Protección de la implementación de Azure Firewall

Azure Firewall es un servicio de seguridad de red administrado y basado en la nube que protege los recursos de Azure Virtual Network. Como firewall como servicio totalmente con estado, con alta disponibilidad integrada y escalabilidad ilimitada en la nube, Azure Firewall ofrece una aplicación centralizada de directivas para el tráfico que entra, sale y se desplaza por tus redes de Azure.

Este artículo ofrece recomendaciones de seguridad para Azure Firewall. La implementación de estas recomendaciones le ayuda a cumplir sus obligaciones de seguridad y mejora la posición de seguridad general de la implementación. Para una visión general de los servicios de seguridad de red de Azure y cómo funcionan juntos, consulta ¿Qué es la seguridad de red de Azure?

Las recomendaciones de seguridad de este artículo implementan principios de confianza cero: "Comprobar explícitamente", "Usar acceso con privilegios mínimos" y "Asumir vulneración de seguridad". Para obtener instrucciones de Confianza cero completas, consulte el Centro de instrucciones Confianza cero.

Seguridad de red

La seguridad de red para Azure Firewall se centra en el despliegue seguro, la inspección centralizada y los controles de directiva que reducen la exposición en redes de tipo hub-and-spoke e híbridas.

  • Implemente Azure Firewall en una subred dedicada: Use la AzureFirewallSubnet requerida con un tamaño mínimo de /26, no implemente otros recursos en la subred y mantenga las tablas de rutas de las cargas de trabajo en las subredes de carga de trabajo en lugar de en la subred del firewall, a menos que un diseño documentado de túnel forzado requiera rutas de la subred del firewall. Para más información, consulta las preguntas frecuentes sobre Azure Firewall.

  • Elige el SKU adecuado para Azure Firewall: Azure Firewall está disponible en tres SKUs: Básico para pequeñas y medianas empresas con un rendimiento de hasta 250 Mbps, Standard y Premium. Usa Premium cuando necesites funciones de seguridad avanzadas como IDPS, inspección TLS y filtrado de URL. Usa Standard o Premium cuando necesites categorías web, que no están disponibles en Basic. Para más información, consulte Elección de la SKU correcta de Azure Firewall para satisfacer sus necesidades.

  • Activar el filtrado basado en inteligencia de amenazas: Configurar el filtrado basado en inteligencia de amenazas para alertar sobre tráfico proveniente de direcciones IP maliciosas conocidas, FQDNs y URLs. Usa Standard o Premium cuando necesites modo alerta y denegación, porque Basic solo admite modo alerta. Para más información, consulta filtrado basado en inteligencia de amenazas de Azure Firewall y Elige el SKU de Azure Firewall adecuado para tus necesidades.

  • Implementa IDPS para la detección avanzada de amenazas: Utiliza el sistema de detección y prevención de intrusiones (IDPS) Premium de Azure Firewall para detectar y bloquear actividad maliciosa de red basada en firmas gestionadas por Microsoft. Ajusta las acciones de las firmas para reducir los falsos positivos y bloquear las amenazas de alta fiabilidad. Para más información, consulte Características de Azure Firewall Prémium.

  • Configurar la funcionalidad del proxy DNS: Habilitar el proxy DNS para que los clientes y Azure Firewall usen una resolución consistente de nombres para reglas basadas en FQDN. Esta configuración de DNS reduce el riesgo de omisión de reglas o de fallos de conexión causados por distintas respuestas de DNS. Para más información, consulte Detalles del proxy DNS de Azure Firewall.

  • Utiliza objetivos de reglas gestionadas para Azure y servicios Microsoft: Utiliza etiquetas de servicio en las reglas de red y etiquetas FQDN en las reglas de aplicación en lugar de mantener manualmente rangos de direcciones IP y listas de endpoints de servicio. Para protocolos TCP o UDP que requieren filtrado basado en dominio, se utiliza el filtrado FQDN en las reglas de red y se habilita el proxy DNS. Para más información, consulte Resumen de etiquetas de servicio de Azure Firewall, Resumen de etiquetas FQDN para Azure Firewall y Azure Firewall FQDN filtrado en reglas de red.

  • Utiliza el túnel forzado para entornos híbridos: Configura el túnel forzado cuando el tráfico hacia internet debe pasar por dispositivos de seguridad locales o rutas de inspección centralizadas. Activa la interfaz de red de gestión para que AzureFirewallManagementSubnet el tráfico de gestión del cortafuegos se mantenga separado del tráfico del cliente. Para más información, consulte Tunelización forzada de Azure Firewall.

  • Activar la inspección TLS para tráfico cifrado: Utiliza la inspección Azure Firewall Premium TLS para inspeccionar el tráfico cifrado saliente y este-oeste donde tu política de seguridad lo requiera. Almacena y gestiona los certificados necesarios en Azure Key Vault. Para más información, consulte Certificados de Azure Firewall Prémium.

  • Evalúe el proxy explícito para el egreso HTTP/S controlado: Use el proxy explícito (versión preliminar) de Azure Firewall cuando pueda configurar las aplicaciones para enviar tráfico HTTP/S saliente directamente a la dirección IP privada del firewall sin una ruta definida por el usuario. Utiliza reglas de aplicación para tráfico proxy explícito y utiliza un archivo de configuración automática (PAC) de proxy cuando necesites configuraciones de proxy de cliente gestionadas centralmente. Para más información, consulte Azure Firewall explicit proxy (vista previa).

  • Habilitar categorías web: Utiliza categorías web para controlar el acceso a categorías de sitios web, como redes sociales o apuestas, que no cumplan con tu política de uso aceptable. Las categorías web reducen la carga administrativa en comparación con mantener listas de permiso y denegación de FQDN individuales. Para más información, consulte Categorías web de Azure Firewall.

  • Planifica la capacidad SNAT para escalar en salida: Añade múltiples direcciones IP públicas o intégralo con Azure NAT Gateway cuando necesites más puertos SNAT para cargas de trabajo salientes de alto volumen. No use NAT Gateway con los firewalls de un concentrador virtual protegido. Usa NAT Gateway V2 cuando necesites SNAT con redundancia de zona con un firewall con redundancia de zona. Para más información, consulta Escalar puertos SNAT con Azure NAT Gateway e Integrar Azure Firewall con NAT Gateway V2.

Administración de identidades y acceso

La gestión de identidad y accesos para Azure Firewall controla quién puede administrar recursos del firewall, modificar la Política de Cortafuegos y automatizar las operaciones del plano de gestión.

  • Utiliza Microsoft Entra ID para el acceso al plano de gestión: Requiere que los administradores y las identidades de automatización se autentiquen a través de Microsoft Entra ID cuando gestionan Azure Firewall a través del portal de Azure, Azure Resource Manager, CLI de Azure, o PowerShell. Para más información, consulta Sobre roles y permisos para Azure Firewall.

  • Asignar roles de Azure RBAC con privilegios mínimos: Limite el ámbito de los roles integrados, como Network Contributor, al firewall, la directiva de firewall, el grupo de recursos o el grupo de administración específicos que los administradores necesiten administrar. Evita asignaciones amplias de Propietario o Colaborador cuando los permisos solo de red son suficientes. Para más información, consulte Sobre los roles y permisos de Azure Firewall.

  • Crear roles personalizados para el acceso solo con políticas de cortafuegos: Utiliza roles RBAC personalizados de Azure cuando los administradores necesiten editar la Política de Cortafuegos pero no deben gestionar redes virtuales, direcciones IP públicas, tablas de rutas u otros recursos de red. Para más información, consulte Roles personalizados de Azure.

  • Utiliza la administración de identidades privilegiadas para la elevación de privilegios: configura los roles de alto impacto como elegibles en lugar de mantenerlos activos de forma permanente. Exigir aprobación, justificación, autenticación multifactor y activación por tiempo limitado para la activación de roles que concedan acceso de escritura a Azure Firewall, Firewall Policy, direcciones IP públicas y recursos de redes virtuales, como Network Contributor y cualquier rol personalizado de administrador de firewall. Para más información, consulta la integración de Privileged Identity Management con Azure RBAC.

  • Exigir acceso condicional para sesiones de administración: Aplicar políticas de acceso condicional que requieran autenticación multifactor y dispositivos compatibles para identidades que puedan crear, modificar o eliminar instancias de Azure Firewall, políticas de firewall, direcciones IP públicas, tablas de rutas y las redes virtuales de centro de las que depende el firewall. Para más información, consulte Requerir MFA para la gestión de Azure.

  • Limite los permisos de las entidades de servicio para la automatización: Asigne a las identidades de automatización solo los permisos necesarios para implementar, exportar o actualizar los recursos y las directivas del firewall, y limite el alcance de esas asignaciones al máximo. Prefiere identidades gestionadas cuando sea compatible con tu plataforma de automatización. Para más información, consulta Sobre roles y permisos para Azure Firewall.

  • Tareas separadas entre niveles de administrador: Diseña un modelo de administrador por niveles donde los equipos DevOps puedan solicitar o desplegar cambios en la aplicación pero no puedan modificar directamente la política de seguridad compartida, y los administradores de seguridad aprueben o gestionen la Política de Cortafuegos. Utiliza asignaciones de roles, roles personalizados y canalizaciones de implementación para aplicar la separación de funciones. Para más información, consulta Sobre roles y permisos para Azure Firewall.

Protección de los datos

La protección de datos para Azure Firewall se centra en proteger el tráfico inspeccionado, los datos de configuración, los certificados y los registros que pueden contener información sensible de red.

  • Implementar la inspección TLS con una gestión adecuada de certificados: Almacenar el certificado intermedio de la CA de inspección TLS en Azure Key Vault y conceder a la identidad gestionada por el firewall solo los permisos secretos requeridos. Utiliza el modelo de política de acceso de Key Vault para esta integración, porque Azure Firewall no soporta la autorización Azure RBAC para recuperar certificados de inspección TLS. Para más información, consulte Certificados de Azure Firewall Prémium.

  • Restringir el acceso a protocolos cifrados: Configurar reglas de cortafuegos para permitir protocolos cifrados (como HTTPS) y bloquear o restringir puertos en texto plano donde los requisitos empresariales lo permitan. Combinar la colección de reglas con prioridades y el orden de procesamiento ayuda a hacer cumplir estas decisiones de forma predecible. Para obtener más información, consulte la lógica de procesamiento de reglas de Azure Firewall.

  • Utiliza filtrado de URL para un control detallado: Aplica filtrado de URL para controlar URLs completas en lugar de solo FQDN cuando necesites decisiones precisas de permitir o denegar el tráfico web. Este filtrado ayuda a bloquear rutas maliciosas alojadas en dominios que de otro modo serían legítimos. Para más información, consulte Características de Azure Firewall Prémium.

  • Restringir el acceso a datos diagnósticos: Tratar los registros de Azure Firewall como sensibles porque pueden contener direcciones IP de origen y destino, URLs, puertos y decisiones de reglas. Utiliza RBAC en los espacios de trabajo de Log Analytics, cuentas de almacenamiento y hubs de eventos que reciben diagnósticos de cortafuegos. Para más información, consulte Supervisión de métricas y registros de Azure Firewall.

Registro y supervisión

El registro y monitorización de Azure Firewall proporcionan visibilidad sobre los flujos de tráfico, decisiones de políticas, amenazas, rendimiento y cambios de configuración para investigación y respuesta.

  • Activar el registro diagnóstico de Azure Firewall: Configura la configuración de diagnóstico para enviar los registros y métricas de Azure Firewall a un espacio de trabajo, cuenta de almacenamiento o hub de eventos de Log Analytics. Captura registros de reglas de red, reglas de aplicación, reglas NAT, inteligencia sobre amenazas, IDPS, proxy DNS, fallos en la resolución de FQDN internos, flujos principales y trazas de flujo, según sea adecuado para tu implementación. Para más información, consulte Supervisión de métricas y registros de Azure Firewall.

  • Utiliza logs estructurados específicos de recursos: Envía los logs de Azure Firewall a tablas de Log Analytics específicas de recursos como AZFWApplicationRule, AZFWNetworkRule, AZFWNatRule, AZFWThreatIntel, AZFWIdpsSignature, , y AZFWDnsQuery en lugar de depender solo de la tabla heredadaAzureDiagnostics. Las tablas específicas de recursos mejoran el rendimiento de las consultas, el descubrimiento de esquemas y el control de acceso a nivel de tabla. Para más información, consulte Supervisión de métricas y registros de Azure Firewall.

  • Integra con Microsoft Sentinel para la detección de amenazas: Conecta los registros de Azure Firewall a Microsoft Sentinel para que los equipos de operaciones de seguridad puedan correlacionar los eventos del firewall con las señales de identidad, punto final y carga de trabajo. Utiliza reglas analíticas y libros de trabajo para detectar malware y patrones de tráfico sospechosos. Para más información, consulte Detección de malware con Azure Firewall y Microsoft Sentinel.

  • Utiliza Security Copilot para las investigaciones de IDPS: cuando tu organización utilice Microsoft Security Copilot, habilita la integración con Azure Firewall para investigar las detecciones de IDPS en todos los firewall mediante el uso de registros estructurados de IDPS en Log Analytics y los permisos RBAC adecuados. Para más información, consulta la integración de Azure Firewall en Microsoft Security Copilot.

  • Monitorizar alertas de inteligencia de amenazas: Crear alertas y procesos operativos para los resultados de inteligencia de amenazas, de modo que los analistas puedan investigar rápidamente el tráfico hacia o desde fuentes maliciosas conocidas. Utiliza la automatización para indicadores de alta confianza cuando las acciones de respuesta están bien probadas. Para más información, consulte Filtrado basado en inteligencia sobre amenazas de Azure Firewall.

  • Configura la monitorización y alertas del rendimiento: Monitoriza el rendimiento, la latencia, la salud del firewall, la utilización de los puertos SNAT y el número de golpes de reglas usando Azure Monitor. Alerta sobre los umbrales de capacidad o disponibilidad antes de que los usuarios sufran interrupciones en la aplicación. Para más información, consulte Procedimientos recomendados para el rendimiento de Azure Firewall.

  • Supervisar el estado de los recursos para la disponibilidad del firewall: Use Azure Resource Health con las métricas de Azure Firewall para que los equipos de operaciones puedan detectar la degradación de la plataforma, investigar eventos del estado del servicio y recibir notificaciones cuando la disponibilidad del firewall se vea afectada. Para más información, consulte Monitorizar el estado del cortafuegos con Resource Health.

  • Revisa la analítica de políticas y los cambios de reglas: Utiliza la analítica de políticas para identificar reglas no utilizadas y reglas demasiado amplias. Utiliza el seguimiento de cambios en el conjunto de reglas para detectar cambios inesperados en la configuración. Las revisiones periódicas reducen la proliferación de normas y mejoran la eficacia de las políticas. Para más información, consulta Azure Firewall Policy Analytics y Seguimiento de cambios en el conjunto de reglas de Azure Firewall.

  • Utiliza Azure Firewall Workbook para análisis: Despliega y revisa paneles de Azure Firewall Workbook para analizar eventos, reglas, amenazas y tendencias a través de múltiples cortafuegos desde una única experiencia de portal Azure. Para más información, consulte Azure Firewall Workbook.

  • Establece la retención de registros para investigaciones y cumplimiento: Configura periodos de retención basados en la respuesta a incidentes, auditorías y necesidades regulatorias. Almacenar archivos a largo plazo en almacenamiento protegido cuando los espacios de trabajo operativos requieren una retención más corta. Para más información, consulte Supervisión de métricas y registros de Azure Firewall.

Cumplimiento y gobernanza

El cumplimiento y la gobernanza de Azure Firewall te ayudan a mantener políticas coherentes, inventario y bases de seguridad entre suscripciones, regiones y arquitecturas de red.

  • Utiliza Azure Policy para la aplicación de configuraciones: Asigna definiciones integradas y personalizadas de Azure Policy para auditar o hacer cumplir requisitos como inteligencia de amenazas, ajustes de diagnóstico y SKUs permitidos. Para más información, consulte Uso de Azure Policy para ayudar a proteger las implementaciones de Azure Firewall.

  • Mantenga el inventario de recursos con Azure Resource Graph: consulte los recursos de Azure Firewall, Azure Firewall Policy, IP pública, tabla de rutas y configuración de diagnóstico en todas las suscripciones para identificar brechas de cobertura y la deriva de configuración. Utiliza consultas guardadas o paneles para revisiones recurrentes. Para obtener más información, consulte Azure Resource Graph información general.

  • Aplica etiquetas consistentes a los recursos del firewall: Utiliza etiquetas para la propiedad, el entorno, el centro de costes, la clasificación de datos y la criticidad para que los equipos puedan gobernar los recursos del firewall y las políticas relacionadas de forma consistente. Aplica las etiquetas obligatorias con Azure Policy. Para más información, consulte Use Azure Policy para aplicar reglas y convenciones de etiquetado.

  • Centraliza la política con Azure Firewall Manager: Utiliza Azure Firewall Manager para gestionar políticas de firewall entre hubs virtuales seguros y redes virtuales de hub desde un plano de control centralizado. Esta gestión centralizada ayuda a reducir reglas inconsistentes entre suscripciones y regiones. Para más información, consulta ¿Qué es Azure Firewall Manager?

  • Utilice la jerarquía y la herencia de directivas para la arquitectura hub-and-spoke: Estructure las directivas de firewall principales y secundarias de modo que los requisitos de seguridad globales se hereden en las directivas regionales o específicas de la aplicación, al tiempo que se permiten excepciones locales controladas. Este modelo permite una gobernanza coherente en grandes implementaciones de tipo hub-and-spoke. Para más información, consulte la visión general de políticas de Azure Firewall Manager.

  • Asociar DDoS Protection con redes virtuales hub seguras: Utilice Azure Firewall Manager para asociar planes de DDoS Protection de Azure con redes virtuales hub que contengan Azure Firewall. La protección contra DDoS no admite concentradores de WAN virtual, por lo que debe utilizar la asociación para diseños de concentradores de red virtual. Para más información, consulte Configurar el Plan de Protección DDoS de Azure usando Azure Firewall Manager.

  • Revisa las certificaciones de cumplimiento: Revisa el alcance de auditoría de Azure Firewall en relación con tus requisitos regulatorios y estándares organizativos. Utiliza la lista autorizada de ofertas de cumplimiento para evaluar si Azure Firewall está dentro del alcance de una auditoría requerida. Para más información, consulte certificaciones de Azure Firewall.

  • Estandariza el despliegue mediante infraestructura como código: Despliega Azure Firewall y la Política de Firewall utilizando Bicep, plantillas ARM, Terraform o pipelines aprobados para que los equipos revisen los cambios de forma consistente y mantengan los despliegues repetibles y auditables. Para más información, consulta el despliegue de Bicep para Azure Firewall.

Copia de seguridad y recuperación

La copia de seguridad y recuperación de Azure Firewall se centra en preservar la Política de Firewall como fuente de verdad y en diseñar despliegues resilientes que los equipos puedan restaurar o hacer failover durante las interrupciones.

  • Gestionar la Política de Cortafuegos como infraestructura como código: Definir y versionar la Política de Cortafuegos en Bicep, plantillas ARM o Terraform almacenadas en un repositorio controlado por código fuente. Trata ese repositorio como la fuente de la verdad. Utiliza la exportación de políticas como un bootstrap o una instantánea puntual en el tiempo, no como la fuente continua de la verdad. Para más información, consulta Exportar plantilla en el portal de Azure.

  • Deja que Azure gestione la redundancia de zonas del firewall: Para nuevos despliegues, omite las zonas explícitas del firewall y elige una región donde la redundancia de zonas esté disponible por defecto. Azure gestiona la asignación de zonas de backend para mejorar la resiliencia ante fallos de zona. Los firewalls existentes elegibles, incluidos los de zona única, se migran automáticamente; no los desasignes ni los vuelvas a implementar solo para obtener redundancia. Para ejemplos de cobertura y despliegue, véase Desplegar Azure Firewall con zonas de disponibilidad.

  • Planifica el despliegue de firewalls multirregión para la recuperación ante desastres: Despliega Azure Firewall y políticas alineadas en regiones emparejadas o estratégicamente seleccionadas para cargas de trabajo que requieran recuperación regional ante desastres. Asegúrate de poder recrear tablas de rutas, IPs públicas, diagnósticos y asignaciones de políticas en la región secundaria. Para obtener más información, consulte Utilizar Azure Firewall para enrutar una topología de tipo hub-and-spoke a través de varios concentradores.

  • Utiliza la jerarquía de políticas de cortafuegos principal y secundarias para la recuperación: Mantén las reglas globales en las políticas principales y las reglas regionales o de las cargas de trabajo en las políticas secundarias para que los entornos recuperados hereden de forma coherente los controles requeridos. Esta estructura de políticas reduce la reconstrucción manual de reglas durante la recuperación. Para más información, consulta Azure Firewall Manager jerarquía de reglas.

  • Prueba los procedimientos de conmutación por error regularmente: Valida que el enrutamiento, el DNS, el balanceo de carga, la monitorización y las reglas de seguridad funcionan cuando el tráfico se traslada a un hub o región secundaria. Incluir equipos de operaciones de seguridad en los simulacros para que los procesos de alerta y respuesta a incidentes continúen durante la conmutación por error. Para más información, consulte las mejores prácticas de Azure Firewall.

  • Planifique la capacidad en función del comportamiento del escalado automático: Las implementaciones Standard y Premium de Azure Firewall se amplían automáticamente, pero la ampliación puede tardar varios minutos después de que aumente el tráfico. Monitoriza el rendimiento y planifica el tráfico de conmutación por error para que los eventos de recuperación no superen la capacidad disponible durante la ventana de escalamiento. Para obtener más información, consulte el rendimiento de Azure Firewall.

Pasos siguientes

  • Se actualizó por última vez el