使用 Azure Web 应用防火墙拦截黑客攻击

Azure Web 应用程序防火墙（WAF）是原生的托管服务，使用 Azure Web 应用防火墙拦截黑客攻击，可为您的 Web 应用程序提供保护，使其免受常见漏洞和漏洞的影响。Web 应用程序越来越成为各种类型的攻击的目标，例如恶意机器人、SQL 注入攻击和跨站脚本攻击，这些攻击可能导致网站站点破坏，敏感数据泄露和应用程序宕机。

防止应用程序代码中的此类攻击具有难度，并且可能需要在应用程序拓扑的多层进行严格的维护，修补和监视。集中式Web应用程序防火墙有助于简化安全管理，并更好地确保应用程序管理员免受威胁或入侵。此外，WAF解决方案可以通过在中心位置修补已知漏洞而不是保护每个单独的Web应用程序来更快地响应安全威胁。

Azure Web 应用防火墙（Azure WAF 简介）

Azure Web 应用程序防火墙（WAF）是原生的托管服务，可为您的 Web 应用程序提供保护，使其免受常见漏洞和漏洞的影响。Web 应用程序越来越成为各种类型的攻击的目标，例如恶意机器人、SQL 注入攻击和跨站脚本攻击，这些攻击可能导致网站站点破坏，敏感数据泄露和应用程序宕机。

防止应用程序代码中的此类攻击具有难度，并且可能需要在应用程序拓扑的多层进行严格的维护，修补和监视。集中式Web应用程序防火墙有助于简化安全管理，并更好地确保应用程序管理员免受威胁或入侵。此外，WAF解决方案可以通过在中心位置修补已知漏洞而不是保护每个单独的Web应用程序来更快地响应安全威胁。

为什么要用 Azure 的 WAF

因为贵的东西除了贵，没有别的问题。

图 | 安全牛《战五渣？四大云WAF实战测试险遭团灭》

https://mp.weixin.qq.com/s/cIzT5SKX7EV-13zQlltcyQ

创建 Azure WAF

在 Azure Portal 里点击 Create a resource，搜索 “WAF”，选择 “Web Application Firewall”，点击 Create。

Azure WAF 可以整合到 Front Door, Application Gateway 及 Azure CDN 中。其中的 Front Door 我曾经写过几篇文章介绍（见文末），最为熟悉，所以以此为例，Policy for 里选择 “Front Door“。Policy name 可以任意指定。

Mode 设置为 Prevention，即拦截模式，可以阻止被识别的攻击。而 Detection 模式只会记录日志，并放行攻击行为，假装没看见。

Block response body 的内容可以留空，也可以设置为给黑客的问候语，当攻击行为被拦截的时候就会显示在黑客的屏幕上，气死他/她/它。

Managed rules 中列出了微软提供的几款常用防火墙规则，可以勾选你需要的。其中涵盖了常见的 SQL 注入、XSS、Windows, Linux 远程命令执行、PHP注入、恶意机器人等等非常全面的攻击行为规则。试想一下，如果没有 WAF，要程序员手写代码全面防御这些攻击，要修多少福报？而用了 Azure，只要点点鼠标就配完了，下班时候天还亮着。

Custom rules 允许我们设置微软不提供的自定义防火墙规则。我们在稍后会介绍，此处先跳过。这些规则以及 Managed rules 都可以在创建完 WAF 后更改。

由于这个 WAF 策略在第一步里设置为了 Front Door，因此我们需要关联 Front Door 中的域名。至于 Front Door 是什么，怎么玩，可以参考我之前的文章。

《未雨绸缪 | 一文简介 Azure Front Door》

《解决 Azure AD 在 Azure Front Door 下登录失败的问题》

《使用 Azure Front Door 配置网站URL重定向》

最后点击 Review + Create，完成 WAF 创建。如果成功关联了 Front Door，那么等待5分钟左右，WAF 即生效。

使用自定义规则拦截黑客攻击

Azure WAF 允许用户非常灵活地自定义防火墙规则。例如，我的博客并不是 PHP 写的，所以请求 .php 的往往是黑客扫描工具。我想屏蔽 .php 的请求。那么我可以添加一个自定义规则，查找 URL 为 .php 结尾的请求，并阻止掉。

至于所谓黑客的扫描工具，并不是我瞎编的，可以给大家看个实际案例。我的博客运营11年间，经常被黑客工具扫描，而用了 Azure 以后，Application Insight 就能监测到这种短时间大量 404 请求的情况：

可以发现这段时间的 failure 几乎都是 404。实际上网站在这段时间内可以正常访问，并没有爆炸。

Drill in 进去就能发现这些 404 请求都是黑客工具在尝试常见的 PHP 系统漏洞。

还尝试 SQL 注入，在 URL 最后加个单引号。天哪，这可是我 2003 年初中时候玩剩下的，现在还有……

实际上 Azure WAF 的 managed rules 里已经能够防御大部分这样的扫描，但如果想通过自定义规则来实现，也可以，比如屏蔽所有 .php 的请求。进入 Azure WAF，Custom rules，添加一个自定义规则。

指定一个名称，例如 BlockPHPExtension，将 Rule type 设置为 Match

Condition 为规则触发条件。为了匹配所有以 .php 结尾的请求，我们可以：

Match type: String

Match variable: RequestUri

Operation: is

Operator: Ends with

Transformation: Lowercase

Match values: .php

最后拒绝请求：Deny traffic

保存规则后等5分钟左右，尝试访问 .php 结尾的URL，就是这个效果：

Response Headers 里也能看到本次拦截是 Azure WAF 的功劳。

这个 Custom rules 还支持多种条件组合。例如屏蔽或仅允许某些国家及地区的请求、屏蔽短时间大量请求（Ratelimit）、屏蔽大数据量的请求（Size）等等。可以轻松满足各自的需要。

哎，有钱人的云，就是这么简单粗暴，且有效！

转载文章，原文链接：https://mp.weixin.qq.com/s?__biz=MzU0MTA2MTkwMQ==&mid=2247485238&idx=1&sn=a1af3a20f3ba3c377abcdfdf13763b76