Mecanismo WAF em Azure Application Gateway

O mecanismo WAF (Azure Web Application Firewall) inspeciona o tráfego, deteta possíveis ataques com base em assinaturas de solicitação e toma as medidas apropriadas de acordo com a configuração.

Próxima geração de motores WAF

O novo motor WAF é um motor proprietário da Microsoft escalável e de alto desempenho e tem melhorias significativas em relação ao motor WAF anterior.

O novo motor, lançado com CRS 3.2, oferece os seguintes benefícios:

• Desempenho melhorado: Melhorias significativas na latência do WAF, incluindo latências P99 POST e GET. Observamos uma redução significativa nas latências finais do P99 com até aproximadamente 8x de redução no processamento de solicitações POST e aproximadamente 4x no processamento de solicitações GET.
• Aumento da escala: Solicitações mais altas por segundo (RPS), usando o mesmo poder de computação e com a capacidade de processar tamanhos de solicitação maiores. Nosso mecanismo de próxima geração pode escalar até oito vezes mais RPS usando o mesmo poder de computação e tem a capacidade de processar tamanhos de solicitação 16 vezes maiores (tamanhos de solicitação de até 2 MB), o que não era possível com o mecanismo anterior.
• Melhor proteção: O novo motor redesenhado com processamento regex eficiente oferece melhor proteção contra ataques de negação de serviço (DOS) RegEx, mantendo uma experiência de latência consistente.
• Conjunto de recursos mais rico: Novos recursos e melhorias futuras estão disponíveis apenas através do novo motor.

Suporte para novos recursos

Há muitos recursos novos que são suportados apenas no mecanismo WAF do Azure. As características incluem:

• CRS 3.2
  • Foi aumentado o limite de tamanho do corpo da requisição para 2 MB.
  • Aumento do limite de upload de arquivos para 4 GB
• DRS 2.1 e versões posteriores do DRS
• Métricas WAF v2
• Exclusões por regra e suporte para atributos de exclusão nomeados.
• Limites de escala aumentados
  • Limite de ouvintes HTTP
  • Intervalos de endereços IP WAF por condição de correspondência
  • Limite de exclusões
• Regras personalizadas de limitação de taxa
• Limite de Inspeção e Imposição de Tamanho Máximo podem ser ativados/desativados independentemente uns dos outros e os valores para cada campo podem ser definidos independentemente

Novos recursos WAF só são lançados com versões posteriores do CRS no novo motor WAF.

Solicitar registo para regras personalizadas

Há uma diferença entre como o mecanismo anterior e o novo mecanismo WAF registam pedidos quando uma regra personalizada define o tipo de ação como Log.

Quando o WAF é executado no modo de prevenção, o mecanismo anterior registra o tipo de ação da solicitação como Bloqueado , mesmo que a solicitação seja permitida pela regra personalizada. No modo de deteção, o mecanismo anterior registra o mesmo tipo de ação da solicitação como Detetado.

Por outro lado, o novo mecanismo WAF registra o tipo de ação de solicitação como Log, independentemente de o WAF estar sendo executado no modo de prevenção ou deteção.

Próximo passo