Proteggere la distribuzione di Web application firewall di Azure

Web application firewall di Azure (WAF) fornisce protezione centralizzata per le tue applicazioni web da exploit e vulnerabilità comuni, come l'iniezione SQL, lo scripting cross-site e altri attacchi Top 10 dell'Open Worldwide Application Security Project (OWASP). WAF è disponibile con Frontdoor di Azure, gateway applicazione di Azure e gateway applicazione di Azure for Containers per aiutare a proteggere le applicazioni rivolte a internet al margine o nella tua rete virtuale.

Questo articolo fornisce raccomandazioni di sicurezza per Web application firewall di Azure. Queste raccomandazioni ti aiutano a soddisfare i tuoi obblighi di sicurezza e a migliorare la postura generale di sicurezza del tuo impiego. Per una panoramica dei servizi di sicurezza di rete di Azure e di come lavorano insieme, consulta Cos'è la sicurezza di rete di Azure?

Le raccomandazioni sulla sicurezza in questo articolo implementano i principi Zero Trust: "Verificare in modo esplicito", "Usare l'accesso con privilegi minimi" e "Presupporre violazione". Per indicazioni complete su Zero Trust, vedere Zero Trust Guidance Center.

Sicurezza della rete

La sicurezza di rete per Web application firewall di Azure si concentra sull'ispezione del traffico applicativo, sulla riduzione dell'esposizione agli attacchi web comuni e sull'applicazione di impostazioni di policy WAF che corrispondano a ciascuna applicazione protetta.

Gestione delle identità e dell'accesso

La gestione di identità e accesso per Web application firewall di Azure controlla chi può creare, modificare, approvare e monitorare le policy WAF e le relative risorse di rete.

  • Usa Microsoft Entra ID per l'autenticazione centralizzata: Usa Microsoft Entra ID come sistema centrale di autenticazione e autorizzazione per gestire le risorse WAF. Microsoft Entra ID offre una gestione coerente delle identità in tutto il tuo ambiente Azure. Per altre informazioni, vedere Che cos'è Microsoft Entra ID?

  • Assegna ruoli Azure RBAC a privilegio minimo: Usa il controllo accessi basato su ruoli Azure per concedere solo i permessi necessari per gestire policy WAF, profili Front Door, Application Gateway, impostazioni diagnostiche e monitoraggio delle destinazioni. Evita di assegnare ruoli ampi come Proprietario quando un ruolo personalizzato con ambito è sufficiente. Per altre informazioni, vedere Assegnare ruoli di Azure tramite il portale di Azure.

  • Usa le identità gestite per la gestione delle policy WAF quando applicabile: Usa le identità gestite per l'automazione che distribuisce, esporta o aggiorna le policy WAF tramite Azure Resource Manager, Bicep o flussi di lavoro CI/CD. Concedere all'identità gestita solo i permessi necessari sul gruppo di risorse target, sul profilo Front Door, sul Gateway applicativo e sulle destinazioni diagnostiche. Per altre informazioni, vedere Identità gestite per le risorse di Azure.

  • Mantenere un inventario degli accessi amministrativi: Rivedere le assegnazioni dei ruoli RBAC di Azure presso il gruppo di gestione, l'abbonamento, il gruppo risorse e gli ambiti delle risorse che contengono politiche WAF, profili Front Door, Application Gateway e destinazioni di monitoraggio. Rimuovi le assegnazioni obsolete e indaga su quelle privilegiate che non sono richieste per l'amministrazione del WAF. Per altre informazioni, vedere Elencare le assegnazioni di ruolo di Azure usando il portale di Azure.

  • Richiedere autenticazione multifattore per gli amministratori: Richiedere autenticazione multifattore per tutti gli utenti con accesso amministrativo alle risorse WAF e alle risorse di rete correlate. L'MFA aggiunge un livello critico di protezione se le credenziali vengono compromesse. Per maggiori informazioni, vedi Come abilitare l'autenticazione multifattore in Microsoft Entra.

  • Limita l'accesso di gestione con Accesso Condizionale: Configura le policy di Accesso Condizionato con località nominate, dispositivi conformi e autenticazione forte per gli amministratori che gestiscono le risorse di Azure Resource Manager. Per altre informazioni, vedere Che cos'è la condizione di posizione nell'accesso condizionale di Microsoft Entra?

  • Usa controlli di accesso privilegiato per l'amministrazione del WAF: Usa account amministrativi dedicati, workstation dedicate ad accesso privilegiato e accesso just-in-time per le modifiche ai criteri del WAF. Questi controlli riducono il rischio di modifiche non autorizzate alle regole di sicurezza e alle esclusioni. Per ulteriori informazioni, vedi panoramica sulla sicurezza degli accessi privilegiati.

  • Rivedi e riconcilia regolarmente l'accesso: Usa le revisioni di accesso Microsoft Entra ID per gestire le iscrizioni ai gruppi e le assegnazioni di ruoli per gli utenti che possono modificare le risorse WAF. Rimuovere l'accesso che non è più necessario. Per altre informazioni, vedere Che cosa sono le verifiche di accesso?

  • Monitorare il rischio di identità e le attività amministrative sospette: invia i log-in, audit e i log di rischio di Microsoft Entra ad Monitoraggio di Azure o Microsoft Sentinel. Avviso su accessi rischiosi, modifiche alle assegnazioni di ruoli privilegiati e aggiornamenti inaspettati delle policy WAF. Per maggiori informazioni, consulta Integra i log di Microsoft Entra con i log di Monitoraggio di Azure.

Protezione dei dati

La protezione dei dati per Web application firewall di Azure si concentra sulla protezione di dati sensibili di richieste, log, esportazioni di policy e telemetrie correlate da accessi o divulgazioni non autorizzate.

  • Garantire la crittografia durante il transito: Richiedere TLS 1.2 o successivo per le connessioni client e backend che passano attraverso Frontdoor di Azure o Application Gateway. Validare i certificati e le impostazioni del protocollo come parte di ogni deployment. Per ulteriori informazioni, vedere TLS end-to-end con Frontdoor di Azure e Panoramica della terminazione TLS e di TLS end-to-end con Application Gateway.

  • Abilita la protezione dei dati sensibili con lo scrubbing dei log dove supportato: per le policy WAF del Front Door e dell'Application Gateway, configura regole di scrubbing dei log per rimuovere valori sensibili, come password, segreti e dati personali, dai log WAF prima che vengano scritti. Questo approccio aiuta a preservare la visibilità della sicurezza riducendo l'esposizione nei sistemi di monitoraggio. Per ulteriori informazioni, consulta Web application firewall di Azure Sensitive Data Protection for Frontdoor di Azure e Web application firewall di Azure Sensitive Data Protection for Application Gateway.

  • Proteggi i log WAF e le esportazioni di policy: tratta i log diagnostici WAF, i template di Azure Resource Manager, i file Bicep e le definizioni di policy esportate come dati sensibili perché possono rivelare percorsi applicativo, regole personalizzate, esclusioni e dettagli di origine. Conservali in repository, account di archiviazione o spazi di lavoro Log Analytics con accesso a privilegi minimi. Per altre informazioni, vedere Gestire l'accesso alle aree di lavoro Log Analytics.

  • Usa chiavi gestite dal cliente per lo storage correlato: quando la tua organizzazione richiede un controllo diretto sul ciclo di vita delle chiavi, usa chiavi gestite dal cliente per gli account Archiviazione di Azure che ricevono i log WAF e applica controlli equivalenti di gestione delle chiavi ad altre destinazioni di log utilizzate (come Event Hub o workspace Log Analytics). Per altre informazioni, vedere Chiavi gestite dal cliente per la crittografia di archiviazione di Azure.

  • Ispezionare gli organismi di richiesta dove opportuno: Abilitare l'ispezione dei corpi richiedenti per le applicazioni che ricevono dati di modulo, JSON, XML o caricamento di file. Esaminare i limiti di dimensione delle richieste e configurare liste di esclusione per bilanciare la copertura di sicurezza con la compatibilità delle applicazioni. Per ulteriori informazioni, consulta i limiti di dimensione delle richieste WAF del Gateway Applicativo e le liste di esclusione del Web application firewall.

  • Etichetta risorse che gestiscono informazioni sensibili: Usa i tag per identificare le policy WAF, i gateway, i profili Front Door, le destinazioni dei log e le risorse correlate che elaborano o memorizzano informazioni sensibili. I tag aiutano nella reportistica di conformità e nella proprietà operativa. Per altre informazioni, vedere Usare i tag per organizzare le risorse di Azure.

Registrazione e monitoraggio

La registrazione e il monitoraggio per Web application firewall di Azure forniscono visibilità sul traffico ispezionato, sulle corrispondenze delle regole, sulle richieste bloccate, sulle modifiche alla configurazione e sullo stato operativo.

  • Abilita le impostazioni diagnostiche su tutte le risorse WAF: invia log e metriche WAF per Frontdoor di Azure e Application Gateway a uno spazio di lavoro Log Analytics, account storage o Event Hub. I log diagnostici mostrano cosa WAF ha valutato, abbinato e bloccato. Per ulteriori informazioni, consulta il monitoraggio e la registrazione di Web application firewall di Azure per la diagnostica di Frontdoor di Azure e Application Gateway.

  • Centralizza gli eventi WAF in Microsoft Sentinel: collega i log WAF di Azure a Microsoft Sentinel o a un'altra piattaforma di gestione delle informazioni e degli eventi di sicurezza (SIEM) per correlare i rilevamenti WAF con la telemetria di identità, endpoint, rete e applicazione. Per maggiori informazioni, vedi Collega i dati da Microsoft Web application firewall a Microsoft Sentinel.

  • Rivedi i log WAF durante la modalità di rilevamento e dopo modifiche alle regole: Rivedi le corrispondenze delle regole gestite, le corrispondenze personalizzate, le esclusioni e i punteggi delle anomalie dopo nuove implementazioni o aggiornamenti del set di regole. Usa questi risultati per adattare le politiche prima di abilitare la modalità Prevenzione. Per ulteriori informazioni, vedere Ottimizzazione di Web application firewall di Azure per Frontdoor di Azure.

  • Crea avvisi per attività anomale: Configura gli avvisi Monitoraggio di Azure per picchi di richieste bloccate, alto numero di corrispondenze di regole, backend insalubri e modifiche alla configurazione. L'avviso aiuta a rilevare rapidamente attacchi attivi e cambiamenti di politica indesiderati. Per altre informazioni, vedere Creare o modificare una regola di avviso.

  • Monitorare le modifiche alla configurazione delle risorse: Usa Azure Activity Log per rilevare modifiche alle policy WAF, regole personalizzate, sovrascritture di regole gestite, esclusioni, profili Front Door, Application Gateway e impostazioni diagnostiche. Per ulteriori informazioni, consulta il registro delle attività.

  • Usa i workbook WAF per l'analisi: usa i workbook di Monitoraggio di Azure o di Microsoft Sentinel per esaminare le corrispondenze principali delle regole, i client bloccati, i percorsi URI e le tendenze. I workbook aiutano i team di sicurezza a distinguere gli attacchi dai falsi positivi. Per altre informazioni, vedere Uso di Microsoft Sentinel con Azure Web application firewall.

  • Conserva i log per la risposta agli incidenti e la conformità: Configura la conservazione in Log Analytics o archivia i log su un account di archiviazione in base ai requisiti di conformità e indagine della tua organizzazione. Per ulteriori informazioni, consulta Imposta la conservazione dei dati in uno spazio di lavoro Log Analytics.

Conformità e governance

La conformità e la governance per Web application firewall di Azure aiutano a garantire una configurazione, inventario, etichettatura e applicazione coerenti delle policy, tra abbonamenti e applicazioni.

  • Usa Criteri di Azure per applicare la distribuzione e la configurazione del WAF: assegna le definizioni di Criteri di Azure per auditare, negare o correggere applicazioni senza la protezione WAF, criteri WAF senza registrazione e modalità WAF non conformi. Per ulteriori informazioni, consulta Web application firewall di Azure e Criteri di Azure.

  • Definire la configurazione di WAF come codice: Gestisci i criteri WAF con modelli ARM, Bicep, Terraform o altri flussi di lavoro basati sull'infrastruttura distribuita come codice. La configurazione come codice semplifica la revisione, la distribuzione ripetibile, la gestione delle esclusioni delle regole e il rilevamento delle derive. Per maggiori informazioni, consulta Best practices for Web application firewall di Azure in Frontdoor di Azure.

  • Mantenere un inventario approvato delle risorse WAF: Usare Azure Resource Graph per individuare i criteri WAF, gli Application Gateway, i profili Front Door, gli endpoint, le impostazioni di diagnostica e i relativi punti di ingresso pubblici nelle varie sottoscrizioni. Riconcilia regolarmente l'inventario e rimuovi le risorse non autorizzate. Per maggiori informazioni, consulta Quickstart: Esegui la tua prima query Resource Graph usando Azure Resource Graph Explorer.

  • Applicare tag coerenti e metadati di proprietà: Etichettare le politiche WAF e le risorse correlate con informazioni sull'applicazione, l'ambiente, la classificazione dei dati, il proprietario e il centro di costi. I tag supportano la responsabilità operativa e la reportistica di conformità. Per altre informazioni, vedere Usare i tag per organizzare le risorse di Azure.

  • Organizza gli ambienti con gruppi di gestione e abbonamenti: separati ambienti di produzione, test e sviluppo utilizzando gruppi di gestione e abbonamenti che riflettano i tuoi confini di sicurezza e conformità. Applicare iniziative politiche nel campo appropriato. Per maggiori informazioni, vedi Creare gruppi di gestione.

  • Richiedere funzionalità Premium quando necessario: Utilizzare i controlli di governance per richiedere Frontdoor di Azure Premium per carichi di lavoro che necessitano di set di regole WAF gestite, protezione contro bot e collegamento privato to origins. Per maggiori informazioni, consulta Confronto tra le funzionalità dei livelli di Frontdoor di Azure.

  • Limita l'accesso a Azure Resource Manager: Usa l'accesso condizionato per l'app cloud Microsoft Azure Management per limitare chi può gestire le risorse Azure e da dove. Per ulteriori informazioni, vedi Configura l'accesso condizionato per la gestione Azure.

Backup e ripristino

Il backup e il recupero per Web application firewall di Azure si concentrano sulla conservazione delle definizioni di policy, sulla limitazione dell'impatto degli errori di policy e sul ripristino della protezione nota buona durante interruzioni o modifiche fallite.

  • Esporta regolarmente le policy WAF: esporta le policy WAF come modelli di Azure Resource Manager o file Bicep e archiviale in un sistema di controllo del codice sorgente. Considera il criterio WAF come fonte autorevole perché contiene regole personalizzate, esclusioni, override delle regole gestite, modalità del criterio e impostazioni di ispezione del corpo della richiesta. Per maggiori informazioni, consulta Esporta modello dal portale Azure.

  • Utilizzare una politica WAF per sito per l'isolamento del recupero: assegnare una policy WAF separata a ciascuna origine, sito o applicazione. L'isolamento delle policy per sito ti aiuta a ripristinare o sostituire la policy di un'applicazione senza indebolire la protezione per le altre. Per maggiori informazioni, consulta Best practices for Web application firewall di Azure in Frontdoor di Azure.

  • Aggiornamenti del set di regole di fase prima dell'applicazione: applica prima nuovi o aggiornati set di regole gestite in modalità Rilevamento, sintonizza i falsi positivi e poi passa alla modalità Prevenzione dopo la validazione. Mantenere disponibile la definizione del criterio precedentemente nota come valida per consentire un rapido ripristino. Per ulteriori informazioni, vedere Ottimizzazione di Web application firewall di Azure per Frontdoor di Azure.

  • Progetta implementazioni WAF multiregione: Frontdoor di Azure WAF è globale, ma Application Gateway WAF è regionale e deve essere distribuito in ogni regione che ospita la tua applicazione. Per architetture multiregione, replica le policy WAF e la configurazione del gateway in modo che il failover regionale non bypassi l'ispezione. Per maggiori informazioni, vedi Come scegliere la tua piattaforma WAF.

  • Testare le procedure di rollback delle policy: documentare e testare come ripristinare una policy nota a buona qualità. Per il WAF di Application Gateway, sostituire il riferimento ad Application Gateway o al listener con i criteri WAF noti come validi. Per Front Door WAF, passa l'associazione della policy di sicurezza a una versione nota e funzionante della policy WAF oppure ridistribuisci dal sistema di controllo della versione la definizione della policy nota e funzionante. Per ulteriori informazioni, consulta policy e regole WAF per Frontdoor di Azure e Create Web application firewall policy per Application Gateway.

  • Valida il recupero con il monitoraggio: dopo il rollback o il failover, conferma che i log WAF, le impostazioni diagnostiche, gli avvisi e le connessioni SIEM siano ancora attivi. Il recupero è incompleto se l'applicazione delle policy viene ripristinata ma manca il monitoraggio. Per ulteriori informazioni, consulta Web application firewall di Azure monitoring and logging for Frontdoor di Azure.

Passaggi successivi

  • Last updated on