Enmascaramiento de datos confidenciales en Azure Web Application Firewall

La herramienta de limpieza de registros de Web Application Firewall (WAF) le ayuda a quitar datos confidenciales de los registros de WAF. Funciona mediante un motor de reglas que permite crear reglas personalizadas para identificar partes específicas de una solicitud que contienen datos confidenciales. Una vez identificada, la herramienta limpia esa información de los registros y la reemplaza por *******.

Nota:

La característica de depuración de registros solo es compatible con firewalls de aplicaciones web que ejecuten el motor de WAF más reciente. Seleccione OWASP CRS 3.2 o Conjunto de reglas predeterminado 2.1 como conjunto de reglas administrado.

Nota:

Al habilitar la característica de limpieza de registros, Microsoft conserva las direcciones IP de nuestros registros internos para admitir características de seguridad críticas.

En la tabla siguiente, se muestran ejemplos de reglas de limpieza de registros que se pueden usar para proteger los datos confidenciales:

Variable de coincidencia	Operador	Selector	Qué se limpia
Nombres de encabezados de solicitud	Equals	X-Forwarded-For	REQUEST_HEADERS:x-forwarded-for.","data":"******"
Nombres de cookies de solicitud	Equals	cookie1	"Datos coincidentes: ***** encontrados en REQUEST_COOKIES:cookie1: *****"
Nombres de argumentos de solicitud	Equals	arg1	"requestUri":"/?arg1=******"
Nombres de argumento de solicitud POST	Equals	Post1	"data":"Matched Data: ****** found within ARGS:post1: ******"
Nombres de argumento de solicitud JSON	Equals	Jsonarg	"data":"Matched Data: ****** found within ARGS:jsonarg: ******"
Dirección IP de solicitud*	Equals Any	NULL	"clientIp":"******"

* Las reglas de dirección IP de solicitud solo admiten el operador equals any y limpian todas las instancias de la dirección IP del solicitante que aparece en los registros de WAF.

Para más información, consulte ¿Qué es la protección de datos confidenciales de Azure Web Application Firewall?

Habilitar la protección de datos confidenciales

Use la siguiente información para habilitar y configurar la protección de datos confidenciales.

Portal

Para habilitar la protección de datos confidenciales:

1. Abra una directiva de WAF de Application Gateway existente.
2. En Configuración, seleccione Datos confidenciales.
3. En la página Datos confidenciales, seleccione Habilitar limpieza de registros.

Para configurar las reglas de limpieza de registros para la protección de datos confidenciales:

1. En Reglas de limpieza de registros, seleccione una variable de coincidencia.
2. Seleccione un operador (si procede).
3. Escriba un selector (si procede).
4. Seleccione Guardar.

Repita para agregar más reglas.

PowerShell

Use los siguientes comandos de Azure PowerShell para crear y configurar reglas de limpieza de registros para la protección de datos confidenciales:

$logScrubbingRule1 = New-AzApplicationGatewayFirewallPolicyLogScrubbingRule `
  -State <String> -MatchVariable <String> `
  -SelectorMatchOperator <String> -Selector <String>

$logScrubbingRuleConfig = New-AzApplicationGatewayFirewallPolicyLogScrubbingConfiguration `
  -State <String> -ScrubbingRule $logScrubbingRule1

CLI

Use los comandos siguientes de la interfaz de línea de comandos para crear y configurar reglas de depuración de registros para la protección de datos confidenciales:

az network application-gateway waf-policy policy-setting update -g <MyResourceGroup> --policy-name <MyPolicySetting> --log-scrubbing-state <Enabled/Disabled> --scrubbing-rules "[{state:<Enabled/Disabled>,match-variable:<MatchVariable>,selector-match-operator:<Operator>,selector:<Selector>}]"

Comprobar la protección de los datos confidenciales

Para comprobar las reglas de protección de datos confidenciales, abra el registro de firewall de Application Gateway y busque ****** en lugar de los campos confidenciales.

Pasos siguientes

• Uso de Log Analytics para examinar registros del firewall de aplicaciones web (WAF) de Application Gateway