Azure-säkerhetsbaslinje för Azure Web Application Firewall

Den här säkerhetsbaslinjen tillämpar vägledning från Microsoft cloud security benchmark version 1.0 till Azure Web Application Firewall. Microsofts benchmark för molnsäkerhet ger rekommendationer om hur du kan skydda dina molnlösningar i Azure. Innehållet grupperas efter de säkerhetskontroller som definieras av Microsofts benchmark för molnsäkerhet och den relaterade vägledning som gäller för Azure Web Application Firewall.

Du kan övervaka den här säkerhetsbaslinjen och dess rekommendationer med hjälp av Microsoft Defender för molnet. Azure Policy definitioner visas i avsnittet Regelefterlevnad på portalsidan Microsoft Defender för molnet.

När en funktion har relevanta Azure Policy definitioner visas de i den här baslinjen för att hjälpa dig att mäta efterlevnaden av Microsofts prestandamått för molnsäkerhet och rekommendationer. Vissa rekommendationer kan kräva en betald Microsoft Defender plan för att aktivera vissa säkerhetsscenarier.

Säkerhetsprofil

Säkerhetsprofilen sammanfattar påverkansbeteenden för Azure Web Application Firewall, vilket kan leda till ökade säkerhetsöverväganden.

Nätverkssäkerhet

Mer information finns i Microsoft Cloud Security Benchmark: Nätverkssäkerhet.

NS-1: Upprätta gränser för nätverkssegmentering

Funktioner

Integrering med virtuellt nätverk

Beskrivning: Tjänsten stöder distribution till kundens privata Virtual Network (VNet). Läs mer.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Stöd för nätverkssäkerhetsgrupp

Beskrivning: Tjänstnätverkstrafik respekterar regeltilldelningen för nätverkssäkerhetsgrupper i dess undernät. Läs mer.

Konfigurationsvägledning: Använd nätverkssäkerhetsgrupper (NSG) för att begränsa eller övervaka trafik via port, protokoll, käll-IP-adress eller mål-IP-adress. Skapa NSG-regler för att begränsa tjänstens öppna portar (till exempel förhindra att hanteringsportar nås från ej betrodda nätverk). Tänk på att NSG:er som standard nekar all inkommande trafik men tillåter trafik från virtuella nätverk och Azure Load Balancers.

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Network:

NS-2: Skydda molntjänster med nätverkskontroller

Funktioner

Azure Private Link

Beskrivning: Tjänstens interna IP-filtreringsfunktion för filtrering av nätverkstrafik (får inte förväxlas med NSG eller Azure Firewall). Läs mer.

Funktionsanteckningar: Mer information finns i Skydda ditt ursprung med Private Link i Azure Front Door Premium och Konfigurera Azure Application Gateway Private Link.

Konfigurationsvägledning: Distribuera privata slutpunkter för alla Azure-resurser som stöder funktionen Private Link för att upprätta en privat åtkomstpunkt för resurserna.

Inaktivera åtkomst till offentligt nätverk

Beskrivning: Tjänsten stöder inaktivering av åtkomst till offentliga nätverk antingen med hjälp av ip-ACL-filtreringsregel på tjänstnivå (inte NSG eller Azure Firewall) eller med växlingsknappen Inaktivera åtkomst till offentligt nätverk. Läs mer.

Funktionsanteckningar: I det regionala WAF-erbjudandet har kunderna möjlighet att använda privata IP-adresser och neka offentlig IP-trafik.

Konfigurationsvägledning: Inaktivera åtkomst till offentligt nätverk med ip-ACL-filtreringsregeln på tjänstnivå eller en växlingsväxel för åtkomst till offentligt nätverk.

Referens: Distribution av privata Application Gateway

Privilegierad åtkomst

Mer information finns i Microsoft cloud security benchmark: Privileged access (Microsoft cloud security benchmark: Privileged access).

PA-8: Fastställa åtkomstprocessen för molnleverantörssupport

Funktioner

Customer Lockbox

Beskrivning: Customer Lockbox kan användas för Microsofts supportåtkomst. Läs mer.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Dataskydd

Mer information finns i Microsoft Cloud Security Benchmark: Dataskydd.

DP-1: Identifiera, klassificera och märka känsliga data

Funktioner

Identifiering och klassificering av känsliga data

Beskrivning: Verktyg (till exempel Azure Purview eller Azure Information Protection) kan användas för identifiering och klassificering av data i tjänsten. Läs mer.

Funktionsanteckningar: Kunder kan köra dessa verktyg på sina loggar i Log Analytics, men själva brandväggen lagrar inte känsliga kunddata som ska identifieras och klassificeras.

Dessutom finns det en funktion i WAF som möjliggör identifiering och maskering av känsliga data.

Konfigurationsvägledning: Loggrensningsverktyget för Web Application Firewall hjälper dig att ta bort känsliga data från WAF-loggarna. Den fungerar med hjälp av en regelmotor som gör att du kan skapa anpassade regler för att identifiera specifika delar av en begäran som innehåller känsliga data. När det har identifierats rensar verktyget informationen från loggarna och ersätter den med *******.

Referens: Maskera känsliga data i Azure Web Application Firewall

DP-3: Kryptera känsliga data under överföring

Funktioner

Data under överföringskryptering

Beskrivning: Tjänsten stöder datakryptering under överföring för dataplanet. Läs mer.

Funktionsanteckningar: Mer information finns i Konfigurera HTTPS på en anpassad Azure Front Door-domän med hjälp av Azure Portal, Så här konfigurerar du ett ursprung för Azure Front Door och översikt över TLS-avslutning och TLS från slutpunkt till slutpunkt med Application Gateway.

Konfigurationsvägledning: Aktivera säker överföring i tjänster där det finns en inbyggd funktion för överföringskryptering inbyggd. Framtvinga HTTPS på alla webbprogram och tjänster och se till att TLS v1.2 eller senare används. Äldre versioner, till exempel SSL 3.0, TLS v1.0 bör inaktiveras. För fjärrhantering av Virtual Machines använder du SSH (för Linux) eller RDP/TLS (för Windows) i stället för ett okrypterat protokoll.

DP-7: Använd en säker certifikathanteringsprocess

Funktioner

Certifikathantering i Azure Key Vault

Beskrivning: Tjänsten stöder Integrering av Azure Key Vault för alla kundcertifikat. Läs mer.

Funktionsanteckningar: WAF stöder Key Vault integrering för certifikat via Azure Front Door och Application Gateway beroende på vilken version av WAF som kunden kör.

Mer information finns i: Snabbstart: Skapa en Azure Front Door-profil – Azure Portal och självstudie: Konfigurera HTTPS på en anpassad Azure CDN-domän.

Konfigurationsvägledning: Använd Azure Key Vault för att skapa och kontrollera certifikatets livscykel, inklusive att skapa, importera, rotera, återkalla, lagra och rensa certifikatet. Se till att certifikatgenereringen följer definierade standarder utan att använda några osäkra egenskaper, till exempel: otillräcklig nyckelstorlek, alltför lång giltighetsperiod, osäker kryptografi. Konfigurera automatisk rotation av certifikatet i Azure Key Vault och Azure-tjänsten (om det stöds) baserat på ett definierat schema eller när ett certifikat upphör att gälla. Om automatisk rotation inte stöds i programmet kontrollerar du att de fortfarande roteras med manuella metoder i Azure Key Vault och programmet.

Referens: TLS-avslutning med Key Vault certifikat

Tillgångshantering

Mer information finns i Microsoft Cloud Security Benchmark: Tillgångshantering.

AM-2: Använd endast godkända tjänster

Funktioner

Azure Policy-stöd

Beskrivning: Tjänstkonfigurationer kan övervakas och framtvingas via Azure Policy. Läs mer.

Funktionsanteckningar: Kunderna måste välja vilka Azure-principer som ska aktiveras för deras WAF-distributioner. de är inte aktiverade som standard.

Konfigurationsvägledning: Använd Microsoft Defender för molnet för att konfigurera Azure Policy för att granska och framtvinga konfigurationer av dina Azure-resurser. Använd Azure Monitor för att skapa aviseringar när det finns en konfigurationsavvikelse som identifieras på resurserna. Använd Azure Policy [neka] och [distribuera om det inte finns] effekter för att framtvinga säker konfiguration mellan Azure-resurser.

Referens: Azure Web Application Firewall och Azure Policy

Loggning och hotidentifiering

Mer information finns i Microsoft Cloud Security Benchmark: Loggning och hotidentifiering.

LT-1: Aktivera funktioner för hotidentifiering

Funktioner

Microsoft Defender för tjänst/produkterbjudande

Beskrivning: Tjänsten har en erbjudandespecifik Microsoft Defender lösning för att övervaka och varna om säkerhetsproblem. Läs mer.

Konfigurationsvägledning: Använd Azure Active Directory (Azure AD) som standardautentiseringsmetod för att styra åtkomsten till hanteringsplanet. När du får en avisering från Microsoft Defender för Key Vault undersöker och svarar du på aviseringen.

Referens: Visa Azure WAF-aviseringar i Defender för molnet

LT-4: Aktivera loggning för säkerhetsundersökning

Funktioner

Azure-resursloggar

Beskrivning: Tjänsten skapar resursloggar som kan ge förbättrade tjänstspecifika mått och loggning. Kunden kan konfigurera dessa resursloggar och skicka dem till sin egen datamottagare som ett lagringskonto eller en Log Analytics-arbetsyta. Läs mer.

Funktionsanteckningar: Mer information finns i Azure Web Application Firewall övervakning och loggning och Azure Web Application Firewall Övervakning och loggning.

Konfigurationsvägledning: Aktivera resursloggar för tjänsten. Key Vault stöder till exempel ytterligare resursloggar för åtgärder som hämtar en hemlighet från ett nyckelvalv eller och Azure SQL har resursloggar som spårar begäranden till en databas. Innehållet i resursloggarna varierar beroende på Tjänst- och resurstyp i Azure.

Nästa steg

• Se översikten över Microsoft Cloud Security Benchmark
• Läs mer om säkerhetsbaslinjer för Azure