Le trafic public vers Apivom n'atteint pas directement notre application. Il passe d'abord par Azure Front Door Premium, le réseau de périphérie mondial de Microsoft, auquel est rattaché un pare-feu applicatif (WAF).
Un WAF inspecte chaque requête HTTP entrante à la périphérie du réseau, avant qu'elle n'atteigne l'application. C'est important car cela arrête une large classe d'attaques — tentatives d'injection, requêtes malformées, signatures d'attaque connues — près de leur source, plutôt qu'à l'intérieur de notre propre infrastructure.
Notre politique WAF fonctionne en mode Prevention, appuyée par les ensembles de règles managés de Microsoft, ainsi que :
- Le jeu de règles HTTP DDoS, qui apprend une référence de trafic sur une fenêtre glissante et limite automatiquement les pics anormaux — qu'ils viennent d'un seul client, d'un botnet ou d'une région géographique — sans que nous ayons à préconfigurer des seuils fixes.
- Bot Manager, un ensemble de règles managé qui identifie et agit sur le trafic que le renseignement sur les menaces de Microsoft classe comme abus automatisé.
- La limitation de débit, pour plafonner la fréquence à laquelle un seul client peut appeler notre service.
- Des règles personnalisées, pour répondre à un nouveau schéma d'attaque en quelques minutes, sur toute la plateforme, sans déploiement de code.
Azure Front Door est déployé sur les emplacements de périphérie du réseau mondial d'Azure. Cela nous donne une première ligne de défense géographiquement répartie : une attaque est absorbée et filtrée près de son origine, pas après avoir déjà atteint un seul centre de données.
Ce que cela ne signifie pas
Un WAF réduit l'exposition aux schémas d'attaque courants et connus. Il ne remplace pas un code applicatif sécurisé, une authentification ou une autorisation — ces contrôles doivent rester corrects de notre côté. Nous considérons le WAF comme une couche parmi d'autres, aux côtés de l'authentification à deux facteurs obligatoire et de l'analyse automatisée des dépendances, pas comme un substitut à ceux-ci.