Guide d’implémentation des fonctionnalités du Pare-feu Azure Premium

Le Pare-feu Azure Premium offre une protection avancée contre les menaces adaptée aux environnements hautement sensibles et réglementés, tels que les secteurs du paiement et de la santé.

Ce guide fournit des informations détaillées sur l’implémentation des fonctionnalités Premium du Pare-feu Azure. Pour une comparaison générale de toutes les fonctionnalités du Pare-feu Azure sur les références SKU, consultez les fonctionnalités du Pare-feu Azure par référence SKU.

Les organisations peuvent tirer parti des fonctionnalités des références SKU Premium, telles que l’IDPS et l’inspection TLS, pour empêcher la propagation des programmes malveillants et des virus sur les réseaux. Pour répondre aux exigences de performances accrues de ces fonctionnalités, Le Pare-feu Azure Premium utilise un SKU de machine virtuelle plus puissant. Similaire au SKU Standard, le SKU Premium peut atteindre jusqu’à 100 Gbps. Pour les nouveaux déploiements, omettez les zones de pare-feu explicites ; Azure gère une allocation backend redondante par zone dans les régions compatibles ZR. Pour les engagements de disponibilité, voir les accords de niveau de service Pare-feu Azure. La référence SKU Premium est conforme aux exigences pci DSS (Payment Card Industry Data Security Standard).

Le Pare-feu Azure Premium inclut les fonctionnalités avancées suivantes :

• Inspection TLS : déchiffre le trafic sortant, le traite, puis le chiffre à nouveau et l’envoie à la destination.
• IDPS : surveille les activités réseau afin de détecter les activités malveillantes, consigne les informations, les signale et, éventuellement, les bloque.
• Filtrage d’URL : étend le filtrage de nom de domaine complet pour prendre en compte l’URL entière, y compris tout chemin d’accès supplémentaire.
• Catégories web : autorise ou refuse à l’utilisateur l’accès à des catégories de sites web telles que les jeux de hasard ou les réseaux sociaux.

Pour obtenir une comparaison complète des fonctionnalités sur toutes les références SKU du Pare-feu Azure, consultez les fonctionnalités du Pare-feu Azure par référence SKU.

Inspection TLS

Le protocole TLS (Transport Layer Security) fournit un chiffrement pour la confidentialité, l’intégrité et l’authenticité à l’aide de certificats entre des applications communicantes. Il chiffre le trafic HTTP, qui peut masquer l’activité d’utilisateur illégale et le trafic malveillant.

Sans inspection TLS, le Pare-feu Azure ne peut pas voir les données dans le tunnel TLS chiffré, limitant ses fonctionnalités de protection. Toutefois, le Pare-feu Azure Premium intercepte et inspecte les connexions TLS pour détecter les activités malveillantes dans HTTPS, générer des alertes et les atténuer. Il crée deux connexions TLS : une avec le serveur web et une autre avec le client. À l’aide d’un certificat d’autorité de certification fourni par le client, il génère un certificat à la volée pour remplacer le certificat du serveur web et le transmet au client afin d’établir la connexion TLS.

Pare-feu Azure sans inspection TLS :

Pare-feu Azure avec inspection TLS :

Les cas d’usage suivants sont pris en charge avec le Pare-feu Azure :

• Inspection TLS sortante : protège contre le trafic malveillant envoyé à partir d’un client interne hébergé dans Azure vers Internet.
• Inspection TLS Est-Ouest : protège les charges de travail Azure contre le trafic malveillant potentiel envoyé dans Azure, y compris le trafic vers/depuis un réseau on-premises.

Le cas d’usage suivant est pris en charge par Azure Web Application Firewall sur Azure Application Gateway :

• Inspection TLS entrante : protège les serveurs internes ou les applications hébergés dans Azure contre les requêtes malveillantes arrivant d’Internet ou d’un réseau externe. Application Gateway fournit un chiffrement de bout en bout.

Pour les informations connexes, consultez :

• Pare-feu Azure Premium et résolution de noms
• Service Application Gateway devant le pare-feu

Pour en savoir plus sur les conditions requises pour les certificats d’autorité de certification intermédiaires du Pare-feu Azure Premium, consultez Certificats du Pare-feu Azure Premium.

Pour en savoir plus sur l’inspection TLS, consultez Création d’une preuve de concept pour l’inspection TLS dans le Pare-feu Azure.

IDPS

Un système de détection et de prévention des intrusions réseau surveille votre réseau pour détecter les activités malveillantes, journalise les informations, les signale et les bloque éventuellement.

Le Pare-feu Azure Premium offre un système de prévention et de détection des intrusions (IDPS) basé sur des signatures pour détecter rapidement les attaques en identifiant des modèles spécifiques, tels que des séquences d’octets dans le trafic réseau ou des séquences d’instructions malveillantes connues utilisées par des programmes malveillants. Ces signatures IDPS s’appliquent au trafic au niveau de l’application et au niveau du réseau (couches 3-7). Elles sont entièrement gérées et mises à jour en continu. L’IDPS peut être appliqué au trafic entrant, spoke-to-spoke (East-West) et au trafic sortant, y compris le trafic vers/depuis un réseau sur site. Vous pouvez configurer vos plages d’adresses IP privées IDPS à l’aide de la fonctionnalité Plages d’adresses IP privées. Pour plus d’informations, consultez Plages d’adresses IP privées IDPS.

Les signatures/ensembles de règles du Pare-feu Azure incluent les éléments suivants :

• Concentrez-vous sur l’identification des programmes malveillants réels, des activités de commande et contrôle, des kits d’exploitation et des activités malveillantes non détectées par les méthodes traditionnelles.
• Plus de 67 000 règles dans plus de 50 catégories, notamment la commande et contrôle de logiciels malveillants, le hameçonnage, les chevaux de Troie, les botnets, les événements d’information, les exploits, les vulnérabilités, les protocoles réseau SCADA et l’activité des kits d’exploitation.
• 20 à 40 nouvelles règles publiées quotidiennement.
• Faible taux de faux positifs à l’aide de techniques avancées de détection de programmes malveillants, telles que la boucle de rétroaction du réseau mondial de capteurs.

IDPS détecte les attaques sur tous les ports et protocoles pour le trafic non chiffré. Pour l’inspection du trafic HTTPS, le Pare-feu Azure peut utiliser sa fonctionnalité d’inspection TLS pour déchiffrer le trafic et mieux détecter les activités malveillantes.

La liste de contournement IDPS vous permet d’exclure des adresses IP, des plages et des sous-réseaux spécifiques du filtrage. Notez que la liste de contournement n’est pas destinée à améliorer les performances en matière de débit, car les performances du pare-feu dépendent toujours de votre cas d’usage. Pour plus d’informations, consultez Performances du Pare-feu Azure.

Plages d'adresses IP privées IDPS

Dans le pare-feu Azure Premium IDPS, les plages d’adresses IP privées sont utilisées pour déterminer si le trafic est entrant, sortant ou interne (East-West). Chaque signature est appliquée à des directions de trafic spécifiques, comme indiqué dans la table de règles de signature. Par défaut, seules les plages définies par la RFC IANA 1918 sont considérées comme des adresses IP privées. Le trafic entre les plages d’adresses IP privées est considéré comme interne. Vous pouvez facilement modifier, supprimer ou ajouter des plages d’adresses IP privées si nécessaire.

Règles de signature IDPS

Les règles de signature IDPS vous permettent d’effectuer les opérations suivantes :

• Personnalisez les signatures en changeant leur mode sur Désactivé, Alerte ou Alerte et Refus. Vous pouvez personnaliser jusqu’à 10 000 règles IDPS.
  • Par exemple, si une demande légitime est bloquée en raison d’une signature défectueuse, vous pouvez désactiver cette signature à l’aide de son ID provenant des journaux des règles réseau pour résoudre le problème de faux positif.
• Ajustez les signatures qui génèrent des alertes de faible priorité excessives afin d’améliorer la visibilité des alertes à priorité élevée.
• Affichez les +67 000 signatures.
• Utilisez la recherche intelligente pour rechercher des signatures par attributs, tels que CVE-ID.

Les règles de signature IDPS présentent les propriétés suivantes :

Pour plus d’informations sur IDPS, consultez Découvrir Pare-feu Azure IDPS en test.

Filtrage des URL

Le filtrage d’URL étend la fonctionnalité de filtrage FQDN du Pare-feu Azure pour prendre en compte l’URL entière, comme www.contoso.com/a/c au lieu de juste www.contoso.com.

Le filtrage d’URL peut être appliqué au trafic HTTP et HTTPS. Lors de l’inspection du trafic HTTPS, Le Pare-feu Azure Premium utilise sa fonctionnalité d’inspection TLS pour déchiffrer le trafic, extraire l’URL cible et vérifier si l’accès est autorisé. L’inspection TLS doit être activée au niveau de la règle d’application. Une fois activée, les URL peuvent être utilisées pour filtrer le trafic HTTPS.

Catégories du Web

Les catégories web permettent aux administrateurs d’autoriser ou de refuser l’accès des utilisateurs à des catégories spécifiques de sites web, telles que les jeux de hasard ou les réseaux sociaux. Bien que cette fonctionnalité soit disponible à la fois dans le Pare-feu Azure Standard et Premium, la référence (SKU) Premium offre un contrôle plus précis en faisant correspondre les catégories en fonction de l’URL entière pour le trafic HTTP et HTTPS.

Les catégories web Pare-feu Azure Premium sont uniquement disponibles dans les stratégies de pare-feu. Vérifiez que votre référence SKU de stratégie correspond à la référence SKU de votre instance de pare-feu. Par exemple, une instance Pare-feu Premium nécessite une stratégie de pare-feu Premium.

Par exemple, si le Pare-feu Azure intercepte une requête HTTPS pour www.google.com/news:

• Firewall Standard examine uniquement le FQDN, catégorisant www.google.com comme moteur de recherche.
• Pare-feu Premium examine l’URL complète et classe www.google.com/news dans la catégorie Actualités.

Les catégories sont organisées en fonction de leur gravité sous Responsabilité, Bande passante élevée, Utilisation métier, Perte de productivité, Navigation générale et Sans catégorie. Pour obtenir des descriptions détaillées, consultez les catégories web du Pare-feu Azure.

Journalisation des catégories Web

Le trafic filtré par catégories web est journalisé dans les journaux d’activité de l’application. Le champ Catégories web s’affiche uniquement s’il est explicitement configuré dans les règles d’application de la stratégie de pare-feu. Par exemple, si aucune règle ne refuse explicitement les moteurs de recherche et qu’un utilisateur demande www.bing.com, seul un message de refus par défaut est affiché.

Exceptions de catégorie

Vous pouvez créer des exceptions aux règles de catégorie web en configurant des regroupements de règles d’autorisation ou de refus distincts avec une priorité plus élevée. Par exemple, autorisez www.linkedin.com avec une priorité de 100 et refusez Réseaux sociaux avec la priorité 200 pour créer une exception pour la catégorie Réseaux sociaux.

Recherche de catégorie sur le Web

Identifiez la catégorie d’un nom de domaine complet ou d’une URL à l’aide de la fonctionnalité Vérification des catégories web sous Paramètres de stratégie de pare-feu. Cela permet de définir des règles d’application pour le trafic de destination.

Changement de catégorie

Sous l’onglet Catégories web dans Paramètres de stratégie de pare-feu, vous pouvez demander une modification de catégorie si vous pensez qu’un nom de domaine complet ou une URL doit se trouver dans une autre catégorie ou si vous avez une suggestion pour un nom de domaine complet ou une URL non catégorisé. Après avoir envoyé un rapport de modification de catégorie, vous recevez un jeton pour suivre l’état de la demande.

Catégories web qui ne prennent pas en charge la terminaison TLS

Certains trafics web, tels que les données de santé des employés, ne peuvent pas être déchiffrés à l’aide de la terminaison TLS pour des raisons de confidentialité et de conformité. Les catégories web suivantes ne prennent pas en charge la terminaison TLS :

• Éducation
• Finance
• Gouvernement
• Santé et médecine

Pour prendre en charge la terminaison TLS pour des URL spécifiques, ajoutez-les manuellement aux règles d’application. Par exemple, ajoutez www.princeton.edu pour autoriser ce site web.

Régions prises en charge

Pour obtenir la liste des régions où le Pare-feu Azure est disponible, consultez les produits Azure disponibles par région.

Étapes suivantes

• En savoir plus sur les certificats du Pare-feu Azure Premium
• Déployer et configurer le Pare-feu Azure Premium
• Modifier le SKU du Pare-feu Azure
• En savoir plus sur la sécurité du réseau Azure