Microsoft Sentinel ile Azure WAF için otomatik algılama ve yanıt
Kötü amaçlı saldırganlar, SQL ekleme ve Siteler arası betik oluşturma gibi yaygın olarak bilinen güvenlik açıklarından yararlanarak web uygulamalarını giderek daha fazla hedef alır. Uygulama kodunda bu saldırıların önlenmesi, uygulama topolojisinin birden çok katmanında sıkı bakım, düzeltme eki uygulama ve izleme gerektiren bir zorluk oluşturur. bir Web Uygulaması Güvenlik Duvarı (WAF) çözümü, her bir web uygulamasının güvenliğini sağlamak yerine bilinen bir güvenlik açığına merkezi olarak düzeltme eki uygulama yoluyla bir güvenlik tehdidine daha hızlı tepki verebilir. Azure Web Uygulaması Güvenlik Duvarı (WAF), web uygulamalarını yaygın web korsanlık tekniklerinden koruyan buluta özel bir hizmettir. Web uygulaması trafiğine tam görünürlük sağlamak ve kötü amaçlı web saldırılarını engellemek için bu hizmeti birkaç dakika içinde dağıtabilirsiniz.
Otomatik algılama ve tehditlere/olaylara/uyarılara yanıt için Azure WAF'yi Microsoft Sentinel (bulutta yerel SIEM/SOAR çözümü) ile tümleştirmek ek bir avantajdır ve WAF ilkesini güncelleştirmek için gereken el ile müdahaleyi azaltır.
Bu makalede, sentinel'deki WAF algılama şablonları hakkında bilgi edinip bir playbook dağıtabilir ve bu şablonları ve playbook'u kullanarak Sentinel'de algılama ve yanıtı yapılandırabilirsiniz.
Ön koşullar
- Azure aboneliğiniz yoksa başlamadan önce ücretsiz bir hesap oluşturun.
- İlişkili WAF ilkesine sahip bir Azure Front Door dağıtımı. Daha fazla bilgi için bkz . Hızlı Başlangıç: ARM şablonu kullanarak Front Door Standard/Premium oluşturma ve Öğretici: Azure portalını kullanarak Azure Front Door'da WAF ilkesi oluşturma.
- Log Analytics çalışma alanında günlükleri yakalamak için yapılandırılmış bir Azure Front Door. Daha fazla bilgi için bkz . Azure Front Door günlüklerini yapılandırma.
Playbook'u dağıtma
GitHub'da bir şablondan Block-IPAzureWAF adlı bir Sentinel playbook'u yüklersiniz. Bu playbook, WAF olaylarına yanıt olarak çalışır. Amaç, waf ilkesinde belirli bir IP adresinden gelen istekleri engellemek için özel bir kural oluşturmak veya değiştirmektir. Bu, Azure REST API kullanılarak gerçekleştirilir.
Playbook'u GitHub'da bir şablondan yüklersiniz.
- GitHub deposuna gidin ve şablonu başlatmak için Azure'a dağıt'ı seçin.
- Gereken parametreleri doldurun. Front Door kimliğinizi Azure portalından alabilirsiniz. Front Door Kimliği, Front Door kaynağının kaynak kimliğidir.
- Gözden Geçir + oluştur'u ve ardından Oluştur'u seçin.
API bağlantısını yetkilendirme
Bu dağıtımın bir parçası olarak azuresentinel-Block-IPAzureWAF adlı bir API bağlantısı oluşturulur. Playbook'un WAF ilkenizde değişiklik yapmasına izin vermek için azure kimliğinizle yetkilendirmeniz gerekir.
- Azure portalında azuresentinel-Block-IPAzureWAF API bağlantısını seçin.
- API bağlantısını düzenle'yi seçin.
- Görünen Ad'ın altına Azure kimliğinizi yazın.
- Yetkilendir'i seçin.
- Kaydet'i seçin.
Katkıda Bulunan rol atamasını yapılandırma
Playbook,REST API aracılığıyla mevcut WAF ilkesini sorgulamak ve değiştirmek için gerekli izinlere sahip olmalıdır. Playbook'a, ilişkili WAF ilkeleriyle birlikte Front Door kaynağında Katkıda Bulunan izinlerine sahip sistem tarafından atanan bir Yönetilen Kimlik atayabilirsiniz. İzinleri, yalnızca hesabınıza temel alınan kaynağa Sahip veya Kullanıcı Erişimi Yönetici istrator rolleri atanmışsa atayabilirsiniz.
Bu, bu playbook'a yeni bir rol ataması eklenerek ilgili kaynaktaki IAM bölümü kullanılarak yapılabilir.
- Azure portalında Front Door kaynağını seçin.
- Sol bölmede Erişim denetimi (IAM) öğesini seçin.
- Rol atamaları’nı seçin.
- Ekle'yi ve ardından Rol ataması ekle'yi seçin.
- Ayrıcalıklı yönetici rolleri'ni seçin.
- Katkıda Bulunan'ı ve ardından İleri'yi seçin.
- Üye seçin öğesini seçin.
- Block-IPAzureWAF araması yapın ve seçin. Bu playbook için birden çok girdi olabilir. Son eklediğiniz liste genellikle listenin en sonuncusu olur.
- Blok-IPAzureWAF'ı ve ardından Seç'i seçin.
- Gözden geçir + ata'yı seçin.
WAF ilke kaynağı için bu yordamı yineleyin.
Microsoft Sentinel'i çalışma alanınıza ekleme
- Azure portalında Microsoft Sentinel'i arayın ve açın.
- Oluştur seçeneğini belirleyin.
- Çalışma alanınızı ve ardından Ekle'yi seçin.
Mantıksal Uygulama Katkıda Bulunanı rol atamasını yapılandırma
Hesabınızın, Microsoft Sentinel izinleri vermek istediğiniz herhangi bir kaynak grubunda sahip izinlerine sahip olması ve çalıştırmak istediğiniz playbook'ları içeren herhangi bir kaynak grubunda Logic App Katılımcısı rolüne sahip olmanız gerekir.
- Azure portalında playbook'u içeren kaynak grubunu seçin.
- Sol bölmede Erişim denetimi (IAM) öğesini seçin.
- Rol atamaları’nı seçin.
- Ekle'yi ve ardından Rol ataması ekle'yi seçin.
- Mantıksal Uygulama Katkıda Bulunanı ara'yı seçin, seçin ve ardından İleri'yi seçin.
- Üye seçin öğesini seçin.
- Hesabınızı arayın ve seçin.
- Seç'i seçin.
- İleri’yi seçin.
- Gözden geçir + ata'yı seçin.
Algılamayı ve yanıtı yapılandırma
Azure WAF için Sentinel'de SQLi ve XSS saldırıları için algılama sorgusu şablonları vardır. Bu şablonları İçerik hub'ından indirebilirsiniz. Bu şablonları kullanarak WAF günlüklerindeki belirli tür saldırı desenlerini algılayan analiz kuralları oluşturabilir ve bir olay oluşturarak güvenlik analistini daha fazla bilgilendirebilirsiniz. Bu kuralların otomasyon bölümü, WAF ilkesinde saldırganın kaynak IP'sini engelleyerek bu olaya yanıt vermenize yardımcı olabilir ve ardından bu kaynak IP adreslerinden sonraki saldırıları ön planda durdurur. Microsoft, daha fazla algılama ve yanıt senaryosu için daha fazla Algılama Şablonu eklemek için sürekli çalışmaktadır.
Şablonları yükleme
- Microsoft Sentinel'de sol bölmedeki Yapılandırma'nın altında Analiz'i seçin.
- Sayfanın üst kısmında İçerik hub'ında Diğer içerik'i seçin.
- Azure Web Uygulaması Güvenlik Duvarı için arama yapın, seçin ve ardından Yükle'yi seçin.
Analitik kural oluşturma
Microsoft Sentinel'de sol bölmedeki Yapılandırma'nın altında Analiz'i seçin.
Kural şablonları'nı seçin. Şablonların görünmesi birkaç dakika sürebilir.
Front Door Premium WAF - SQLi Algılama şablonunu seçin.
Sağ bölmede Kural oluştur'u seçin.
Tüm varsayılan değerleri kabul edin ve Otomatik yanıta geçin. Kuralı özelleştirmek için bu ayarları daha sonra düzenleyebilirsiniz.
Bahşiş
Kural sorgusunda bir hata görürseniz bunun nedeni çalışma alanınızda WAF günlüklerinin bulunmamış olması olabilir. Web uygulamanıza test trafiği göndererek bazı günlükler oluşturabilirsiniz. Örneğin, aşağıdaki gibi bir istek göndererek bir SQLi saldırısının benzetimini yapabilirsiniz:
http://x.x.x.x/?text1=%27OR%27%27=%27. değerini Front Door URL'nizle değiştirinx.x.x.x.Otomatik yanıt sayfasında Yeni ekle'yi seçin.
Yeni otomasyon kuralı oluştur sayfasında kural için bir ad yazın.
Tetikleyici'nin altında Uyarı oluşturulduğunda'yı seçin.
Eylemler'in altında Playbook izinlerini yönet'i seçin.
İzinleri yönet sayfasında kaynak grubunuzu seçin ve Uygula'yı seçin.
Yeni otomasyon kuralı oluştur sayfasına dönün, Eylemler'in altında açılan listeden Block-IPAzureWAF playbook'unu seçin.
Uygula'yı seçin.
Sonraki: Gözden geçirme ve oluşturma’yı seçin.
Kaydet'i seçin.
Analitik kuralı ilgili Otomasyon kuralı ayarlarıyla oluşturulduktan sonra Artık Algılama ve Yanıt için hazır olursunuz. Bir saldırı sırasında aşağıdaki olay akışı gerçekleşir:
- Azure WAF, bir saldırgan arkasındaki web uygulamalarından birini hedeflemeye çalıştığında trafiği günlüğe kaydeder. Sentinel daha sonra bu günlükleri alır.
- Yapılandırdığınız Analiz/Algılama kuralı, bu saldırının düzenini algılar ve bir analisti bilgilendirmek için bir olay oluşturur.
- Analiz kuralının parçası olan otomasyon kuralı, daha önce yapılandırdığınız ilgili playbook'u tetikler.
- Playbook, saldırganın kaynak IP'sini içeren ilgili WAF ilkesinde SentinelBlockIP adlı özel bir kural oluşturur.
- WAF sonraki saldırı girişimlerini engeller ve saldırgan başka bir kaynak IP kullanmayı denerse ilgili kaynak IP'yi engelleme kuralına ekler.
Önemli bir nokta, Azure WAF altyapısının temel kural kümesinin yardımıyla Azure WAF'nin varsayılan olarak kötü amaçlı web saldırılarını engellemesidir. Ancak bu otomatik algılama ve yanıt yapılandırması, ilgili kaynak IP adresleri için Azure WAF ilkesinde yeni özel blok kurallarını değiştirerek veya ekleyerek güvenliği daha da artırır. Bu, bu kaynak IP adreslerinden gelen trafiğin Azure WAF altyapısı kural kümesine bile isabet etmeden önce engellenmesini sağlar.