Vérification des connaissances

Il chiffre tout le trafic entrant avant d’atteindre le code de l’application.

Il bloque les requêtes non authentifiées au niveau de la couche plateforme avant d’atteindre le code de l’application, en retournant une réponse 401 ou en redirigeant vers le fournisseur d’identité.

Il attribue une identité managée au service d’application pour l’authentification des connexions sortantes du service.

Elle limite le trafic entrant à des plages d’adresses IP spécifiques.

Déployez immédiatement en mode Prévention pour bloquer les attaques à partir du début.

Déployez en mode Détection, analysez les journaux pour identifier les faux positifs, configurez les exclusions, puis basculez vers le mode Prévention.

Déployez en mode Détection et laissez-le définitivement, car le mode prévention augmente la latence.

Déployez sans politique WAF et associez-en une après avoir observé les schémas de trafic pendant 30 jours.

Désactiver définitivement une règle WAF pour l’ensemble des requêtes lorsqu’elle provoque trop d’alertes.

Permettre aux requêtes légitimes qui déclenchent des règles WAF de passer, en limitant cela à un élément de requête spécifique plutôt qu’en désactivant la règle globalement.

Pour augmenter la priorité d’une règle, elle est évaluée avant d’autres règles dans l’ensemble de règles managées.

Pour router les requêtes bloquées par WAF vers un autre pool principal au lieu de renvoyer une réponse 403.

Pour réduire le coût du transfert de données sortantes à partir d’App Service.

Pour garantir qu’App Service accepte uniquement le trafic transmis via l’inspection WAF, empêchant les attaquants de contourner le WAF en ciblant directement le nom d’hôte App Service.

Pour activer le chiffrement TLS (Transport Layer Security) de bout en bout entre Application Gateway et App Service.

Pour empêcher Application Gateway de mettre en cache les réponses d’App Service.

Attaques qui surchargent le serveur avec plus de demandes qu’il ne peut gérer.

Attaques qui injectent des instructions SQL malveillantes dans des champs d’entrée pour manipuler des requêtes de base de données back-end.

Attaques qui injectent des scripts côté client dans des pages web pour s’exécuter dans les navigateurs d’autres utilisateurs.

Attaques qui interceptent le trafic chiffré entre le client et le serveur.