenti dell’insieme di regole possano essere esaminati, testati e ripristinati. Per maggiori informazioni, consulta Best practices for Web application firewall di Azure in Frontdoor di Azure.

  • Rivedi le modifiche alla configurazione: Usa registri di attività e dati diagnostici per tracciare le modifiche ai profili Front Door, alle route, alle origini, ai domini personalizzati e alle politiche WAF. Indagare sui cambiamenti imprevisti come potenziali eventi di sicurezza. Per maggiori informazioni, consulta Monitor Frontdoor di Azure.

  • Standardizzare i requisiti di sicurezza delle origini: applicare requisiti coerenti per collegamento privato, autenticazione delle origini dell'identità gestita, X-Azure-FDID validazione e nomi host consentiti su tutte le origini applicative. Per altre informazioni, vedere Proteggere il traffico verso le origini di Frontdoor di Azure.

  • Documentare eccezioni ad alta disponibilità: se un progetto di disaster recovery richiede percorsi di ingresso alternativi che non possono utilizzare Frontdoor di Azure collegamento privato o X-Azure-FDID validazione, documenta i controlli compensatori come l'autenticazione di origine basata su token, header personalizzate, mTLS all'ingresso alternativo o filtraggio IP. Per maggiori informazioni, consulta la guida all'implementazione ad alta disponibilità per l'uso di Frontdoor di Azure e soluzioni alternative di ingresso.

Backup e ripristino

Il backup e il recupero per Frontdoor di Azure si concentrano sulla conservazione della configurazione, sulla disponibilità di origini alternative e sulla convalida dei percorsi di failover prima che si verifichi un'interruzione.

  • Gestire la configurazione di Front Door come infrastruttura come codice: definire e versionare i profili Frontdoor di Azure, endpoint, route, gruppi di origine, domini personalizzati e associazioni WAF in template Bicep o ARM memorizzati in un repository controllato dal sorgente. Considera quel repository come la fonte della verità per il recupero. Usa l'esportazione di un criterio o di un modello come base iniziale o come istantanea di un momento specifico, non come fonte autorevole continua. Per maggiori informazioni, consulta Creare un'istanza di Frontdoor di Azure usando Bicep e Esportare un modello dal portale di Azure.

  • Mantieni la configurazione nel controllo delle versioni: archivia la configurazione di Front Door, WAF, dei certificati e dell’origine come codice di infrastruttura e richiedi una revisione per le modifiche in produzione. Il controllo delle versioni fornisce punti di rollback e consente il ripristino in un'altra sottoscrizione o in un altro gruppo di risorse. Per ulteriori informazioni, consulta le procedure consigliate per Bicep.

  • Configura più origini per il failover: Usa gruppi di origine con più backend e imposta impostazioni di priorità, peso e latenza per supportare pattern di failover attivo-attivo o attivo-passivo. Per altre informazioni, vedere Metodi di routing del traffico all'origine.

  • Configura correttamente le sonde di salute: Usa le sonde di salute HTTP o HTTPS che convalidano un endpoint significativo per la salute dell'applicazione, e regola la dimensione del campione e i campioni di successo necessari affinché Front Door possa rilevare origini non sane senza una sensibilità eccessiva al failover. Per altre informazioni, vedere Probe di integrità.

  • Distribuire origini ridondanti globalmente: eseguire servizi di origine in più regioni Azure o sedi di hosting e utilizzare il bilanciamento del carico Frontdoor di Azure, o Traffic Manager dove opportuno, per instradare gli utenti verso regioni sane durante guasti di origine o regionali. Per maggiori informazioni, vedi Metodi di instradamento del traffico verso l'origine e Gestione traffico di Azure.

  • Prevedi un percorso di ingresso alternativo per il ripristino di emergenza: per le applicazioni mission-critical, mantieni disponibile un percorso di ingresso alternativo testato, come Application Gateway WAF o una CDN alternativa con Traffic Manager, così da poter instradare il traffico evitando rari problemi di disponibilità di Frontdoor di Azure o incidenti del piano di controllo. Per maggiori informazioni, consulta la guida all'implementazione ad alta disponibilità per l'uso di Frontdoor di Azure e soluzioni alternative di ingresso.

  • Testare regolarmente il failover: simulate guasti del server di origine, interruzioni regionali, errori nel rinnovo dei certificati e l'attivazione di un ingress alternativo in esercitazioni in ambienti non di produzione e sicure per la produzione. Verificare failover, failback, logging, il comportamento del WAF e i runbook. Per maggiori informazioni, consulta la guida all'implementazione ad alta disponibilità per l'uso di Frontdoor di Azure e soluzioni alternative di ingresso.

Passaggi successivi

  • Last updated on