Implementazione del modello per l'ingresso sicuro della rete

L'ingresso sicuro di rete incapsula diversi modelli di progettazione, inclusi i modelli per il routing globale, l'offload globale e il monitoraggio della salute degli endpoint. È possibile usare l'implementazione del pattern descritta in questo articolo come gateway per la maggior parte dei carichi di lavoro HTTP o HTTPS che richiedono disponibilità elevata e affidabilità, grazie al routing globale sicuro verso carichi di lavoro distribuiti in diverse aree geografiche con failover dell'origine basato sullo stato di integrità.

Video: Implementazione di ingresso sicura della rete

Requisiti dei criteri

Questo articolo descrive tre requisiti su cui si concentra l'implementazione del modello per l'ingresso di rete sicuro: routing globale, failover dell'origine basato sullo stato di integrità e mitigazione degli attacchi al perimetro della rete.

Routing globale

Il modello di ingresso sicuro di rete incapsula il modello di routing globale. Di conseguenza, l'implementazione può instradare le richieste ai carichi di lavoro in aree diverse.

Failover dell'origine basato sullo stato di salute

L'implementazione deve identificare le origini sane e non sane e instradare le richieste lontano dalle origini non sane. L'intervallo della probe di integrità e le impostazioni di campionamento determinano la rapidità con cui Frontdoor di Azure rileva una variazione nello stato di integrità dell'origine. Configurate queste impostazioni per soddisfare l'obiettivo di failover del carico di lavoro senza causare failover non necessari.

Mitigazione degli attacchi al perimetro

La mitigazione degli attacchi al perimetro richiede la parte "di sicurezza della rete" dell'implementazione. I carichi di lavoro o i servizi PaaS (Platform as a Service) non devono essere accessibili tramite Internet. Il traffico Internet deve essere in grado di instradare solo attraverso il gateway. Il gateway deve avere la possibilità di attenuare gli exploit.

Modelli

Questa soluzione implementa i modelli di progettazione seguenti:

• Modello di routing del gateway: instradare le richieste a più servizi o istanze del servizio che possono risiedere in aree diverse.
• Modello di offloading del gateway: delega funzionalità come la mitigazione degli attacchi a un gateway proxy.
• Modello di monitoraggio degli endpoint di salute: esporre gli endpoint per la validazione della salute del carico di lavoro.
• Modello di hosting di contenuti statici: Servire asset Web statici da gestione rete virtuale di Azure tramite Frontdoor di Azure.

Progettazione

Questa implementazione include i dettagli seguenti:

• Usa gli account di archiviazione BLOB di Azure per simulare carichi di lavoro Web statici in esecuzione in due aree. Questa implementazione non include carichi di lavoro in esecuzione dietro un servizio di bilanciamento del carico interno (ILB). Il diagramma mostra un bilanciamento del carico interno (ILB) per illustrare che questa implementazione funzionerebbe per carichi di lavoro privati in esecuzione dietro un ILB.

• Usa il livello Frontdoor di Azure Premium come gateway globale.

• L'istanza di Frontdoor di Azure ha un criterio del firewall per applicazioni web (WAF) globale configurato con regole gestite che aiutano a proteggersi da sfruttamenti comuni.

• I firewall dell'account di archiviazione negano l'accesso alla rete pubblica in modo che i client non possano ignorare Frontdoor di Azure e i relativi controlli di sicurezza.

• Il livello Frontdoor di Azure Premium accede agli account di archiviazione tramite collegamento privato di Azure.

• L'istanza di Frontdoor di Azure ha la configurazione generale seguente:

  • Endpoint con una singola route che punta a un singolo gruppo di origine. Un gruppo di origine è una raccolta di origini.

  • Il gruppo di origine ha un'origine configurata per puntare a ogni account di archiviazione.

  • Ogni origine richiede l'accesso al collegamento privato all'account di archiviazione.

  • Il gruppo di origine dispone di probe di integrità configurati per accedere a una pagina HTML negli account di archiviazione. La pagina verifica la disponibilità del carico di lavoro statico. Per i carichi di lavoro dell'applicazione, usare un endpoint di integrità che controlla le dipendenze critiche necessarie per gestire le richieste.

    Questa implementazione considera sana un'origine quando tre delle ultime quattro sonde hanno esito positivo. L'intervallo di verifica e le impostazioni di campionamento determinano la rapidità con cui Front Door rileva un cambiamento nello stato di integrità dell'origine.

Componenti

• Web application firewall di Azure è un servizio di sicurezza che protegge le applicazioni Web da minacce e vulnerabilità comuni usando set di regole gestite da Microsoft. In questa architettura, Web application firewall di Azure si integra con Frontdoor di Azure Premium per controllare e bloccare il traffico HTTP e HTTPS dannoso prima che raggiunga le origini.

• Collegamento privato di Azure è un servizio che consente la connettività privata ai servizi PaaS di Azure tramite la rete backbone Microsoft. In questa architettura consente a Frontdoor di Azure di accedere in modo sicuro agli account di archiviazione senza esporli alla rete Internet pubblica.

• Frontdoor di Azure Premium è una rete globale per la distribuzione di applicazioni che offre funzionalità di bilanciamento del carico, routing e sicurezza di livello 7. In questa architettura funge da gateway globale sicuro. Instrada il traffico ai carichi di lavoro regionali e applica i criteri di Web application firewall mentre comunica in privato tramite collegamento privato. Il livello Premium supporta i componenti seguenti:

  • collegamento privato consente Frontdoor di Azure di connettersi a servizi o carichi di lavoro PaaS in una rete virtuale privata. In questa architettura, Frontdoor di Azure usa collegamento privato per raggiungere ogni origine di archiviazione senza attraversare la rete Internet pubblica.

  • Set di regole gestiti da Microsoft sono disponibili solo nel livello Premium di Frontdoor di Azure. In questa architettura, Web application firewall di Azure usa regole gestite per controllare le richieste in ingresso e bloccare le richieste che raggiungono la soglia di punteggio anomalie configurata.

• Archiviazione di Azure è un servizio di archiviazione cloud scalabile per dati strutturati e non strutturati. In questa architettura, gli account gestione rete virtuale di Azure archiviano asset Web statici e fungono da destinazioni di origine per il routing Frontdoor di Azure.

• Un servizio di bilanciamento del carico interno distribuisce il traffico IP privato all'interno di una rete virtuale o tra reti connesse. In questa architettura, esporre i server Web di origine dietro l'ILB tramite un servizio collegamento privato di Azure per consentire ad Frontdoor di Azure di usare l'ILB come origine privata personalizzata.

Operazioni

La protezione delle risorse dal punto di vista della rete consente di proteggersi dagli exploit, ma isola anche le risorse dai processi o dagli amministratori che potrebbero dover accedere a tali risorse. Ad esempio, un agente di compilazione in una pipeline DevOps potrebbe dover accedere all'account di archiviazione per distribuire un aggiornamento all'applicazione Web. Inoltre, un amministratore potrebbe dover accedere alla risorsa a scopo di risoluzione dei problemi.

Per illustrare l'accesso alle risorse protette dalla rete a scopo operativo, questa implementazione distribuisce una macchina virtuale (VM) in una rete virtuale con collegamento privato accesso agli account di archiviazione. Questa implementazione distribuisce Azure Bastion, che l'amministratore può usare per connettersi alla macchina virtuale. Per lo scenario di distribuzione, è possibile distribuire un agente di compilazione privato nella rete virtuale, in modo analogo al modo in cui la macchina virtuale era.

Ecco i dettagli sui componenti per le operazioni:

• Rete virtuale di Azure è un servizio di rete che consente la comunicazione sicura tra le risorse. In questa architettura la rete virtuale contiene i componenti necessari per consentire a un amministratore di comunicare in modo sicuro con l'account di archiviazione tramite la rete backbone Microsoft privata.

• Macchine virtuali di Azure è un'offerta IaaS (Infrastructure-as-a-Service) che offre risorse di calcolo scalabili. In questa architettura, una macchina virtuale funge da jump box per consentire agli amministratori di accedere in modo sicuro alle risorse protette dalla rete.

• Azure Bastion è un paaS gestito che fornisce l'accesso RDP (Desktop remoto Protocol) e Secure Shell (SSH) alle macchine virtuali senza esporre indirizzi IP pubblici. In questa architettura, consente agli amministratori di connettersi alla macchina virtuale jump box tramite SSH per le operazioni sicure.

• Un endpoint privato è un'interfaccia di rete che si connette ai servizi Azure tramite collegamento privato e usa un indirizzo IP privato dalla rete virtuale. In questa architettura, l'endpoint privato connette le risorse nella rete virtuale all'account di archiviazione tramite l'indirizzo IP privato.

• Una zona DNS di Azure privata è un servizio DNS (Domain Name System) che risolve i nomi di dominio in indirizzi IP privati all'interno di una rete virtuale. In questa architettura, il nome host di collegamento privato dell'account di archiviazione viene risolto nel relativo indirizzo IP privato, consentendo l'accesso sicuro dalla macchina virtuale.

Flusso di richieste Web

1. L'utente invia una richiesta HTTP o HTTPS a un endpoint frontdoor di Azure.

2. Le regole WAF vengono valutate. Le regole gestite che usano il punteggio di anomalia aumentano il punteggio di anomalia della richiesta quando trovano una corrispondenza. Questa architettura viene eseguita in modalità di prevenzione e WAF applica l'azione Blocca quando la richiesta raggiunge la soglia di punteggio anomalie. Le richieste bloccate non raggiungono un'origine.

3. La route configurata in Frontdoor di Azure è corrispondente e viene selezionato il gruppo di origine corretto. In questo esempio, il percorso era verso il contenuto statico nel sito Web.

4. L'origine viene selezionata dal gruppo di origine.

   a) In questo esempio, le sonde di integrità considerano il sito Web non integro, quindi viene eliminato dalle possibili origini disponibili.
   b. Questo sito Web è selezionato.

5. La richiesta viene instradata all'account Archiviazione di Azure tramite collegamento privato sulla rete backbone Microsoft.

Per altre informazioni sull'architettura di routing di Frontdoor di Azure, vedere Panoramica dell'architettura di routing.

Flusso operativo

1. Un amministratore si connette all'istanza di Azure Bastion distribuita nella rete virtuale.

2. Azure Bastion offre connettività SSH alla macchina virtuale jump box.

3. L'amministratore nella jump box tenta di accedere all'account di archiviazione tramite l'interfaccia della riga di comando di Azure. Il jump box interroga il DNS per l'endpoint pubblico dell'account di archiviazione BLOB di Azure: storageaccountname.blob.core.windows.net.

   Il nome DNS pubblico è un alias per storageaccountname.privatelink.blob.core.windows.net. La zona DNS di Azure privata risolve tale nome nell'indirizzo IP dell'endpoint privato, ovvero 10.0.2.5 in questo esempio.

4. La jump box si connette all'account di archiviazione tramite l'endpoint privato.

Considerazioni

Quando si usa questa soluzione, tenere presente quanto segue.

Affidabilità

L'affidabilità garantisce che l'applicazione possa soddisfare gli impegni che l'utente ha preso con i clienti. Per altre informazioni, vedere Panoramica del pilastro dell'affidabilità.

Quando si usa questo modello, considerare le implicazioni seguenti sull'affidabilità:

• Distribuisci origini ridondanti in regioni separate e configura le probe di integrità in modo che Frontdoor di Azure instradi le richieste solo alle origini in grado di gestirle. Definire un obiettivo di failover in funzione dei requisiti del carico di lavoro e regolare l'intervallo di controllo, la dimensione del campione e il numero di campioni riusciti richiesti per raggiungere tale obiettivo senza causare failover non necessari.

• Mantenere il contenuto coerente tra le origini di archiviazione. Pubblica la stessa release con versione in ogni account di archiviazione. Se si usa la replica di oggetti, tenere conto della replica asincrona.

• Verificate regolarmente il guasto e il ripristino del server di origine. Verificare il rilevamento dei guasti, l'instradamento verso un'origine sana e il comportamento di failback. Se ogni origine in un gruppo di origini non supera i probe di integrità, Frontdoor di Azure considera non integre tutte le origini e distribuisce le richieste tra tutte con criterio round robin.

• Per le origini che utilizzano collegamento privato, configurare le origini con aree geografiche di Frontdoor di Azure collegamento privato diverse. Questa configurazione fornisce percorsi separati attraverso i cluster Frontdoor di Azure a livello di area. Selezionare un'area di collegamento privato supportata vicino a ogni origine per limitare la latenza dell'hop di rete aggiuntivo.

• Frontdoor di Azure rimane il singolo servizio di ingresso globale in questa progettazione. Per un carico di lavoro mission-critical che non può tollerare un'interruzione di Frontdoor di Azure, valutare un percorso di accesso alternativo collaudato. Un percorso alternativo aumenta i costi e la complessità operativa perché è necessario mantenere configurazioni equivalenti di routing, sicurezza, certificato, monitoraggio e failover.

Sicurezza

La sicurezza offre garanzie contro attacchi intenzionali e l'abuso di dati e sistemi preziosi. Per altre informazioni, vedere Panoramica del pilastro della sicurezza.

Usare le procedure di sicurezza seguenti quando si implementa questo modello:

• Configurare ogni origine per rifiutare il traffico che non arriva attraverso Frontdoor di Azure. Per le origini di archiviazione in questa implementazione, usare il firewall dell'account di archiviazione per negare l'accesso alla rete pubblica e approvare la connessione all'endpoint privato gestita da Frontdoor di Azure.

• Usare il set di regole predefinito più recente disponibile. Mantenere i criteri di produzione in modalità di prevenzione.

• Applicare esclusioni WAF ed eccezioni alle regole nell'ambito più ristretto possibile. Preferisce un'esclusione a livello di regola per un attributo di richiesta specifico rispetto alla disabilitazione di una regola o di un gruppo di regole.

• Usare le regole di Bot Manager e le regole relative al limite di velocità.

• Abilitare l'attività delle risorse e i log di accesso di Frontdoor di Azure, WAF e dei probe di integrità. Inviare i log ai sistemi di monitoraggio e sicurezza del workload e configurare avvisi per aumenti imprevisti delle corrispondenze delle regole WAF o delle richieste bloccate, problemi di stato di integrità dell'origine e modifiche alle policy WAF. Per altre informazioni, vedi Monitorare metriche e log in Frontdoor di Azure.

Ottimizzazione dei costi

L'ottimizzazione dei costi consiste nell'esaminare i modi per ridurre le spese non necessarie e migliorare l'efficienza operativa. Per altre informazioni, vedere Panoramica del pilastro di ottimizzazione dei costi.

Frontdoor di Azure Premium costa più del livello Standard. Il livello Premium include regole WAF gestite e supporto per le origini collegamento privato. Per altre informazioni sui prezzi per Frontdoor di Azure e Web application firewall, vedere le risorse seguenti:

• Prezzi di Frontdoor di Azure
• Prezzi di Web application firewall
• Calcolatore prezzi di Azure

Eccellenza operativa

L'eccellenza operativa copre i processi operativi che distribuiscono un'applicazione e la mantengono in esecuzione nell'ambiente di produzione. Per altre informazioni, vedere Panoramica del pilastro dell'eccellenza operativa.

L'implementazione dei limiti di sicurezza di rete aggiunge complessità alle operazioni e alla distribuzione. Tieni in considerazione i seguenti punti:

• Gli intervalli IP per gli agenti ospitati da Microsoft variano nel tempo. Prendere in considerazione l'implementazione di agenti self-hosted nella rete virtuale.
• Implementare Azure Bastion per scenari in cui i team operativi devono accedere alle risorse protette dalla rete.

Efficienza delle prestazioni

L'efficienza delle prestazioni è la capacità del carico di lavoro di ridimensionarsi per soddisfare le esigenze che gli utenti lo pongono. Per altre informazioni, vedere Panoramica del pilastro dell'efficienza delle prestazioni.

Il routing globale consente il ridimensionamento orizzontale tramite la distribuzione di più risorse nella stessa area o in aree diverse.

Passo successivo