Azure Web Application Firewall - Schutz für Webanwendungen

Was ist Azure Web Application Firewall?

Azure Web Application Firewall (WAF) ist ein zentralisierter Schutz für Webanwendungen vor häufigen Angriffen und Sicherheitslücken. WAF basiert auf dem OWASP Core Rule Set und schützt unter anderem vor SQL Injection, Cross-Site Scripting (XSS) und anderen Web-Exploits. Der Dienst wird nicht eigenständig betrieben, sondern vor bzw. innerhalb von Azure Application Gateway, Azure Application Gateway for Containers oder Azure Front Door bereitgestellt; auf Azure Content Delivery Network ist WAF aktuell als Preview verfügbar.

WAF ermöglicht Sicherheit auf Infrastrukturebene ohne Änderungen am Anwendungscode und bietet sowohl einen Detection- als auch einen Prevention-Modus.

Kernfunktionen

• OWASP Core Rule Set: Von Microsoft verwaltete, vorkonfigurierte Regeln gegen die OWASP Top 10 Sicherheitsrisiken
• Custom Rules: Eigene Regeln basierend auf IP-Adressen, Geo-Location, Request-Rate oder Request-Attributen
• Bot Protection: Erkennung und Blockierung von bösartigen Bots unter Nutzung von Microsoft Threat Intelligence
• Rate Limiting: Schutz vor Angriffen auf Application-Layer (Layer 7) durch Request-Limits
• Zentrale Verwaltung: WAF-Policies für mehrere Anwendungen über Azure Firewall Manager, einsetzbar auf Application Gateway und Front Door

Typische Anwendungsfälle

Compliance-Anforderungen: Erfüllung von PCI-DSS, HIPAA oder anderen Compliance-Standards, die WAF-Schutz für Webanwendungen erfordern.

API-Schutz: Absicherung von REST-APIs und GraphQL-Endpoints vor Injection-Angriffen und Missbrauch.

Multi-Region-Schutz: Globaler Schutz für Anwendungen hinter Azure Front Door mit einheitlichen Sicherheitsrichtlinien.

Vorteile

• Keine Code-Änderungen: Schutz wird auf Infrastrukturebene implementiert
• Managed Rules: Microsoft aktualisiert die Regelsätze kontinuierlich gegen neue Bedrohungen
• Monitoring: Integration mit Azure Monitor und Log Analytics für Sicherheits-Insights
• Flexible Bereitstellung: Verfügbar auf Application Gateway, Application Gateway for Containers, Front Door sowie als Preview auf CDN

Häufig gestellte Fragen zu Azure Web Application Firewall

Wo sollte ich WAF bereitstellen: Application Gateway oder Front Door?

Application Gateway WAF eignet sich für regionale Anwendungen mit VNet-Integration. Front Door WAF bietet globalen Edge-Schutz mit tendenziell niedrigerer Latenz für verteilte Anwendungen. Für containerisierte Workloads steht zusätzlich Application Gateway for Containers zur Verfügung.

Was ist der Unterschied zwischen Detection und Prevention Mode?

Detection Mode protokolliert erkannte Angriffe, ohne sie zu blockieren, und eignet sich für die initiale Regeltuning-Phase. Prevention Mode blockiert aktiv Requests, die als Angriffe erkannt werden.

Wie handle ich False Positives?

Sie können Rule Exclusions für bestimmte Request-Attribute erstellen, einzelne Regeln deaktivieren oder Custom Rules mit Allow-Aktionen vor den Managed Rules platzieren. Log Analytics hilft bei der Identifikation von False Positives.

Schützt WAF vor DDoS-Angriffen?

WAF schützt vor Angriffen auf Application-Layer (Layer 7) wie Slowloris oder HTTP-Floods. Für volumetrische DDoS-Angriffe auf Netzwerkebene (Layer 3/4) wird zusätzlich Azure DDoS Protection benötigt.

Was kostet Azure Web Application Firewall?

WAF wird nicht separat, sondern im Rahmen der jeweiligen Plattform (Application Gateway oder Front Door) abgerechnet: Es fallen Fixkosten für die Gateway-Instanz bzw. das WAF-Profil sowie verbrauchsabhängige Kosten nach Kapazitätseinheiten (Compute, Verbindungen, Durchsatz) an. Aktuelle Preise finden sich auf der offiziellen Preisseite.

Integration mit innFactory

Als Microsoft Solutions Partner unterstützt innFactory Sie bei Azure Web Application Firewall: von der initialen Konfiguration und dem Regeltuning über die Integration in CI/CD-Pipelines bis zum laufenden Monitoring und Incident Response.