En bref. Déployer le jeu de règles de protection contre les bots, placer l’identifiant et l’action de la règle visée dans un remplacement de groupe, puis mettre à jour la stratégie WAF.

Définition : Azure Front Door modifie l’action d’une règle managée de protection contre les bots au moyen d’un remplacement de règle managée (managed rule override), inclus dans un remplacement de groupe de règles managées (managed rule group override) au sein d’une stratégie de pare-feu d’applications web (WAF). La stratégie doit contenir le jeu de règles de protection contre les bots, que le guide de protection contre les bots de Microsoft documente pour Front Door Premium.

Points clés

Le guide de protection contre les bots de Microsoft s’applique à Front Door Premium et indique que son WAF fournit des règles pour identifier les bots légitimes et se protéger des bots malveillants.
Le jeu de règles de protection contre les bots est ajouté à une stratégie WAF sous le type Microsoft_BotManagerRuleSet, avec une version choisie, par exemple 1.0, via le portail, PowerShell, Azure CLI ou Bicep.
Un remplacement de règle managée identifie une règle par ruleId et comporte une valeur action appliquée lorsque la règle correspond à la requête, selon le modèle REST de Front Door de Microsoft.
Un remplacement de groupe de règles précise le nom du groupe de règles managées et reçoit les objets de remplacement de chaque règle.
La référence PowerShell de Microsoft présente l’utilisation de -Action Log dans un remplacement de règle managée.

Comment le jeu de règles de protection contre les bots est-il déployé ?

Le guide de protection contre les bots indique qu’une stratégie WAF Front Door de base est un prérequis. Dans le portail Azure, la procédure consiste à ouvrir la stratégie WAF, à sélectionner Managed rules, puis Assign, à choisir la version du jeu de règles de protection contre les bots sous Additional rule set, puis à sélectionner Save. L’exemple Azure CLI du guide ajoute la version 1.0 avec cette commande :

az network front-door waf-policy managed-rules add \
  --resource-group FrontDoorWafPolicy \
  --policy-name WafPolicy \
  --type Microsoft_BotManagerRuleSet \
  --version 1.0

Le même guide présente le type d’objet PowerShell Microsoft_BotManagerRuleSet et la version 1.0, puis ajoute cet objet à la collection ManagedRules de la stratégie avant d’appeler Update-AzFrontDoorWafPolicy.

Comment remplacer l’action d’une règle ?

L’applet de commande PowerShell de Microsoft crée un objet ManagedRuleOverride en mémoire. Sa syntaxe exige -RuleId et accepte -Action ; la référence décrit -Action comme l’action de remplacement appliquée lorsque la règle correspond à la requête. La valeur de -RuleId identifie la règle managée de protection contre les bots dont l’action est modifiée.

$botRuleOverride = New-AzFrontDoorWafManagedRuleOverrideObject `
  -RuleId "<managed bot rule ID>" `
  -Action Log

Ce remplacement est ensuite intégré à un remplacement de groupe de règles managées. L’applet de commande de groupe de règles de Microsoft exige -RuleGroupName et accepte -ManagedRuleOverride :

$botGroupOverride = New-AzFrontDoorWafRuleGroupOverrideObject `
  -RuleGroupName "<managed bot rule group>" `
  -ManagedRuleOverride $botRuleOverride

La référence du groupe avertit que, si aucun remplacement de règle managée n’est spécifié, toutes les règles du groupe sont désactivées. Fournir l’objet de remplacement individuel limite la configuration à la règle représentée par son ruleId.

Comment le remplacement est-il appliqué à la stratégie WAF ?

L’objet de règle managée accepte les paramètres Type, Version et RuleGroupOverride du jeu de règles. Les valeurs du jeu de règles de protection contre les bots et le remplacement de groupe sont réunis dans cet objet, qui est ensuite ajouté à la stratégie avant sa mise à jour :

$botProtectionRuleSet = New-AzFrontDoorWafManagedRuleObject `
  -Type 'Microsoft_BotManagerRuleSet' `
  -Version '1.0' `
  -RuleGroupOverride $botGroupOverride

$frontDoorWafPolicy.ManagedRules.Add($botProtectionRuleSet)
$frontDoorWafPolicy | Update-AzFrontDoorWafPolicy

La référence de l’objet de règle managée décrit -RuleGroupOverride comme la collection des remplacements de groupe appliqués au jeu de règles. Le guide de protection contre les bots documente séparément la récupération de la stratégie, l’ajout de l’objet de règle managée et la mise à jour de la stratégie.

Que faut-il vérifier après le déploiement ?

La documentation de Microsoft sur l’ajustement du WAF indique que les journaux WAF consignent les requêtes évaluées qui correspondent à une règle du WAF ou que celui-ci bloque. Elle désigne ruleName, action et policyMode comme les champs permettant d’examiner une correspondance et présente trackingReference pour retrouver un événement précis. L’action enregistrée pour la règle visée peut être vérifiée après la mise à jour de la stratégie.

La même documentation indique que les modifications de stratégie peuvent s’appliquer au niveau du profil, du domaine ou de la route. Lorsque plusieurs niveaux s’appliquent à une requête, la stratégie de la route prime sur celle du domaine, et celle du domaine prime sur celle du profil. Elle avertit aussi que l’affectation d’un nouveau jeu de règles managées réinitialise les personnalisations précédentes des règles managées, notamment leur état, leurs actions et leurs exclusions individuelles, aux valeurs par défaut du nouveau jeu de règles.

Termes associés

Questions fréquentes

Le jeu de règles de protection contre les bots est-il disponible sur Front Door Standard ?

Le guide de protection contre les bots de Microsoft s’applique à Front Door Premium. Sa documentation sur l’ajustement du WAF indique aussi que le jeu de règles managées par Microsoft n’est pas disponible pour la référence SKU Azure Front Door Standard.

Un remplacement de groupe de règles désactive-t-il toutes les règles du groupe ?

La référence du remplacement de groupe indique que l’omission de la liste des remplacements de règles managées désactive toutes les règles du groupe. L’objet de remplacement individuel est transmis lorsque la modification souhaitée concerne une seule règle.

Puis-je définir l’action Log pour une seule règle managée ?

Oui. L’applet de commande de remplacement de règle managée accepte -Action, et l’exemple de Microsoft utilise New-AzFrontDoorWafManagedRuleOverrideObject -RuleId "942250" -Action Log. Remplacez l’identifiant de l’exemple par celui de la règle managée visée, placez l’objet dans le remplacement de son groupe de règles, puis appliquez la stratégie mise à jour.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

Comment Azure Front Door modifie-t-il l’action d’une règle managée de protection contre les bots ?