Preguntas más frecuentes sobre el Firewall de aplicaciones web de Azure en Application Gateway

En este artículo se responden preguntas comunes sobre la funcionalidad y las características del Firewall de aplicaciones web (WAF) en Application Gateway.

¿Qué es WAF de Azure?

Azure WAF es un Firewall de aplicaciones web que ayuda a proteger sus aplicaciones web frente a amenazas comunes como inyección de código SQL, el scripting entre sitios y otras vulnerabilidades de seguridad de la web. Puede definir una directiva de WAF, que consta de una combinación de reglas personalizadas y administradas para controlar el acceso a sus aplicaciones web.

Para las aplicaciones web hospedadas en el servicio Application Gateway o Azure Front Door, se puede aplicar una directiva de WAF de Azure.

¿Qué características admite la SKU de WAF?

La SKU de WAF admite todas las características disponibles en la SKU Estándar.

¿Cómo se supervisa el WAF?

Supervise WAF a través del registro de diagnóstico. Para más información, consulte Diagnostic logging and metrics for Application Gateway (Registro de diagnóstico y métricas de Application Gateway).

¿Bloquea el modo de detección el tráfico?

No. El modo de detección solo registra el tráfico que desencadena una regla de WAF.

¿Se pueden personalizan las reglas de WAF?

¿Qué reglas están disponibles actualmente para WAF?

Actualmente, WAF admite CRS 2.2.9, 3.0 y 3.1. Estas reglas proporcionan seguridad de línea base frente a la mayoría de las 10 vulnerabilidades principales que Open Web Application Security Project (OWASP) identifica:

  • Protección contra la inyección de código SQL
  • Protección contra ataques de scripts de sitios
  • Protección contra ataques web comunes, como la inyección de comandos, el contrabando de solicitudes HTTP, la división de respuestas HTTP y el ataque remoto de inclusión de archivos.
  • Protección contra infracciones del protocolo HTTP
  • Protección contra anomalías del protocolo HTTP, como la falta de agentes de usuario de host y encabezados de aceptación
  • Prevención contra bots, rastreadores y escáneres
  • Detección de errores de configuración comunes en aplicaciones (es decir, Apache, IIS, etc.).

Para obtener más información, consulte las 10 vulnerabilidades principales de OWASP.

¿Qué tipos de contenido admite WAF?

Application Gateway WAF admiten los siguientes tipos de contenido para las reglas administradas:

  • application/json
  • aplicación/xml
  • application/x-www-form-urlencoded
  • multipart/form-data

Y para las reglas personalizadas:

  • application/x-www-form-urlencoded
  • multipart/form-data

¿Admite WAF la protección contra DDoS?

Sí. Puede habilitar la protección contra DDos en la red virtual donde se implementa Application Gateway. Esta configuración garantiza que el servicio Azure DDoS Protection también protege la IP virtual (VIP) de Application Gateway.

¿WAF almacena datos de los clientes?

No, WAF no almacena datos de clientes.

Pasos siguientes