Linha de base de segurança do Azure para o Firewall de Aplicativo Web do Azure

Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 ao Azure Firewall de Aplicativo Web. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança na nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao Azure Firewall de Aplicativo Web.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem definições de Azure Policy relevantes, elas são listadas nessa linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do Azure Firewall de Aplicativo Web, o que pode resultar em considerações de segurança maiores.

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Suporte ao Grupo de Segurança de Rede

Descrição: o tráfego de rede de serviço respeita a atribuição de regra de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.

Diretrizes de configuração: use NSG (grupos de segurança de rede) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras de NSG para restringir as portas abertas do serviço (como impedir que portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e de Azure Load Balancers.

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Network:

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Link Privado do Azure

Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não deve ser confundida com NSG ou Firewall do Azure). Saiba mais.

Notas sobre o recurso: para obter mais informações, visite Proteger sua Origem com Link Privado no Azure Front Door Premium e Configurar Gateway de Aplicativo do Azure Link Privado.

Diretrizes de configuração: implante pontos de extremidade privados para todos os recursos do Azure que dão suporte ao recurso Link Privado, para estabelecer um ponto de acesso privado para os recursos.

Desabilitar o acesso à rede pública

Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.

Notas de recurso: na oferta regional do WAF, os clientes têm a opção de usar IPs privados e negar o tráfego de IP público.

Diretrizes de configuração: desabilite o acesso à rede pública usando a regra de filtragem de ACL de IP no nível do serviço ou um comutador de alternância para acesso à rede pública.

Referência: implantação de Gateway de Aplicativo privado

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Recursos

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-1: Descobrir, classificar e rotular dados confidenciais

Recursos

Descoberta e Classificação de Dados Confidenciais

Descrição: ferramentas (como o Azure Purview ou o Azure Proteção de Informações) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Notas de recursos: os clientes podem executar essas ferramentas em seus logs no Log Analytics, mas o WAF em si não armazena dados confidenciais do cliente para serem descobertos e classificados.

Além disso, há um recurso no WAF que permite a identificação e mascaramento de dados confidenciais.

Diretrizes de configuração: a ferramenta de limpeza de log do Firewall de Aplicativo Web (WAF' s) ajuda a remover dados confidenciais dos logs do WAF. Funciona usando um mecanismo de regras que permite você criar regras personalizadas para identificar partes específicas de uma solicitação que contêm dados confidenciais. Depois de identificada, a ferramenta limpa essas informações de seus logs e as substitui por *******.

Referência: como mascarar dados confidenciais no Azure Firewall de Aplicativo Web

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Notas sobre o recurso: para obter mais informações, visite Configurar HTTPS em um domínio personalizado do Azure Front Door usando o portal do Azure, Como configurar uma origem para o Azure Front Door e Visão geral do término do TLS e TLS de ponta a ponta com Gateway de Aplicativo.

Diretrizes de Configuração: habilite a transferência segura em serviços em que há um recurso nativo de criptografia de trânsito integrado. Imponha HTTPS em qualquer aplicativo Web e serviços e verifique se o TLS v1.2 ou posterior é usado. Versões herdadas como SSL 3.0, TLS v1.0 devem ser desabilitadas. Para gerenciamento remoto de Máquinas Virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.

DP-7: usar um processo seguro de gerenciamento de certificados

Recursos

Gerenciamento de certificados no Azure Key Vault

Descrição: o serviço dá suporte à integração de Key Vault do Azure para todos os certificados de cliente. Saiba mais.

Notas de recurso: o WAF dá suporte à integração Key Vault para certificados por meio do Azure Front Door e Gateway de Aplicativo dependendo de qual versão do WAF o cliente está executando.

Para obter mais informações, visite: Início Rápido: Criar um perfil do Azure Front Door – portal do Azure e Tutorial: Configurar HTTPS em um domínio personalizado da CDN do Azure.

Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida do certificado, incluindo criação, importação, rotação, revogação, armazenamento e limpeza do certificado. Verifique se a geração de certificado segue os padrões definidos sem usar nenhuma propriedade insegura, como: tamanho de chave insuficiente, período de validade excessivamente longo, criptografia insegura. Configure a rotação automática do certificado no Azure Key Vault e no serviço do Azure (se houver suporte) com base em um agendamento definido ou quando houver uma expiração do certificado. Se não houver suporte para rotação automática no aplicativo, verifique se eles ainda são girados usando métodos manuais no Azure Key Vault e no aplicativo.

Referência: terminação TLS com certificados Key Vault

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.

Notas sobre o recurso: os clientes precisarão escolher quais Políticas do Azure habilitar em suas implantações de WAF; eles não são habilitados por padrão.

Diretrizes de configuração: use Microsoft Defender para Nuvem para configurar Azure Policy para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio da configuração detectado nos recursos. Use Azure Policy efeitos [negar] e [implantar se não existir] para impor a configuração segura entre os recursos do Azure.

Referência: Firewall de Aplicativo Web e Azure Policy do Azure

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Diretrizes de configuração: use o Azure Active Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de gerenciamento. Quando você receber um alerta de Microsoft Defender para Key Vault, investigue e responda ao alerta.

Referência: Exibir alertas do WAF do Azure no Defender para Nuvem

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Notas sobre o recurso: para obter mais informações, visite Monitoramento e registro em log do Azure Firewall de Aplicativo Web e Monitoramento e Registro em Log do Azure Firewall de Aplicativo Web.

Diretrizes de configuração: habilite os logs de recursos para o serviço. Por exemplo, Key Vault dá suporte a logs de recursos adicionais para ações que obtêm um segredo de um cofre de chaves ou SQL do Azure tem logs de recursos que acompanham solicitações para um banco de dados. O conteúdo de logs de recursos varia de acordo com o tipo de recurso e serviço do Azure.

Próximas etapas

• Confira a Visão geral do parâmetro de comparação de segurança de nuvem da Microsoft
• Saiba mais sobre a Linhas de base de segurança do Azure