Segurança no Serviço de Aplicativo do Azure

  • Artigo

Este artigo mostra como o Serviço de Aplicativo do Azure ajuda a proteger o aplicativo Web, back-end de aplicativo móvel, aplicativo de API e aplicativo de funções. Ele também mostra como é possível proteger ainda mais o aplicativo com os recursos internos do Serviço de Aplicativo.

Os componentes de plataforma do Serviço de Aplicativo, incluindo VMs do Azure, armazenamento, conexões de rede, estruturas da Web, recursos de integração e gerenciamento, são ativamente seguros e protegidos. O Serviço de Aplicativo passa por verificações de conformidade rigorosas continuamente para garantir que:

  • Os recursos do aplicativo estejam protegidos dos recursos do Azure de outros clientes.
  • Instâncias de VM e software de runtime são atualizados regularmente para tratar vulnerabilidades recentemente descobertas.
  • A comunicação de segredos (como cadeias de conexão) entre o aplicativo e outros recursos do Azure (como Banco de Dados SQL) permanece no Azure e não ultrapassa limites de rede. Segredos sempre são criptografados quando armazenados.
  • Toda a comunicação sobre os recursos de conectividade do Serviço de Aplicativo, como conexão híbrida, é criptografada.
  • As conexões com ferramentas de gerenciamento remoto como Azure PowerShell, CLI do Azure, SDKs do Azure, APIs REST são todas criptografadas.
  • O gerenciamento de ameaças 24 horas protege a infraestrutura e a plataforma contra malware, ataque de DDoS (negação de serviço distribuído), MITM (man-in-the-middle) e outras ameaças.

Para saber mais sobre segurança de plataforma e infraestrutura no Azure, confira Centro de Confiabilidade do Azure.

As seções a seguir mostram como proteger ainda mais o aplicativo do Serviço de Aplicativo contra ameaças.

HTTPS e certificados

O Serviço de Aplicativo permite que você proteja os aplicativos com HTTPS. Quando o aplicativo for criado, o nome do domínio padrão (<app_name>.azurewebsites.net) já estará acessível usando HTTPS. Se você configurar um domínio personalizado para o aplicativo, também deverá protegê-lo com um certificado TLS/SSL para que os navegadores do cliente possam estabelecer conexões HTTPS seguras com o domínio personalizado. Há vários tipos de certificados compatíveis com o Serviço de Aplicativo:

  • Certificado gerenciado do Serviço de Aplicativo gratuito
  • Certificado de Serviço de Aplicativo
  • Certificado de terceiros
  • Certificado importado do Azure Key Vault

Para obter mais informações, confira Adicionar um certificado TLS/SSL no Serviço de Aplicativo do Azure.

Protocolos não seguros (HTTP, TLS 1.0, FTP)

Para proteger o aplicativo contra todas as conexões não criptografadas (HTTP), o Serviço de Aplicativo fornece configuração com um clique para impor o HTTPS. As solicitações não seguras serão recusadas antes mesmo de alcançarem o código do aplicativo. Para mais informações, consulte Impor o HTTPS.

TLS 1.0 não é mais considerado seguro pelos padrões do setor, como PCI DSS. O Serviço de Aplicativo permite desabilitar os protocolos desatualizados impondo o TLS 1.1/1.2.

O Serviço de Aplicativo dá suporte ao FTP e FTPS para implantar os arquivos. No entanto, utilize FTPS em vez de FTP, se possível. Quando um ou ambos os protocolos não estiverem em uso será necessário desabilitá-los.

Restrições de IP estático

Por padrão, o aplicativo do Serviço de Aplicativo aceita solicitações de todos os endereços IP da Internet, mas é possível limitar esse acesso a um pequeno subconjunto de endereços IP. O Serviço de Aplicativo no Windows permite definir uma lista de endereços IP com permissão para acessar o aplicativo. A lista permitida pode incluir endereços IP individuais ou um intervalo de endereços IP definidos por uma máscara de sub-rede. Para obter mais informações, consulte Restrições de IP estático do Serviço de Aplicativo do Azure.

Para o Serviço de Aplicativo no Windows, também é possível restringir endereços IP dinamicamente, configurando o web.config. Para obter mais informações, confira Segurança de IP Dinâmico <dynamicIpSecurity>.

Autenticação e autorização do cliente

O Serviço de Aplicativo do Azure fornece autenticação e autorização imediata de usuários ou aplicativos clientes. Quando habilitado, ele pode entrar em usuários e aplicativos clientes com pouco ou nenhum código do aplicativo. É possível implementar sua própria solução de autorização e autenticação ou permitir que o Serviço de Aplicativo processa isso para você. O módulo de autenticação e autorização processa solicitações da Web antes de entregá-las ao código do aplicativo e nega solicitações não autorizadas antes que elas atinjam o código.

A autenticação e a autorização do Serviço de Aplicativo oferecem suporte a vários provedores de autenticação, incluindo Microsoft Entra ID, contas Microsoft, Facebook, Google e Twitter. Para saber mais, confira Autenticação e autorização no Serviço de Aplicativo do Azure.

Autenticação serviço a serviço

Ao autenticar um serviço de back-end, o Serviço de Aplicativo fornece dois mecanismos diferentes, dependendo da necessidade:

Conectividade para recursos remotos

Há três tipos de recursos remotos que o aplicativo pode precisar acessar:

Em cada um desses casos, o Serviço de Aplicativo fornece uma maneira para fazer conexões seguras, no entanto, você ainda deve observar as melhores práticas de segurança. Por exemplo, sempre use conexões criptografadas mesmo se o recurso de back-end permitir conexões não criptografadas. Além disso, verifique se o serviço back-end do Azure permite o conjunto mínimo de endereços IP. É possível localizar os endereços IP de saída para aplicativo em Endereços IP de entrada e saída no Serviço de Aplicativo do Azure.

Recursos do Azure

Quando o aplicativo conecta os recursos do Azure, como Banco de Dados SQL e Armazenamento do Microsoft Azure, a conexão permanece no Azure e não ultrapassa limites de rede. No entanto, a conexão passa pela rede compartilhada no Azure e, portanto, sempre verifique se a conexão está criptografada.

Se o aplicativo estiver hospedado em um ambiente do Serviço de Aplicativo , você deverá conectar os serviços do Azure com suporte usando pontos de extremidade de serviço de Rede Virtual.

Recursos dentro de uma Rede Virtual do Microsoft Azure

O aplicativo pode acessar recursos em uma Rede Virtual do Microsoft Azure através da integração de Rede Virtual. A integração é estabelecida com uma Rede Virtual usando uma VPN ponto a site. O aplicativo pode acessar os recursos na rede virtual usando os endereços IP privados. A conexão ponto a site, no entanto, ainda ultrapassa as redes compartilhadas no Azure.

Para isolar completamente a conectividade de recursos das redes compartilhadas no Azure, crie o aplicativo em um ambiente do Serviço de Aplicativo. Como um ambiente do Serviço de Aplicativo é sempre implantado em uma Rede Virtual dedicada, a conectividade entre o aplicativo e os recursos dentro da Rede Virtual é totalmente isolada. Para outros aspectos da segurança de rede em um ambiente do Serviço de Aplicativo, consulte Isolamento de rede.

Recursos locais

É possível acessar os recursos locais com segurança, como bancos de dados, de três maneiras:

Segredos do aplicativo

Não armazene segredos do aplicativo, como credenciais de banco de dados, tokens de API e chaves privadas nos arquivos de configuração ou código. A abordagem comumente aceita é acessá-los como variáveis de ambiente usando o padrão standard na linguagem de sua escolha. No Serviço de Aplicativo, a maneira de definir variáveis de ambiente é através de configurações de aplicativo (e, especialmente para aplicativo .NETs, cadeias de conexão). As configurações de aplicativo e as cadeias de conexão são armazenadas criptografadas no Azure e serão descriptografadas somente antes de serem injetadas na memória de processo do aplicativo quando o aplicativo for iniciado. As chaves de criptografia são giradas regularmente.

Como alternativa, é possível integrar o aplicativo do Serviço de Aplicativo ao Azure Key Vault para gerenciamento de segredos avançado. Ao acessar o Key Vault com uma identidade gerenciada, o aplicativo do Serviço de Aplicativo poderá acessar com segurança os segredos que você precisa.

Isolamento da rede

Exceto para tipo de preço Isolado todas as camadas executam os aplicativos na infraestrutura de rede compartilhada no Serviço de Aplicativo. Por exemplo, os endereços IP públicos e os balanceadores de carga front-end são compartilhados com outros locatários. A camada Isolado oferece isolamento de rede completo, executando os aplicativos em um Ambiente do Serviço de Aplicativo dedicado. Um ambiente do Serviço de Aplicativo é executado na própria instância da Rede Virtual do Microsoft Azure. Isso permite que você:

  • Atenda os aplicativos por meio de um pondo de extremidade público dedicado, com front-ends dedicados.
  • Atenda o aplicativo interno usando um ILB (balanceador de carga interno), que permite o acesso somente de dentro da Rede Virtual do Microsoft Azure. O ILB tem um endereço IP da sub-rede privada, que fornece isolamento total dos aplicativos da Internet.
  • Use um ILB atrás de um WAF (firewall do aplicativo Web). O WAF oferece proteção de nível empresarial para aplicativos voltados ao público, como proteção contra DDoS, filtragem de URI e prevenção de injeção de SQL.

Proteção contra DDOS

Para cargas de trabalho da Web, é altamente recomendável utilizar a proteção contra DDoS do Azure e um firewall de aplicativo Web para proteger contra ataques de DDoS emergentes. Outra opção é implantar o Azure Front Door junto com um firewall de aplicativo Web. O Azure Front Door oferece proteção no nível da plataforma contra ataques de DDoS no nível da rede.

Para obter mais informações, consulte Introdução aos Ambientes do Serviço de Aplicativo do Azure.