Protección de la implementación de Azure Network Watcher

Azure Network Watcher proporciona herramientas de supervisión, diagnóstico y registro de tráfico para Azure recursos de IaaS. Permite capturar paquetes, analizar registros de flujo, diagnosticar problemas de conectividad e inspeccionar las reglas del grupo de seguridad de red. Dado que Network Watcher tiene una amplia visibilidad del tráfico de red y la configuración, proteger su implementación, sus salidas de datos y las identidades a las que accede es fundamental. En este artículo se proporcionan recomendaciones de seguridad para Azure Network Watcher.

Para obtener información general sobre los servicios de seguridad de red de Azure y cómo funcionan conjuntamente, consulte ¿Qué es Azure seguridad de red?.

Las recomendaciones de seguridad de este artículo implementan principios de confianza cero: "Comprobar explícitamente", "Usar acceso con privilegios mínimos" y "Asumir vulneración de seguridad". Para obtener instrucciones de Confianza cero completas, consulte el Centro de instrucciones Confianza cero.

Seguridad específica del servicio

La mayoría de las herramientas de Network Watcher son solo de observación, pero funciones como la captura de paquetes instalan y usan AzureNetworkWatcherExtension en las máquinas virtuales de destino y requieren permisos de cómputo y de extensión. Dado que Network Watcher recopila datos confidenciales( incluidas las cargas de paquetes, los registros de flujo y la información de topología), trate Network Watcher y sus almacenes de datos como componentes confidenciales de seguridad:

  • Restringir qué regiones tienen Network Watcher habilitado: Network Watcher se habilita automáticamente en cada región donde tenga recursos de red virtual. Si no necesita diagnósticos en una región determinada, deshabilite Network Watcher para reducir la superficie expuesta a ataques, pero planee cuidadosamente: al eliminar una instancia de Network Watcher regional se eliminan todas las operaciones en ejecución Network Watcher, los datos históricos y las alertas sin opción para revertir. Para obtener más información, consulte Habilitar o deshabilitar Azure Network Watcher.

  • Tratar las cuentas de almacenamiento del registro de flujo como sensibles a la seguridad: los registros de flujo y las capturas de paquetes contienen datos detallados del tráfico de red. Restrinja el acceso a las cuentas de almacenamiento que contienen estos datos con el mismo rigor que aplique a otros almacenes de datos confidenciales de seguridad. Para más información, consulte Configuración de firewalls y redes virtuales de Azure Storage.

  • Comprender el ámbito de Network Watcher: Network Watcher tiene como ámbito cada suscripción y cada región. Cada suscripción puede tener una instancia de Network Watcher por región. Planee los controles de identidad y acceso en consecuencia al operar entre varias suscripciones. Para obtener más información, vea ¿Qué es Azure Network Watcher?.

Seguridad de red

Network Watcher es principalmente una herramienta para analizar la seguridad de red. Las siguientes recomendaciones se centran en proteger las rutas de acceso de red y los recursos de almacenamiento de los que depende Network Watcher. Para obtener recomendaciones sobre cómo proteger las propias redes virtuales, consulte Proteja la implementación de Azure Virtual Network.

  • Use registros de flujo de red virtual en lugar de registros de flujo de NSG: los registros de flujo de NSG se retirarán el 30 de septiembre de 2027 y no se pueden crear registros de flujo de NSG nuevos después del 30 de junio de 2025. Migre las implementaciones existentes a los registros de flujo de red virtual, que funcionan en el ámbito de la red virtual, eliminen el registro duplicado de las evaluaciones de NSG anidadas y proporcionen seguimiento del estado de cifrado. Deshabilite los registros de flujo de NSG antes de habilitar los registros de flujo de la red virtual en el mismo ámbito para evitar datos redundantes y costes. Para más información, consulte Migración de registros de flujo de NSG a registros de flujo de red virtual y Registros de flujo de red virtual.

  • Restringir el acceso de red a las cuentas de almacenamiento de registros de flujo: configure firewalls y reglas de red virtual en las cuentas de almacenamiento que reciben registros de flujo. Si coloca la cuenta de almacenamiento detrás de un firewall, permita que los servicios de Microsoft de confianza escriban los datos del registro de flujo para que Network Watcher pueda usarlos, o use un punto de conexión privado o un punto de conexión de servicio para la cuenta de almacenamiento. Para obtener más información, consulte Network Watcher preguntas más frecuentes.

  • Use puntos de conexión privados para cuentas de almacenamiento de registros de flujo: si los registros de flujo contienen metadatos de tráfico confidenciales, use puntos de conexión privados en la cuenta de almacenamiento para mantener la transferencia de datos en la red troncal de Microsoft y fuera de la red pública de Internet. Para obtener más información, consulte Uso de puntos de conexión privados para Azure Storage.

  • Almacenamiento seguro de captura de paquetes: las capturas de paquetes pueden contener datos de carga completa y se almacenan en el disco local de la máquina virtual o en un blob de almacenamiento. Aplique las mismas restricciones de acceso de red a las cuentas de almacenamiento de captura de paquetes que se aplican al almacenamiento de registros de flujo. Para más información, consulte Información general sobre la captura de paquetes.

Administración de identidades y acceso

  • Asigne roles con privilegio mínimo para las operaciones de Network Watcher: el rol integrado Colaborador de red concede acceso a las funciones de Network Watcher, pero excluye intencionadamente las acciones Microsoft.Storage/*, Microsoft.Compute/* y Microsoft.OperationalInsights/workspaces/*. Asigne permisos adicionales solo a identidades que necesiten configurar registros de flujo, capturas de paquetes o análisis de tráfico. Para obtener más información, consulte RBAC permisos necesarios para usar Network Watcher.

  • Crear roles de RBAC personalizados para tareas especializadas: en lugar de conceder colaborador o propietario en el nivel de suscripción, cree roles personalizados que incluyan solo las acciones de Network Watcher necesarias para cada equipo. Por ejemplo, un equipo de supervisión podría necesitar acceso de lectura a los registros de flujo, pero no la capacidad de crear capturas de paquetes. Para más información, consulte Roles personalizados de Azure.

  • Use identidades administradas para los registros de flujo de red virtual: configure una identidad administrada asignada por el usuario para autorizar las escrituras del registro de flujo en cuentas de almacenamiento. Este enfoque elimina la necesidad de claves de cuenta de almacenamiento o tokens de SAS y se alinea con los principios de Confianza cero. Asigne el rol de Colaborador de dato de blobs de almacenamiento a la identidad administrada en la cuenta de almacenamiento de destino. Para más información, consulte Identidad administrada para los registros de flujo de red virtual.

  • Limitar quién puede iniciar capturas de paquetes: la captura de paquetes crea una extensión de máquina virtual y puede acceder al tráfico de red sin procesar. Restrinja el permiso Microsoft.Network/networkWatchers/packetCaptures/write a los equipos de seguridad y operaciones que tengan una necesidad legítima de realizar inspecciones a nivel de carga útil. Para obtener más información, consulte RBAC permisos necesarios para usar Network Watcher.

  • Defina cuidadosamente el alcance de los permisos de análisis de tráfico: El análisis de tráfico requiere permisos en las áreas de trabajo de Log Analytics, las reglas de recopilación de datos y los puntos de conexión de recopilación de datos, además de los de Network Watcher. Los permisos heredados de los grupos de administración no son compatibles con el análisis de tráfico; asígnelos en el nivel de suscripción o en el de grupo de recursos. Para obtener más información, consulte RBAC permisos necesarios para usar Network Watcher.

Protección de los datos

  • Habilite el cifrado en las cuentas de almacenamiento de registros de flujo: Use el cifrado de Azure Storage con claves administradas por Microsoft o claves administradas por el cliente para los datos de registro de flujo en reposo. Si usa claves administradas por el cliente, tenga en cuenta que la rotación de la clave hace que se detengan los registros de flujo de red virtual, debe deshabilitar y volver a habilitar los registros de flujo después de la rotación de claves. Para obtener más información, consulte la documentación sobre el cifrado de Azure Storage para datos en reposo.

  • Proteger los datos de captura de paquetes en reposo: Las capturas de paquetes almacenadas en Azure Blob Storage están cifradas en reposo mediante el cifrado de Azure Storage. Al almacenar capturas en el disco local de una máquina virtual, cifre el disco mediante Azure Disk Encryption o cifrado en el host. Para más información, consulte Información general sobre la captura de paquetes.

  • Habilitar el acceso de clave para el almacenamiento de captura de paquetes: la captura de paquetes usa tokens de SAS para autorizar escrituras en cuentas de almacenamiento y el acceso a claves debe estar habilitado en la cuenta de almacenamiento para autorizar esos tokens de SAS. Si el acceso a claves no está habilitado, guarde las capturas de paquetes en el disco local de la máquina virtual en su lugar. Para más información, consulte Información general sobre la captura de paquetes.

  • Restringir el acceso al área de trabajo de Log Analytics para el análisis de tráfico: El análisis de tráfico envía datos de flujo agregados y enriquecidos a un área de trabajo de Log Analytics. Use el control de acceso de nivel de área de trabajo o RBAC de nivel de recurso para restringir quién puede consultar estos datos. Para obtener más información, consulte Administración del acceso a las áreas de trabajo de Log Analytics.

Registro y supervisión

  • Habilite la recopilación del registro de actividad para las operaciones de Network Watcher: Envíe el Azure Activity Log a un área de trabajo de Log Analytics o a una cuenta de almacenamiento para que pueda auditar quién creó, modificó o eliminó los recursos de Network Watcher, los registros de flujo y las capturas de paquetes. Para más información, consulte Registro de actividad de Azure.

  • Integrar el análisis del tráfico con Microsoft Sentinel: Conectar los datos de análisis del tráfico a Microsoft Sentinel para la detección e investigación de amenazas, y su correlación con otras fuentes de datos de seguridad. Sentinel proporciona reglas analíticas para detectar ataques de fuerza bruta por RDP, barridos de puertos, anomalías de tráfico, escaneos de puertos, un número excesivo de conexiones fallidas, anomalías de SMB, balizamiento y uso indebido de puertos. Para obtener más información, consulte Integrate Microsoft Sentinel con análisis de tráfico.

  • Use análisis de tráfico para detectar anomalías de red: habilite el análisis de tráfico en los registros de flujo para identificar los puertos abiertos a Internet, las máquinas virtuales que se comunican con direcciones IP incorrectas conocidas y el tráfico inesperado entre regiones. Use el panel de análisis de tráfico en el portal de Azure para ver la seguridad en curso. Para más información, consulte Análisis de tráfico.

  • Aplique la segmentación Confianza cero mediante análisis del tráfico: Use los datos de análisis del tráfico para pasar de una postura de red que permite por defecto a otra que deniega por defecto. Analice los patrones de tráfico observados para crear reglas de permiso selectivas, detectar tráfico de regiones de alto riesgo e identificar brechas de segmentación de red. Para obtener más información, consulte Aplicar principios de Confianza cero con análisis de tráfico.

Cumplimiento y gobernanza

  • Aplicar la habilitación de los registros de flujo con Azure Policy: Use las directivas integradas de Azure para auditar e implementar automáticamente los registros de flujo de la red virtual en todas sus suscripciones. Este enfoque garantiza que las nuevas redes virtuales tengan automáticamente habilitado el registro de flujo y marca los recursos no compatibles. Para obtener más información, consulte Administrar registros de flujo de red virtual mediante Azure Policy.

  • Enforce traffic analytics with Azure Policy: Use directivas integradas para auditar si el análisis de tráfico está habilitado en los registros de flujo. Las políticas deployIfNotExists integradas para el análisis de tráfico configuran los registros de flujo de NSG, que ya no se pueden crear después del 30 de junio de 2025 y se retirarán el 30 de septiembre de 2027; use los registros de flujo de red virtual para nuevas implementaciones. Para obtener más información, consulte Administrar análisis de tráfico mediante Azure Policy y Migrate de registros de flujo de NSG a registros de flujo de red virtual.

  • Use diagnósticos de NSG y reglas de seguridad eficaces para las auditorías de cumplimiento: antes y después de realizar cambios de red, use diagnósticos de NSG para comprobar que los flujos de tráfico específicos están permitidos o denegados correctamente. Use reglas de seguridad eficaces para exportar un CSV descargable de todas las reglas de entrada y salida para la documentación de auditoría. Para obtener más información, consulte Introducción a los diagnósticos de NSG y Introducción a las reglas de seguridad eficaces.

  • Validar las reglas de flujo de IP antes y después de los cambios: use la comprobación del flujo de IP para confirmar que las reglas de permiso y denegación previstas se aplican a máquinas virtuales específicas antes de implementar cambios en producción. Esto evita la exposición no deseada causada por reglas de grupos de seguridad de red o de Azure Virtual Network Manager mal configuradas. Para obtener más información, consulte Información general sobre la comprobación del flujo de IP.

Copia de seguridad y recuperación

  • Configurar directivas de retención de registros de flujo: para los registros de flujo de NSG, establezca directivas de retención para eliminar automáticamente los datos antiguos después de un período definido, hasta 365 días. Para los registros de flujo de red virtual, use la administración del ciclo de vida de Azure Storage en cuentas de almacenamiento de uso general v2 para la asignación automática a niveles y la eliminación. Para más información, consulte Introducción a los registros de flujo de NSG y Optimización de los costos mediante la administración del ciclo de vida de los datos.

  • Usar almacenamiento con redundancia geográfica para los datos de registro de flujo: si los registros de flujo son críticos para su cumplimiento o investigaciones forenses, almacénelos en un almacenamiento con redundancia geográfica (GRS) o en una cuenta con redundancia geográfica con acceso de lectura (RA-GRS) para protegerse frente a interrupciones regionales. Para más información, vea Redundancia de Azure Storage.

  • Haga una copia de seguridad de las configuraciones de análisis de tráfico: Documente o exporte las configuraciones de análisis de tráfico, incluidos los espacios de trabajo de Log Analytics asociados, las reglas de recopilación de datos y la configuración de los registros de flujo. Si necesita volver a crear el entorno, tener un registro de configuración reduce el tiempo de recuperación. Para más información, consulte Análisis de tráfico.

  • Planifique el impacto de la rotación de claves gestionadas por el cliente: si usa claves gestionadas por el cliente en las cuentas de almacenamiento de los registros de flujo, documente el proceso para deshabilitar y volver a habilitar los registros de flujo después de la rotación de claves. Incluya este procedimiento en los runbooks operativos para evitar lagunas en el registro. Para más información, consulte Introducción a los registros de flujo de red virtual.

Pasos siguientes

  • Se actualizó por última vez el