Implementierungshandbuch für Azure Firewall Premium-Features

PCI-Zertifizierungslogo

Azure Firewall Premium bietet erweiterten Bedrohungsschutz, der für hochgradig sensible und regulierte Umgebungen wie Zahlungs- und Gesundheitsbranche geeignet ist.

Dieses Handbuch enthält ausführliche Implementierungsinformationen für Azure Firewall Premium-Features. Einen allgemeinen Vergleich aller Azure Firewall-Features in SKUs finden Sie unter Azure Firewall-Features von SKU.

Organisationen können Premium-SKU-Features wie IDPS und TLS-Inspektion nutzen, um zu verhindern, dass Schadsoftware und Viren über Netzwerke verteilt werden. Um die gestiegenen Leistungsanforderungen dieser Features zu erfüllen, verwendet Azure Firewall Premium eine leistungsfähigere SKU für virtuelle Computer. Ähnlich wie die Standard-SKU kann die Premium-SKU bis zu 100 Gbps skalieren. Für neue Deployments sollten explizite Firewall-Zonen weggelassen werden; Azure verwaltet zonenredundante Backend-Allokation in ZR-kompatiblen Regionen. Für Verfügbarkeitsverpflichtungen siehe Azure Firewall Service Level Agreements. Die Premium-SKU entspricht den Pci DSS-Anforderungen (Payment Card Industry Data Security Standard).

Azure Firewall Premium: Übersichtsdiagramm

Azure Firewall Premium umfasst die folgenden erweiterten Features:

  • TLS-Inspektion: Entschlüsselt ausgehenden Datenverkehr, verarbeitet ihn, verschlüsselt ihn dann erneut und sendet ihn an das Ziel.
  • IDPS: Überwacht Netzwerkaktivitäten auf böswillige Aktivitäten, protokolliert Informationen, meldet sie und blockiert sie optional.
  • URL-Filterung: Erweitert die FQDN-Filterung, um die gesamte URL einschließlich aller zusätzlichen Pfade zu berücksichtigen.
  • Webkategorien: Ermöglicht oder verweigert den Benutzerzugriff auf Websitekategorien wie Glücksspiele oder soziale Medien.

Einen vollständigen Funktionsvergleich für alle Azure Firewall-SKUs finden Sie unter Azure Firewall-Features von SKU.

TLS-Überprüfung

Das TLS-Protokoll (Transport Layer Security) bietet Kryptografie für Datenschutz, Integrität und Authentizität mithilfe von Zertifikaten zwischen kommunizierenden Anwendungen. Es verschlüsselt HTTP-Datenverkehr, der illegale Benutzeraktivitäten und böswilligen Datenverkehr ausblenden kann.

Ohne TLS-Inspektion kann die Azure Firewall die Daten im verschlüsselten TLS-Tunnel nicht sehen, was die Schutzfunktionen einschränkt. Azure Firewall Premium beendet und überprüft jedoch TLS-Verbindungen, um schädliche Aktivitäten in HTTPS zu erkennen, Warnmeldungen auszugeben und zu mindern. Es erstellt zwei TLS-Verbindungen: eine mit dem Webserver und eine andere mit dem Client. Mithilfe eines vom Kunden bereitgestellten Zertifizierungsstellenzertifikats wird ein On-the-fly-Zertifikat generiert, um das Webserverzertifikat zu ersetzen und es dem Client bereitzustellen, um die TLS-Verbindung herzustellen.

Azure Firewall ohne TLS-Inspektion:

End-to-End-TLS für Azure Firewall Standard

Azure Firewall mit TLS-Inspektion:

TLS mit Azure Firewall Premium

Die folgenden Anwendungsfälle werden mit Azure Firewall unterstützt:

  • Ausgehende TLS-Inspektion: Schützt vor böswilligem Datenverkehr, der von einem in Azure gehosteten internen Client an das Internet gesendet wird.
  • East-West TLS-Inspektion: Schützt Azure-Workloads vor potenziellem schädlichem Datenverkehr, der in Azure gesendet wird, einschließlich Datenverkehr zu/von einem lokalen Rechenzentrumsnetzwerk.

Der folgende Anwendungsfall wird von Azure Web Application Firewall für Azure Application Gateway unterstützt:

  • Eingangs-TLS-Inspektion: Schützt interne Server oder Anwendungen, die in Azure gehostet werden, vor böswilligen Anfragen, die aus dem Internet oder einem externen Netzwerk eingehen. Application Gateway bietet End-to-End-Verschlüsselung.

Informationen hierzu finden Sie unter:

Tipp

TLS 1.0 und 1.1 sind veraltet und werden nicht mehr unterstützt. Diese Versionen wurden als anfällig erkannt. Obwohl sie weiterhin aus Gründen der Abwärtskompatibilität funktionieren, werden sie nicht empfohlen. Migrieren Sie so schnell wie möglich zu TLS 1.2.

Weitere Informationen zu den Anforderungen für das Zertifikat der Zwischen-CA für Azure Firewall Premium finden Sie unter Zertifikate von Azure Firewall Premium.

Weitere Informationen zur TLS-Überprüfung finden Sie unter Building a POC for TLS inspection in Azure Firewall (Erstellen eines POC für die TLS-Überprüfung in Azure Firewall).

IDPS

Ein Netzwerkangriffserkennungs- und -präventionssystem (IDPS) überwacht Ihr Netzwerk auf böswillige Aktivitäten, protokolliert Informationen, meldet sie und blockiert sie optional.

Azure Firewall Premium bietet signaturbasierte IDPS, um Angriffe schnell zu erkennen, indem bestimmte Muster identifiziert werden, z. B. Bytesequenzen im Netzwerkdatenverkehr oder bekannte schädliche Anweisungssequenzen, die von Schadsoftware verwendet werden. Diese IDPS-Signaturen gelten sowohl für Datenverkehr auf Anwendungsebene als auch für Datenverkehr auf Netzwerkebene (Layer 3 bis 7). Sie werden vollständig verwaltet und kontinuierlich aktualisiert. IDPS können für eingehenden, Spoke-to-Spoke- (East-West) und ausgehenden Datenverkehr eingesetzt werden, einschließlich des Datenverkehrs zu/von einem On-Premises-Netzwerk. Sie können Ihre IDPS-privaten IP-Adressbereiche mithilfe des Features Private IP-Adressbereiche konfigurieren. Weitere Informationen finden Sie unter Private IP-Bereiche von IDPS.

Die Signaturen/Regelsätze in Azure Firewall umfassen Folgendes:

  • Konzentrieren Sie sich auf die Identifizierung tatsächlicher Schadsoftware, Command-and-Control, Exploit-Kits und bösartiger Aktivitäten, die mit herkömmlichen Methoden nicht erkannt werden.
  • Mehr als 67.000 Regeln in mehr als 50 Kategorien, einschließlich Malware-Command-and-Control, Phishing, Trojaner, Botnets, Informationsereignisse, Exploits, Sicherheitslücken, SCADA-Netzwerkprotokolle und Exploit-Kit-Aktivitäten.
  • Täglich werden 20 bis 40 neue Regeln veröffentlicht.
  • Niedrige Falsch-Positiv-Rate mit erweiterten Techniken zur Schadsoftwareerkennung wie globaler Sensornetzwerk-Feedbackschleife.

IDPS erkennt Angriffe in nicht verschlüsseltem Datenverkehr auf allen Ports und Protokollen. Bei der HTTPS-Datenverkehrsüberprüfung kann Azure Firewall seine TLS-Inspektionsfunktion verwenden, um den Datenverkehr zu entschlüsseln und schädliche Aktivitäten besser zu erkennen.

Hinweis

Anleitungen zum Überschreiben von Signaturmodi sowie wichtige Einschränkungen, um stille Verwerfungen zu vermeiden, finden Sie unter Verhalten und Einschränkungen beim Überschreiben.

Mit der IDPS-Umgehungsliste können Sie bestimmte IP-Adressen, Bereiche und Subnetze von der Filterung ausschließen. Beachten Sie, dass die Umgehungsliste nicht zur Verbesserung der Durchsatzleistung gedacht ist, da die Leistung der Firewall weiterhin von Ihrem Anwendungsfall abhängt. Weitere Informationen finden Sie unter Azure Firewall-Leistung.

Private IP-Adressbereiche für IDPS

In Azure Firewall Premium IDPS werden private IP-Adressbereiche verwendet, um zu ermitteln, ob Datenverkehr eingehend, ausgehend oder intern (East-West) ist. Jede Signatur wird auf bestimmte Verkehrsrichtungen angewendet, wie in der Signaturregeltabelle angegeben. Standardmäßig werden nur die durch IANA RFC 1918 definierten Bereiche als private IP-Adressen betrachtet. Der Datenverkehr zwischen privaten IP-Adressbereichen wird als intern betrachtet. Sie können private IP-Adressbereiche nach Bedarf ganz einfach bearbeiten, entfernen oder hinzufügen.

IDPS-Signaturregeln

IDPS-Signaturregeln ermöglichen es Ihnen:

  • Passen Sie Signaturen an, indem Sie ihren Modus in Deaktiviert, Warnung oder Warnung und Verweigern ändern. Sie können bis zu 10.000 IDPS-Regeln anpassen.
    • Wenn beispielsweise eine legitime Anforderung aufgrund einer fehlerhaften Signatur blockiert wird, können Sie diese Signatur mithilfe ihrer ID aus den Netzwerkregelnprotokollen deaktivieren, um das falsch positive Problem zu beheben.
  • Optimieren Sie Signaturen, die übermäßige Warnungen mit niedriger Priorität generieren, um die Sichtbarkeit von Warnungen mit hoher Priorität zu verbessern.
  • Alle 67.000 Signaturen anzeigen.
  • Verwenden Sie die intelligente Suche, um Signaturen nach Attributen zu finden, z. B. CVE-ID.

IDPS-Signaturregeln haben die folgenden Eigenschaften:

Spalte BESCHREIBUNG
Signatur-ID Interne ID für jede Signatur, die auch in Azure Firewall Network Rules Logs angezeigt wird.
Mode Gibt an, ob die Signatur aktiv ist und ob die Firewall bei übereinstimmendem Datenverkehr verwirft oder Warnungen ausgibt. Modi:
- Deaktiviert: Die Signatur ist deaktiviert.
- Warnung: Warnungen zu verdächtigem Datenverkehr.
- Warnen und blockieren: Warnt und blockiert verdächtigen Datenverkehr. Einige Signaturen sind standardmäßig „Nur warnen“, können aber auf „Warnen und ablehnen“ angepasst werden.

Der Signaturmodus wird durch Folgendes bestimmt:
1. Richtlinienmodus – Abgeleitet vom IDPS-Modus der Richtlinie.
2. Übergeordnete Richtlinie – Abgeleitet vom IDPS-Modus der übergeordneten Richtlinie.
3. Übersteuert – Vom Benutzer angepasst.
4. System – Auf "Nur warnungen" durch das System aufgrund seiner Kategorie festgelegt, kann jedoch außer Kraft gesetzt werden.

IDPS-Warnungen sind im Portal über eine Netzwerkregelprotokollabfrage verfügbar.
Schweregrad Gibt die Wahrscheinlichkeit an, dass die Signatur ein tatsächlicher Angriff ist:
- Niedrig (Priorität 3): Niedrige Wahrscheinlichkeit, Informationsereignisse.
- Mittel (Priorität 2): Verdächtig, erfordert eine Untersuchung.
- Hoch (Priorität 1): Schwerer Angriff, hohe Wahrscheinlichkeit.
Richtung Verkehrsrichtung, für die die Kennung angewendet wird:
- Eingehend: Vom Internet zu Ihrem privaten IP-Bereich.
- Ausgehend: Von Ihrem privaten IP-Bereich zum Internet.
- Intern: Innerhalb Ihres privaten IP-Bereichs.
- Intern/eingehend: Von Ihrem privaten IP-Bereich oder aus dem Internet zu Ihrem privaten IP-Bereich.
- Intern/ausgehend: Von Ihrem privaten IP-Bereich zu Ihrem privaten IP-Bereich oder dem Internet.
- Any: Auf jede Verkehrsrichtung angewendet.
Group Der Gruppenname, zu dem die Signatur gehört.
BESCHREIBUNG Enthält:
- Kategoriename: Die Kategorie der Signatur.
- Überblicksbeschreibung.
- CVE-ID (optional): Zugeordnete CVE.
Protokoll Das Protokoll, das der Signatur zugeordnet ist.
Quell-/Zielports Die Ports, die der Signatur zugeordnet sind.
Letzte Aktualisierung Das Datum, an dem die Signatur zuletzt eingeführt oder geändert wurde.

Weitere Informationen zu IDPS finden Sie unter Azure Firewall IDPS testen.

URL-Filterung

Die URL-Filterung erweitert die FQDN-Filterfunktion der Azure Firewall, um die gesamte URL zu berücksichtigen, z www.contoso.com/a/c . B. statt nur www.contoso.com.

Die URL-Filterung kann sowohl auf HTTP- als auch auf HTTPS-Datenverkehr angewendet werden. Bei der Überprüfung von HTTPS-Datenverkehr verwendet Azure Firewall Premium seine TLS-Inspektionsfunktion, um den Datenverkehr zu entschlüsseln, die Ziel-URL zu extrahieren und zu überprüfen, ob der Zugriff zulässig ist. DIE TLS-Inspektion muss auf Anwendungsregelebene aktiviert werden. Nach der Aktivierung können URLs zum Filtern von HTTPS-Datenverkehr verwendet werden.

Webkategorien

Webkategorien ermöglichen Administratoren das Zulassen oder Verweigern des Benutzerzugriffs auf bestimmte Kategorien von Websites, z. B. Glücksspiel oder soziale Medien. Obwohl dieses Feature sowohl in Azure Firewall Standard als auch in Premium verfügbar ist, bietet die Premium-SKU eine differenziertere Kontrolle, indem Kategorien basierend auf der gesamten URL sowohl für HTTP- als auch für HTTPS-Datenverkehr abgeglichen werden können.

Azure Firewall Premium-Webkategorien sind nur in Firewallrichtlinien verfügbar. Stellen Sie sicher, dass ihre Richtlinien-SKU ihrer Firewallinstanz-SKU entspricht. Eine Firewall Premium-Instanz erfordert beispielsweise eine Firewall Premium-Richtlinie.

Wenn Azure Firewall z. B. eine HTTPS-Anforderung für www.google.com/news abfängt:

  • Firewall Standard untersucht nur den FQDN, kategorisiert www.google.com als Suchmaschine.
  • Firewall Premium untersucht die vollständige URL und kategorisiert www.google.com/news als News.

Kategorien werden nach Schweregrad unter Haftung, Hohe Bandbreite, Geschäftliche Nutzung, Produktivitätsverlust, Allgemeines Surfen und Nicht kategorisiert organisiert. Ausführliche Beschreibungen finden Sie in den Azure Firewall-Webkategorien.

Protokollierung von Webkategorie

Datenverkehr, der nach Webkategorien gefiltert wird, wird in den Anwendungsprotokollen protokolliert. Das Feld Webkategorien wird nur angezeigt, wenn es in den Anwendungsregeln der Firewallrichtlinie explizit konfiguriert ist. Wenn z. B. keine Regel Suchmaschinen explizit verweigert und ein Benutzer www.bing.com anfordert, wird nur eine Standardverweigerungsmeldung angezeigt.

Kategorieausnahmen

Sie können Ausnahmen für Webkategorieregeln erstellen, indem Sie separate Berechtigungs- oder Ablehnungsregelsammlungen mit höherer Priorität konfigurieren. Lassen Sie www.linkedin.com beispielsweise mit Priorität 100 zu und verweigern Sie soziale Netzwerke mit Priorität 200, um eine Ausnahme für die Kategorie "Soziale Netzwerke " zu erstellen.

Identifizieren Sie die Kategorie eines FQDN oder einer URL mithilfe des Features " Webkategorieüberprüfung " unter den Firewallrichtlinieneinstellungen. Dadurch können Anwendungsregeln für den Zieldatenverkehr definiert werden.

Wichtig

Um das Feature " Webkategorieüberprüfung " zu verwenden, muss der Benutzer über Microsoft.Network/azureWebCategories/*-Zugriff auf Abonnementebene verfügen.

Kategorieänderung

Unter der Registerkarte „Webkategorien“ in den Firewallrichtlinieneinstellungen können Sie eine Kategorieänderung anfordern, wenn Sie glauben, dass ein FQDN oder eine URL in eine andere Kategorie gehören sollte, oder einen Vorschlag für ein nicht kategorisiertes FQDN oder eine nicht kategorisierte URL machen. Nachdem Sie einen Kategorieänderungsbericht übermittelt haben, erhalten Sie ein Token, um den Anforderungsstatus nachzuverfolgen.

Berichtsdialog für Firewall-Kategorien

Webkategorien, die die TLS-Terminierung nicht unterstützen

Bestimmte Webdaten, z. B. Gesundheitsdaten von Mitarbeitern, können aufgrund von Datenschutz- und Compliance-Gründen nicht mithilfe von TLS-Beendigung entschlüsselt werden. Die folgenden Webkategorien unterstützen keine TLS-Beendigung:

  • Bildung
  • Finance
  • Regierung
  • Gesundheit und Medizin

Um die TLS-Beendigung für bestimmte URLs zu unterstützen, fügen Sie sie manuell zu Anwendungsregeln hinzu. Fügen Sie www.princeton.edu beispielsweise hinzu, um diese Website zuzulassen.

Unterstützte Regionen

Eine Liste der Regionen, in denen azure Firewall verfügbar ist, finden Sie unter Azure-Produkte, die nach Region verfügbar sind.

Nächste Schritte

  • Zuletzt aktualisiert um