review-checklists/checklists/network_appdelivery_checklist.pt.json

{
    "categories": [
        {
            "name": "Topologia de rede e conectividade"
        }
    ],
    "items": [
        {
            "category": "Topologia de rede e conectividade",
            "guid": "f00a69de-7076-4734-a734-6e4552cad9e1",
            "id": "A01.01",
            "link": "https://learn.microsoft.com/azure/frontdoor/best-practices#use-latest-version-for-customer-managed-certificates",
            "service": "Front Door",
            "severity": "Média",
            "subcategory": "Porta da Frente",
            "text": "Se você usar certificados TLS gerenciados pelo cliente com o Azure Front Door, use a versão de certificado 'Mais recente'. Reduzir o risco de paralisações causadas pela renovação manual de certificados",
            "waf": "Operações"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "b71ca41b-3a80-48f3-a6cd-22cdf197c1cf",
            "id": "A01.02",
            "link": "https://learn.microsoft.com/azure/cloud-adoption-framework/ready/landing-zone/design-area/resource-org-management-groups#management-groups-in-the-azure-landing-zone-accelerator",
            "severity": "Média",
            "subcategory": "Entrega de aplicativos",
            "text": "Execute a entrega de aplicativos dentro das zonas de aterrissagem para aplicativos internos (corp) e externos (online).",
            "training": "https://learn.microsoft.com/learn/paths/secure-application-delivery/",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "graph": "resources | where type == 'microsoft.network/applicationgateways' | project id, compliant = properties.sku.name in ('Standard_v2', 'WAF_v2') | project id,compliant",
            "guid": "553585a6-abe0-11ed-afa1-0242ac120002",
            "id": "A01.03",
            "link": "https://learn.microsoft.com/azure/application-gateway/overview-v2",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Verifique se você está usando o SKU do Application Gateway v2",
            "training": "https://learn.microsoft.com/learn/paths/secure-application-delivery/",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "graph": "resources | where type == 'microsoft.network/loadbalancers' | project id, compliant=(tolower(sku.name) == 'standard')",
            "guid": "4e35fbf5-0ae2-48b2-97ce-753353edbd1a",
            "id": "A01.04",
            "link": "https://learn.microsoft.com/azure/load-balancer/load-balancer-overview",
            "service": "Load Balancer",
            "severity": "Média",
            "subcategory": "Balanceador de Carga",
            "text": "Verifique se você está usando a SKU padrão para seus Balanceadores de Carga do Azure",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "9432621a-8397-4654-a882-5bc856b7ef83",
            "id": "A01.05",
            "link": "https://learn.microsoft.com/azure/load-balancer/load-balancer-standard-availability-zones",
            "service": "Load Balancer",
            "severity": "Média",
            "subcategory": "Balanceador de Carga",
            "text": "Verifique se os endereços IP de front-end dos Load Balancers são redundantes por zona (a menos que você precise de frontends zonais).",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "graph": "resources | where type=='microsoft.network/applicationgateways' | extend subnetId = tostring(properties.gatewayIPConfigurations[0].properties.subnet.id) | project id, subnetId | join (resources | where type=='microsoft.network/virtualnetworks' | project id,subnets=properties.subnets | mv-expand subnets | mv-expand subnets.properties.addressPrefixes | project id, subnetId = tostring(subnets.id), prefix1 = subnets.properties.addressPrefix, prefix2 = subnets.properties.addressPrefixes | mv-expand prefix2 | extend prefix = iff(isnotnull(prefix1), prefix1, prefix2) | extend subnetPrefixLength = split(prefix, '/')[1])on subnetId | extend compliant = (subnetPrefixLength <= 24 or subnetPrefixLength == 64) | distinct id,compliant",
            "guid": "dfc50f87-3800-424c-937b-ed5f186e7c15",
            "id": "A01.06",
            "link": "https://learn.microsoft.com/azure/application-gateway/configuration-infrastructure#size-of-the-subnet",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Seus Application Gateways v2 devem ser implantados em sub-redes com prefixos IP iguais ou maiores que /24",
            "training": "https://learn.microsoft.com/learn/paths/secure-application-delivery/",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "description": "A administração de proxies reversos em geral e do WAF em particular está mais próxima do aplicativo do que da rede, portanto, eles pertencem à mesma assinatura que o aplicativo. Centralizar o Application Gateway e o WAF na assinatura de conectividade pode ser OK se for gerenciado por uma única equipe.",
            "guid": "48b662d6-d15f-4512-a654-98f6dfe237de",
            "id": "A01.07",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/ag-overview",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Implante o Gateway de Aplicativo do Azure v2 ou NVAs de parceiros usados para fazer proxy de conexões HTTP(S) de entrada na rede virtual da zona de aterrissagem e com os aplicativos que eles estão protegendo.",
            "training": "https://learn.microsoft.com/learn/paths/secure-application-delivery/",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "f109e1f3-c79b-4f14-82de-6b5c22314d08",
            "id": "A01.08",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/ag-overview",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Use uma rede DDoS ou planos de proteção IP para todos os endereços IP públicos nas zonas de aterrissagem do aplicativo.",
            "training": "https://learn.microsoft.com/learn/paths/secure-networking-infrastructure/",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "graph": "resources | where type =~ 'microsoft.network/applicationGateways' | extend compliant = (isnotnull(properties.autoscaleConfiguration) and properties.autoscaleConfiguration.minCapacity >= 2) | distinct id,compliant",
            "guid": "135bf4ac-f9db-461f-b76b-2ee9e30b12c0",
            "id": "A01.09",
            "link": "https://learn.microsoft.com/azure/application-gateway/application-gateway-autoscaling-zone-redundant",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Configure o dimensionamento automático com uma quantidade mínima de duas instâncias.",
            "training": "https://learn.microsoft.com/learn/paths/secure-application-delivery/",
            "waf": "Fiabilidade"
        },
        {
            "category": "Topologia de rede e conectividade",
            "graph": "resources | where type =~ 'microsoft.network/applicationGateways' | extend compliant = (isnotnull(zones) and array_length(zones) > 1) | distinct id,compliant",
            "guid": "060c6964-52b5-48db-af8b-83e4b2d85349",
            "id": "A01.10",
            "link": "https://learn.microsoft.com/azure/reliability/migrate-app-gateway-v2",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Implantar o Application Gateway em zonas de disponibilidade",
            "training": "https://learn.microsoft.com/learn/paths/secure-application-delivery/",
            "waf": "Fiabilidade"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "e79d17b7-3b22-4a5a-97e7-a8ed4b30e38c",
            "id": "A01.11",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/ag-overview",
            "service": "Front Door",
            "severity": "Média",
            "subcategory": "Porta da Frente",
            "text": "Use o Azure Front Door com políticas WAF para fornecer e ajudar a proteger aplicativos HTTP/S globais que abrangem várias regiões do Azure.",
            "training": "https://learn.microsoft.com/learn/paths/secure-networking-infrastructure/",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "3f29812b-2363-4cef-b179-b599de0d5973",
            "id": "A01.12",
            "link": "https://learn.microsoft.com/azure/ddos-protection/ddos-protection-overview",
            "service": "Front Door",
            "severity": "Média",
            "subcategory": "Entrega de aplicativos",
            "text": "Ao usar o Front Door e o Application Gateway para ajudar a proteger aplicativos HTTP/S, use políticas WAF no Front Door. Bloqueie o Application Gateway para receber tráfego somente do Front Door.",
            "training": "https://learn.microsoft.com/learn/paths/secure-networking-infrastructure/",
            "waf": "Segurança"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "guid": "cd4cd21b-0881-437f-9e6c-4cfd3e504547",
            "id": "A01.13",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/ag-overview",
            "service": "Traffic Manager",
            "severity": "Alto",
            "subcategory": "Gerenciador de Tráfego",
            "text": "Use o Gerenciador de Tráfego para fornecer aplicativos globais que abrangem protocolos diferentes de HTTP/S.",
            "training": "https://learn.microsoft.com/learn/paths/secure-networking-infrastructure/",
            "waf": "Fiabilidade"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "3b4b3e88-a459-4ed5-a22f-644dfbc58204",
            "id": "A01.14",
            "link": "https://learn.microsoft.com/azure/active-directory/app-proxy/application-proxy#how-application-proxy-works",
            "service": "Entra",
            "severity": "Baixo",
            "subcategory": "Entrega de aplicativos",
            "text": "Se os usuários precisarem apenas de acesso a aplicativos internos, o Proxy de Aplicativo de ID do Microsoft Entra foi considerado uma alternativa à Área de Trabalho Virtual (AVD) do Azure?",
            "training": "https://learn.microsoft.com/learn/modules/configure-azure-ad-application-proxy/",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "01ca7cf1-5754-442d-babb-8ba6772e5c30",
            "id": "A01.15",
            "link": "https://learn.microsoft.com/azure/active-directory/app-proxy/application-proxy#how-application-proxy-works",
            "service": "Entra",
            "severity": "Média",
            "subcategory": "Entrega de aplicativos",
            "text": "Para reduzir o número de portas de firewall abertas para conexões de entrada em sua rede, considere o uso do Microsoft Entra ID Application Proxy para dar aos usuários remotos acesso seguro e autenticado a aplicativos internos.",
            "training": "https://learn.microsoft.com/learn/paths/implement-applications-external-access-azure-ad/",
            "waf": "Segurança"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "graph": "resources | where type == 'microsoft.network/frontdoorwebapplicationfirewallpolicies' | project policyName=name, policyId=id,policySku=sku.name, links=properties.securityPolicyLinks, enabledState=properties.policySettings.enabledState, mode=properties.policySettings.mode | mvexpand links | extend securityPolicy=links.id | extend securityPolicyParts=split(securityPolicy, '/') | extend profileId=strcat_array(array_slice(securityPolicyParts, 0, -3), '/') | project id=profileId, compliant=((enabledState=='Enabled') and (mode=='Prevention')), enabledState, mode",
            "guid": "ae248989-b306-4591-9186-de482e3f0f0e",
            "id": "A01.16",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/afds/waf-front-door-policy-settings",
            "service": "Front Door",
            "severity": "Alto",
            "subcategory": "Porta da Frente",
            "text": "Implante sua política de WAF para Front Door no modo 'Prevenção'.",
            "waf": "Segurança"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "guid": "062d5839-4d36-402f-bfa4-02811eb936e9",
            "id": "A01.17",
            "link": "https://learn.microsoft.com/azure/frontdoor/best-practices#avoid-combining-traffic-manager-and-front-door",
            "service": "Front Door",
            "severity": "Alto",
            "subcategory": "Porta da Frente",
            "text": "Evite combinar o Gerenciador de Tráfego do Azure e o Azure Front Door.",
            "waf": "Segurança"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "guid": "5efeb96a-003f-4b18-8fcd-b4d84459c2b2",
            "id": "A01.18",
            "link": "https://learn.microsoft.com/azure/frontdoor/best-practices#use-the-same-domain-name-on-front-door-and-your-origin",
            "service": "Front Door",
            "severity": "Alto",
            "subcategory": "Porta da Frente",
            "text": "Use o mesmo nome de domínio no Azure Front Door e sua origem. Nomes de host incompatíveis podem causar bugs sutis.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "graph": "cdnresources | where type =~ 'microsoft.cdn/profiles/origingroups/origins' | extend frontDoorId = substring(id, 0, indexof(id, '/origingroups')) | extend originGroupId = substring(id, 0, indexof(id, '/origins')) | join kind=inner (cdnresources | where type =~ 'microsoft.cdn/profiles/origingroups' | extend originGroupName = name | extend hasHealthProbe = isnotnull(properties.healthProbeSettings)) on $left.originGroupId == $right.id | summarize numberOrigins = count() by originGroupId, subscriptionId, frontDoorId, hasHealthProbe, originGroupName | extend compliant = not(numberOrigins == 1 and hasHealthProbe) | project id = frontDoorId, compliant",
            "guid": "0b5a380c-4bfb-47bc-b1d7-dcfef363a61b",
            "id": "A01.19",
            "link": "https://learn.microsoft.com/azure/frontdoor/best-practices#disable-health-probes-when-theres-only-one-origin-in-an-origin-group",
            "service": "Front Door",
            "severity": "Baixo",
            "subcategory": "Porta da Frente",
            "text": "Desabilite os testes de integridade quando houver apenas uma origem em um grupo de origem do Azure Front Door.",
            "waf": "Desempenho"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "5567048e-e5d7-4206-9c55-b5ed45d2cc0c",
            "id": "A01.20",
            "link": "https://learn.microsoft.com/azure/frontdoor/best-practices#select-good-health-probe-endpoints",
            "service": "Front Door",
            "severity": "Média",
            "subcategory": "Porta da Frente",
            "text": "Selecione bons pontos de extremidade de teste de integridade para o Azure Front Door. Considere a criação de pontos de extremidade de integridade que verifiquem todas as dependências do seu aplicativo.",
            "waf": "Fiabilidade"
        },
        {
            "category": "Topologia de rede e conectividade",
            "graph": "cdnresources | where type =~ 'microsoft.cdn/profiles/origingroups' | extend frontDoorId = substring(id, 0, indexof(id, '/origingroups/')) | extend compliant = (isnull(properties['healthProbeSettings']['probeRequestType']) or toupper(properties['healthProbeSettings']['probeRequestType']) == 'HEAD') | project compliant, id=frontDoorId",
            "guid": "a13f72f3-8f5c-4864-95e5-75bf37fbbeb1",
            "id": "A01.21",
            "link": "https://learn.microsoft.com/azure/frontdoor/best-practices#use-head-health-probes",
            "service": "Front Door",
            "severity": "Baixo",
            "subcategory": "Porta da Frente",
            "text": "Use testes de integridade do HEAD com o Azure Front Door para reduzir o tráfego que o Front Door envia para seu aplicativo.",
            "waf": "Desempenho"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "graph": "resources | where type=='microsoft.network/loadbalancers' | extend countOutRules=array_length(properties.outboundRules) | extend compliant = (countOutRules == 0) | distinct id,compliant",
            "guid": "97a2fd46-64b0-1dfa-b72d-9c8869496d75",
            "id": "A01.22",
            "link": "https://learn.microsoft.com/azure/nat-gateway/nat-overview#outbound-connectivity",
            "service": "Load Balancer",
            "severity": "Alto",
            "subcategory": "Balanceador de Carga",
            "text": "Usar o Gateway NAT do Azure em vez das regras de saída do Load Balancer para melhor escalabilidade do SNAT",
            "waf": "Fiabilidade"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "graph": "cdnresources | where type =~ 'microsoft.cdn/profiles/customdomains' | extend frontDoorId = substring(id, 0, indexof(id, '/customdomains')) | extend compliant = (isnull(properties['tlsSettings']['certificateType']) or tolower(properties['tlsSettings']['certificateType']) =~ 'customercertificate') | project compliant, id = frontDoorId",
            "guid": "af95c92d-d723-4f4a-98d7-8722324efd4d",
            "id": "A01.23",
            "link": "https://learn.microsoft.com/azure/frontdoor/best-practices#use-managed-tls-certificates",
            "service": "Front Door",
            "severity": "Alto",
            "subcategory": "Porta da Frente",
            "text": "Use certificados TLS gerenciados com o Azure Front Door. Reduza o custo operacional e o risco de paralisações devido a renovações de certificados.",
            "waf": "Operações"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "189ea962-3969-4863-8f5a-5ad808c2cf4b",
            "id": "A01.24",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/afds/waf-front-door-best-practices#define-your-waf-configuration-as-code",
            "service": "Front Door",
            "severity": "Média",
            "subcategory": "Porta da Frente",
            "text": "Defina sua configuração do WAF do Azure Front Door como código. Usando o código, você pode adotar mais facilmente a nova versão do conjunto de regras e obter proteção adicional.",
            "waf": "Operações"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "guid": "2e30abab-5478-417c-81bf-bf1ad4ed1ed4",
            "id": "A01.25",
            "link": "https://learn.microsoft.com/azure/frontdoor/best-practices#use-end-to-end-tls",
            "service": "Front Door",
            "severity": "Alto",
            "subcategory": "Porta da Frente",
            "text": "Use o TLS de ponta a ponta com o Azure Front Door. Use o TLS para conexões de seus clientes com o Front Door e do Front Door com sua origem.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "10aa45af-166f-44c4-9f36-b6d592dac2ca",
            "id": "A01.26",
            "link": "https://learn.microsoft.com/azure/frontdoor/best-practices#use-http-to-https-redirection",
            "service": "Front Door",
            "severity": "Média",
            "subcategory": "Porta da Frente",
            "text": "Use o redirecionamento HTTP para HTTPS com o Azure Front Door. Ofereça suporte a clientes mais antigos redirecionando-os para uma solicitação HTTPS automaticamente.",
            "waf": "Segurança"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "guid": "28b9ee82-b2c7-45aa-bc98-6de6f59a095d",
            "id": "A01.27",
            "link": "https://learn.microsoft.com/azure/frontdoor/best-practices#enable-the-waf",
            "service": "Front Door",
            "severity": "Alto",
            "subcategory": "Porta da Frente",
            "text": "Habilite o WAF do Azure Front Door. Proteja seu aplicativo contra uma série de ataques.",
            "waf": "Segurança"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "guid": "2902d8cc-1b0c-4495-afad-624ab70f7bd6",
            "id": "A01.28",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/afds/waf-front-door-best-practices#tune-your-waf",
            "service": "Front Door",
            "severity": "Alto",
            "subcategory": "Porta da Frente",
            "text": "Ajuste o WAF do Azure Front Door para sua carga de trabalho. Reduza as detecções de falsos positivos.",
            "waf": "Segurança"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "guid": "17ba124b-127d-42b6-9322-388d5b2bbcfc",
            "id": "A01.29",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/application-gateway-waf-request-size-limits#request-body-inspection",
            "service": "Front Door",
            "severity": "Alto",
            "subcategory": "Porta da Frente",
            "text": "Habilite o recurso de inspeção do corpo de solicitação habilitado na política WAF do Azure Front Door.",
            "waf": "Segurança"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "guid": "49a98f2b-ec22-4a87-9415-6a10b00d6555",
            "id": "A01.30",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/afds/waf-front-door-best-practices#enable-default-rule-sets",
            "service": "Front Door",
            "severity": "Alto",
            "subcategory": "Porta da Frente",
            "text": "Habilite os conjuntos de regras padrão do WAF do Azure Front Door. Os conjuntos de regras padrão detectam e bloqueiam ataques comuns.",
            "waf": "Segurança"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "guid": "147a13d4-2a2f-4824-a524-f5855b52b946",
            "id": "A01.31",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/afds/waf-front-door-best-practices#enable-bot-management-rules",
            "service": "Front Door",
            "severity": "Alto",
            "subcategory": "Porta da Frente",
            "text": "Habilite o conjunto de regras de proteção de bot do WAF do Azure Front Door. As regras de bot detectam bots bons e ruins.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "d7dcdcb9-0d99-44b9-baab-ac7570ede79a",
            "id": "A01.32",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/afds/waf-front-door-best-practices#use-the-latest-ruleset-versions",
            "service": "Front Door",
            "severity": "Média",
            "subcategory": "Porta da Frente",
            "text": "Use a versão mais recente do conjunto de regras do WAF do Azure Front Door. As atualizações do conjunto de regras são atualizadas regularmente para levar em conta o cenário atual de ameaças.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "b9620385-1cde-418f-914b-a84a06982ffc",
            "id": "A01.33",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/afds/waf-front-door-best-practices#add-rate-limiting",
            "service": "Front Door",
            "severity": "Média",
            "subcategory": "Porta da Frente",
            "text": "Adicione o limite de taxa ao WAF do Azure Front Door. A limitação de taxa bloqueia clientes que enviam acidentalmente ou intencionalmente grandes quantidades de tráfego em um curto período de tempo.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "6dc36c52-0124-4ffe-9eaf-23ec1282dedb",
            "id": "A01.34",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/afds/waf-front-door-best-practices#use-a-high-threshold-for-rate-limits",
            "service": "Front Door",
            "severity": "Média",
            "subcategory": "Porta da Frente",
            "text": "Use um limite alto para os limites de taxa do WAF do Azure Front Door. Limites de limite de taxa alta evitam o bloqueio de tráfego legítimo, ao mesmo tempo em que fornecem proteção contra um número extremamente alto de solicitações que podem sobrecarregar sua infraestrutura. ",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "388a3d0e-0a43-4367-90b2-3dd2aeece5ee",
            "id": "A01.35",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/afds/waf-front-door-best-practices#geo-filter-traffic",
            "service": "Front Door",
            "severity": "Baixo",
            "subcategory": "Porta da Frente",
            "text": "Se você não está esperando tráfego de todas as regiões geográficas, use filtros geográficos para bloquear o tráfego de países não esperados.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "00acd8a9-6975-414f-8491-2be6309893b8",
            "id": "A01.36",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/afds/waf-front-door-best-practices#specify-the-unknown-zz-location",
            "service": "Front Door",
            "severity": "Média",
            "subcategory": "Porta da Frente",
            "text": "Especifique o local desconhecido (ZZ) ao filtrar geograficamente o tráfego com o WAF do Azure Front Door. Evite bloquear acidentalmente solicitações legítimas quando os endereços IP não puderem ser correspondidos geograficamente.",
            "waf": "Segurança"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "graph": "resources | where type == 'microsoft.network/applicationgatewaywebapplicationfirewallpolicies' | mv-expand properties.managedRules.managedRuleSets | project id, rulesettype = properties_managedRules_managedRuleSets.ruleSetType | extend compliant1 = (rulesettype == 'Microsoft_BotManagerRuleSet') | project id, compliant1 | summarize compliant = max(compliant1) by id",
            "guid": "2f8e81eb-8e68-4026-8b1f-70f9b05f7cf9",
            "id": "A01.37",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/bot-protection",
            "service": "App Gateway",
            "severity": "Alto",
            "subcategory": "Gateway de aplicativo",
            "text": "Habilitar o conjunto de regras de proteção de bot WAF do Gateway de Aplicativo do Azure As regras de bot detectam bots bons e ruins.",
            "waf": "Segurança"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "guid": "8ea8e0d4-84e8-4b33-aeab-493f6391b4d6",
            "id": "A01.38",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/application-gateway-waf-request-size-limits#request-body-inspection",
            "service": "App Gateway",
            "severity": "Alto",
            "subcategory": "Gateway de aplicativo",
            "text": "Habilite o recurso de inspeção do corpo de solicitação habilitado na política WAF do Gateway de Aplicativo do Azure.",
            "waf": "Segurança"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "guid": "a4dd86d3-5ffa-408c-b660-cce073d085b8",
            "id": "A01.39",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/best-practices#tune-your-waf",
            "service": "App Gateway",
            "severity": "Alto",
            "subcategory": "Gateway de aplicativo",
            "text": "Ajuste o WAF do Gateway de Aplicativo do Azure para sua carga de trabalho. Reduza as detecções de falsos positivos.",
            "waf": "Segurança"
        },
        {
            "ammp": true,
            "category": "Topologia de rede e conectividade",
            "graph": "resources | where type == 'microsoft.network/frontdoorwebapplicationfirewallpolicies' | project policyName=name, policyId=id,policySku=sku.name, links=properties.securityPolicyLinks, enabledState=properties.policySettings.enabledState, mode=properties.policySettings.mode | mvexpand links | extend securityPolicy=links.id | extend securityPolicyParts=split(securityPolicy, '/') | extend profileId=strcat_array(array_slice(securityPolicyParts, 0, -3), '/') | project id=profileId, compliant=((enabledState=='Enabled') and (mode=='Prevention')), enabledState, mode",
            "guid": "baf8e317-2397-4d49-b3d1-0dcc16d8778d",
            "id": "A01.40",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/afds/waf-front-door-policy-settings",
            "service": "App Gateway",
            "severity": "Alto",
            "subcategory": "Gateway de aplicativo",
            "text": "Implante sua política de WAF para o Application Gateway no modo 'Prevenção'.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "43fae595-8a32-4299-a69e-0f32c454dcc9",
            "id": "A01.41",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/rate-limiting-overview",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Adicione o limite de taxa ao WAF do Gateway de Aplicativo do Azure. A limitação de taxa bloqueia clientes que enviam acidentalmente ou intencionalmente grandes quantidades de tráfego em um curto período de tempo.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "041e0ad8-7b12-4694-a0b7-a0e25ee2470f",
            "id": "A01.42",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/rate-limiting-overview#rate-limiting-details",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Use um limite alto para os limites de taxa do WAF do Gateway de Aplicativo do Azure. Limites de limite de taxa alta evitam o bloqueio de tráfego legítimo, ao mesmo tempo em que fornecem proteção contra um número extremamente alto de solicitações que podem sobrecarregar sua infraestrutura. ",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "99937189-ff78-492a-b9ca-18d828d82b37",
            "id": "A01.43",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/best-practices#geo-filtering-best-practices",
            "service": "App Gateway",
            "severity": "Baixo",
            "subcategory": "Gateway de aplicativo",
            "text": "Se você não está esperando tráfego de todas as regiões geográficas, use filtros geográficos para bloquear o tráfego de países não esperados.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "349a15c1-52f4-4319-9078-3895d95ecafd",
            "id": "A01.44",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/geomatch-custom-rules",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Especifique o local desconhecido (ZZ) ao filtrar geograficamente o tráfego com o WAF do Gateway de Aplicativo do Azure. Evite bloquear acidentalmente solicitações legítimas quando os endereços IP não puderem ser correspondidos geograficamente.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "6c19dfd5-a61c-436c-9001-491b9b3d0228",
            "id": "A01.45",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/best-practices#use-the-latest-ruleset-versions",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Use a versão mais recente do conjunto de regras do WAF do Gateway de Aplicativo do Azure. As atualizações do conjunto de regras são atualizadas regularmente para levar em conta o cenário atual de ameaças.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "f84106a2-2e9e-42ac-add6-d3416ecfed53",
            "id": "A01.46",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/best-practices#add-diagnostic-settings-to-save-your-wafs-logs",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Adicione configurações de diagnóstico para salvar seus logs WAF do Gateway de Aplicativo do Azure.",
            "waf": "Operações"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "4cea4050-7946-4a7c-89e6-b021b73c352d",
            "id": "A01.47",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/afds/waf-front-door-best-practices#add-diagnostic-settings-to-save-your-wafs-logs",
            "service": "Front Door",
            "severity": "Média",
            "subcategory": "Porta da Frente",
            "text": "Adicione configurações de diagnóstico para salvar seus logs do WAF do Azure Front Door.",
            "waf": "Operações"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "92664c60-47e3-4591-8b1b-8d557656e686",
            "id": "A01.48",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/best-practices#send-logs-to-microsoft-sentinel",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Envie logs do WAF do Gateway de Aplicativo do Azure para o Microsoft Sentinel.",
            "waf": "Operações"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "845f5f91-9c21-4674-a725-5ce890850e20",
            "id": "A01.49",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/afds/waf-front-door-best-practices#send-logs-to-microsoft-sentinel",
            "service": "Front Door",
            "severity": "Média",
            "subcategory": "Porta da Frente",
            "text": "Envie logs do WAF do Azure Front Door para o Microsoft Sentinel.",
            "waf": "Operações"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "ba0e9b26-6e0d-4ec8-8541-023c00afd5b7",
            "id": "A01.50",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/best-practices#define-your-waf-configuration-as-code",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Defina sua configuração do WAF do Gateway de Aplicativo do Azure como código. Usando o código, você pode adotar mais facilmente a nova versão do conjunto de regras e obter proteção adicional.",
            "waf": "Operações"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "f17ec301-8470-4afd-aabc-c1fdfe47dcc0",
            "id": "A01.51",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/ag/policy-overview",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Use políticas de WAF em vez da configuração de WAF herdada.",
            "waf": "Operações"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "d4eb8667-f8cb-4cdd-94e6-2f967ba98f88",
            "id": "A01.52",
            "link": "https://learn.microsoft.com/azure/virtual-wan/scenario-secured-hub-app-gateway",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Filtre o tráfego de entrada nos back-ends para que eles só aceitem conexões da sub-rede do Application Gateway, por exemplo, com NSGs.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "7d3df025-59a3-447d-ac25-3f5750d35de1",
            "id": "A01.53",
            "link": "https://learn.microsoft.com/azure/frontdoor/origin-security?tabs=app-service-functions",
            "service": "Front Door",
            "severity": "Média",
            "subcategory": "Porta da Frente",
            "text": "Certifique-se de que suas origens recebam apenas o tráfego de sua instância do Azure Front Door.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "a66f0fd8-2ca4-422e-8df3-235148127ca2",
            "id": "A01.54",
            "link": "https://learn.microsoft.com/azure/application-gateway/ssl-overview",
            "service": "App Gateway",
            "severity": "Alto",
            "subcategory": "Gateway de aplicativo",
            "text": "Você deve criptografar o tráfego para os servidores de back-end.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "3dba65cb-834d-44d8-a3ca-a6aa2f1587be",
            "id": "A01.55",
            "link": "https://learn.microsoft.com/azure/web-application-firewall/overview",
            "service": "App Gateway",
            "severity": "Alto",
            "subcategory": "Gateway de aplicativo",
            "text": "Você deve usar um Web Application Firewall.",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "0158fcb6-0bc1-4687-832f-cc7c359c22d2",
            "id": "A01.56",
            "link": "https://learn.microsoft.com/azure/application-gateway/redirect-overview",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Redirecionar HTTP para HTTPS",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "bb697864-1b4c-43af-8667-90cc69aaed5f",
            "id": "A01.57",
            "link": "https://learn.microsoft.com/azure/application-gateway/how-application-gateway-works#modifications-to-the-request",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Usar cookies gerenciados por gateway para direcionar o tráfego de uma sessão de usuário para o mesmo servidor para processamento",
            "waf": "Operações"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "ff353ad8-15fb-4ae8-9fc5-a85a36d36a35",
            "id": "A01.58",
            "link": "https://learn.microsoft.com/azure/application-gateway/configuration-http-settings",
            "service": "App Gateway",
            "severity": "Alto",
            "subcategory": "Gateway de aplicativo",
            "text": "Habilite a drenagem de conexão durante as atualizações de serviço planejadas para evitar a perda de conexão com membrs existentes do pool de back-end",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "c8741f03-45a4-4183-a6b8-139e0773b8b5",
            "id": "A01.59",
            "link": "https://learn.microsoft.com/azure/application-gateway/custom-error",
            "service": "App Gateway",
            "severity": "Baixo",
            "subcategory": "Gateway de aplicativo",
            "text": "Criar páginas de erro personalizadas para exibir uma experiência de usuário personalizada",
            "waf": "Operações"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "f850d46f-f5d7-4b17-b48c-a780741402e1",
            "id": "A01.60",
            "link": "https://learn.microsoft.com/azure/application-gateway/rewrite-http-headers-url",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Edite solicitações HTTP e cabeçalhos de resposta para facilitar o roteamento e a troca de informações entre o cliente e o servidor",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "eadc3164-4a0f-461c-85f1-1a372c04dfd1",
            "id": "A01.61",
            "link": "https://learn.microsoft.com/azure/frontdoor/front-door-overview",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Configure o Front Door para otimizar o roteamento de tráfego global da Web e o desempenho do usuário final de nível superior e a confiabilidade por meio de failover global rápido",
            "waf": "Desempenho"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "29dcc19f-a8fa-4c35-8281-290577538793",
            "id": "A01.62",
            "link": "https://learn.microsoft.com/azure/load-balancer/load-balancer-overview",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Usar balanceamento de carga da camada de transporte",
            "waf": "Desempenho"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "276898c1-af5e-4819-9e8e-049c7801ab9d",
            "id": "A01.63",
            "link": "https://learn.microsoft.com/azure/application-gateway/multiple-site-overview",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Configurar o roteamento com base no host ou nome de domínio para vários aplicativos Web em um único gateway",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "5fe365b6-58e8-47ed-a8cf-5163850380a2",
            "id": "A01.64",
            "link": "https://learn.microsoft.com/azure/application-gateway/create-ssl-portal",
            "service": "App Gateway",
            "severity": "Média",
            "subcategory": "Gateway de aplicativo",
            "text": "Centralize o gerenciamento de certificados SSL para reduzir a sobrecarga de criptografia e descriptografia de um farm de servidores back-end",
            "waf": "Segurança"
        },
        {
            "category": "Topologia de rede e conectividade",
            "guid": "fa64b4dd-35c2-4047-ac5c-45dfbf8b0db9",
            "id": "A01.65",
            "link": "https://learn.microsoft.com/azure/application-gateway/application-gateway-websocket",
            "service": "App Gateway",
            "severity": "Baixo",
            "subcategory": "Gateway de aplicativo",
            "text": "Usar o Application Gateway para suporte nativo para protocolos WebSocket e HTTP/2",
            "waf": "Segurança"
        }
    ],
    "metadata": {
        "name": "Azure Application Delivery Networking",
        "state": "GA",
        "timestamp": "March 15, 2024",
        "waf": "all"
    },
    "severities": [
        {
            "name": "Alto"
        },
        {
            "name": "Média"
        },
        {
            "name": "Baixo"
        }
    ],
    "status": [
        {
            "description": "Esta verificação ainda não foi analisada",
            "name": "Não verificado"
        },
        {
            "description": "Há um item de ação associado a essa verificação",
            "name": "Abrir"
        },
        {
            "description": "Essa verificação foi verificada e não há outros itens de ação associados a ela",
            "name": "Cumprido"
        },
        {
            "description": "Recomendação compreendida, mas não necessária pelos requisitos atuais",
            "name": "Não é necessário"
        },
        {
            "description": "Não aplicável ao projeto atual",
            "name": "N/A"
        }
    ],
    "waf": [
        {
            "name": "Fiabilidade"
        },
        {
            "name": "Segurança"
        },
        {
            "name": "Custar"
        },
        {
            "name": "Operações"
        },
        {
            "name": "Desempenho"
        }
    ],
    "yesno": [
        {
            "name": "Sim"
        },
        {
            "name": "Não"
        }
    ]
}