Preparar aplicações web reguladas para auditorias de segurança

Uma equipe de segurança ou de compliance é responsável por uma aplicação web que trata dados de cartão ou dados pessoais sob um padrão como PCI DSS, SOC 2, LGPD ou GDPR. Ela precisa mostrar aos auditores que o tráfego é criptografado, que os ataques na camada de aplicação são filtrados, que o acesso é restrito e que os eventos de segurança são guardados. Esta página configura o redirecionamento para HTTPS na application, as restrições por país e por endereço no seu firewall e um stream que exporta cada requisição e cada evento do WAF a um destino que a equipe mantém. O resultado é medido por cada controle auditado mapeado a uma configuração da plataforma, pela completude e pelo período de retenção dos logs de segurança e pelo tempo necessário para preparar as evidências de auditoria.

Este caso de uso não cobre as certificações da própria Azion como fornecedora, para as quais consulte Compliance PCI e Compliance SOC, nem onde os bancos de dados da equipe armazenam dados regulados.

Pré-requisitos

• Uma conta Azion. Se você ainda não tem uma, crie uma conta.
• Uma application que serve a aplicação web por meio de um connector e de um workload. Para criá-los, consulte Primeiros passos com Applications.
• HTTPS ativado nas configurações de protocolo do workload, com um certificado que cobre os seus domínios. Para que a Azion solicite e renove um, consulte Solicite um certificado Let’s Encrypt, e para enviar um certificado próprio, consulte Primeiros passos com Certificate Manager.
• Um firewall vinculado ao deployment do workload, com WAF aplicado a toda requisição. Para construí-lo, consulte Vincule um firewall a um workload e Aplique um rule set a toda requisição.
• Um endpoint que guarda os eventos pelo período que o seu padrão exige, como um SIEM ou um bucket de armazenamento. Para os endpoints aos quais um stream envia, consulte Endpoints.

Produtos necessários

DDoS Protection mitiga ataques DoS e DDoS em todo workload, sem nada para configurar. Para os tipos de ataque que cobre, consulte Mitigação de ataques.

Arquitetura de referência

Esta página constrói o perímetro de compliance com retenção de eventos de segurança: criptografia, filtragem e restrições de acesso na frente da aplicação, e uma exportação de cada evento de segurança a um destino que a equipe mantém.

Leia o diagrama como dois caminhos. O caminho contínuo é a requisição: criptografada na chegada, filtrada pelas regras do firewall e entregue à origem pelo connector. O caminho pontilhado é a evidência: um registro de cada requisição, com a sua decisão do WAF, sai para um destino que a equipe mantém, enquanto o Real-Time Events guarda uma janela curta para revisão. Uma auditoria pergunta sobre os dois caminhos, e cada controle do primeiro tem um registro no segundo.

Fluxo de dados

1. Um cliente se conecta por HTTPS, e o workload apresenta o certificado que o Certificate Manager guarda para o domínio. DDoS Protection avalia o tráfego antes de qualquer regra de firewall rodar.
2. As regras do firewall negam, por meio de listas do Network Shield, um cliente cujo país não está na lista atendida e uma requisição a /admin de fora da rede da equipe.
3. O WAF pontua toda requisição e, em Blocking, recusa uma cujo score atinge o threshold de uma família.
4. Uma requisição que passa chega à application, que redireciona HTTP simples para HTTPS e encaminha a requisição à origem pelo connector.
5. Data Stream exporta o registro de cada requisição, com as suas variáveis do WAF, ao SIEM ou ao armazenamento que a equipe mantém pelo período que o seu padrão exige.
6. Real-Time Events guarda cada registro por 7 dias, para a revisão de um incidente recente.

Recursos de Plataforma

• Certificate Manager: o Platform Resource que guarda os certificados TLS que um workload apresenta, enviados pela equipe ou solicitados ao Let’s Encrypt e renovados pela Azion.
• application: o Platform Resource que redireciona HTTP simples para HTTPS e entrega as requisições que o firewall deixa passar.
• firewall: o Platform Resource que é o ponto de aplicação, onde cada controle roda como uma regra que a equipe pode nomear a um auditor.
• DDoS Protection: a Feature que mitiga ataques DoS e DDoS em todo workload, sempre ativa e sem nada para configurar.
• WAF: o controle da camada de aplicação, que pontua cada requisição contra oito famílias de ameaças e recusa padrões de ataque em Blocking.
• Network Shield: restringe o acesso por rede e por país, por meio de listas que regras de negação leem com o critério Network.
• connector: o Platform Resource que alcança a origem.
• Data Stream: exporta os registros de requisições, com as variáveis do WAF, para retenção fora da plataforma. A sua fonte de dados Activity History também exporta as alterações de configuração que os usuários fazem no Azion Console.
• Real-Time Events: guarda cada registro de requisição por 7 dias, para a revisão de incidentes.
• SIEM ou armazenamento: a integração que guarda a evidência pelo período que o padrão da equipe exige.

Como o design funciona

Esta seção explica por que cada controle tem a sua forma: a imposição de HTTPS, as restrições de acesso e geográficas e a exportação de eventos.

Imposição de HTTPS

O certificado no workload criptografa cada conexão HTTPS, e a regra da application fecha o outro caminho: uma requisição feita por HTTP simples é redirecionada para HTTPS em vez de ser servida. Redirect HTTP to HTTPS não faz nada a uma requisição já feita por HTTPS, então a regra corresponde a ${uri} starts with /, todo caminho, sem condição sobre o esquema. O comportamento exige HTTPS ativado nas configurações de protocolo do workload.

O Minimum TLS version do workload tem TLS 1.3 como padrão. Mantenha-o, ou registre a versão que definir, porque um auditor pergunta pelo piso, não pela versão que uma sessão negociou.

O nome da regra, audit - redirect to HTTPS, é um nome que um auditor consegue mapear ao controle de criptografia, e a regra fica antes de qualquer regra da application cujo comportamento encerra o processamento, para que nenhuma requisição HTTP pule o redirecionamento.

Restrições de acesso e geográficas

Duas regras de negação restringem o acesso no firewall. A primeira recusa todo cliente cujo país não está em audit-served-countries, com o operador does not match do critério Network, então um país novo continua recusado até alguém adicioná-lo. A segunda recusa uma requisição a /admin de qualquer endereço fora de audit-team-addresses, então o caminho de administração responde só à sua equipe. Os seus dois critérios ficam em um bloco unido por and: a regra age só onde o caminho e o endereço correspondem.

A resolução de país pode errar para alguns endereços, então a regra de administração lê uma lista ip_cidr em vez de um país. Dê a cada entrada de audit-team-addresses um comentário que nomeia de quem é a rede, porque um auditor pergunta quem consegue alcançar o caminho.

Exportação de eventos

O stream lê a fonte de dados Applications com o template Applications + WAF Event Collector, 184 na API. Cada linha de log carrega então a requisição, a resposta e o endereço do cliente, com o score do WAF, as regras correspondidas e a action da mesma requisição, então uma linha responde à pergunta de um auditor sobre uma requisição. O stream filtra pelo workload da aplicação em vez de usar amostragem, então toda requisição é exportada e os outros streams da conta continuam ativos.

Real-Time Events guarda cada registro por 7 dias, então a evidência de um período de auditoria vem do destino, que guarda as linhas pelo tempo que a equipe o configurar para guardar.

Medindo resultados

Boas práticas

• Guarde a evidência fora da plataforma. Real-Time Events guarda um registro por 7 dias, e um envio com falha que ninguém lê nesse período também não deixa registro. O destino é o único lugar onde a evidência dura.
• Exporte também as alterações de configuração. A fonte de dados Activity History carrega cada alteração que um usuário faz na conta no Azion Console, com o autor e o horário, e o seu template Activity History Collector é 251. Um auditor que pergunta quem alterou uma regra a lê ali.
• Mantenha o caminho de administração em endereços, não em países. A resolução de país pode errar para alguns endereços, e uma lista ip_cidr nomeia exatamente quem consegue alcançar o caminho.
• Leia a responsabilidade compartilhada antes de escrever o mapa de controles. A Azion protege a plataforma, e a equipe configura e evidencia os controles da sua própria aplicação. Para a divisão, consulte Modelo de Responsabilidade Compartilhada.

Guias deste caso de uso