Proteggere la distribuzione di Azure Network Watcher

Azure Network Watcher fornisce strumenti di monitoraggio, diagnostica e registrazione del traffico per le risorse IaaS Azure. Consente di acquisire pacchetti, analizzare i log dei flussi, diagnosticare i problemi di connettività e controllare le regole del gruppo di sicurezza di rete. Poiché Network Watcher offre un'ampia visibilità sul traffico di rete e sulla relativa configurazione, è fondamentale proteggere la distribuzione del servizio, i dati in uscita e le identità che vi accedono. Questo articolo fornisce raccomandazioni sulla sicurezza per Azure Network Watcher.

Per una panoramica dei servizi di sicurezza di rete di Azure e di come interagiscono, vedere Che è Azure sicurezza di rete?.

Le raccomandazioni sulla sicurezza in questo articolo implementano i principi Zero Trust: "Verificare in modo esplicito", "Usare l'accesso con privilegi minimi" e "Presupporre violazione". Per indicazioni complete su Zero Trust, vedere Zero Trust Guidance Center.

Sicurezza specifica del servizio

La maggior parte degli strumenti di Network Watcher è utilizzabile solo per il monitoraggio, ma funzionalità come l'acquisizione di pacchetti installano e usano AzureNetworkWatcherExtension nelle VM di destinazione e richiedono autorizzazioni per il calcolo e per le estensioni. Poiché Network Watcher raccoglie dati sensibili, inclusi payload di pacchetti, record di flusso e informazioni sulla topologia, considerare Network Watcher e i relativi archivi dati come componenti sensibili alla sicurezza:

  • Limita le aree in cui Network Watcher è abilitato: Network Watcher viene abilitato automaticamente in ogni area in cui sono presenti risorse di rete virtuale. Se non è necessaria la diagnostica in una determinata area geografica, disabilita Network Watcher in tale area per ridurre la superficie di attacco, ma pianifica attentamente: l'eliminazione di un'istanza regionale di Network Watcher elimina tutte le operazioni di Network Watcher in esecuzione, i dati storici e gli avvisi, senza possibilità di annullare l'operazione. Per altre informazioni, vedere Abilitare o disabilitare Azure Network Watcher.

  • Considerare gli account di archiviazione dei log del flusso come sensibili alla sicurezza: i log dei flussi e le acquisizioni di pacchetti contengono dati dettagliati sul traffico di rete. Limitare l'accesso agli account di archiviazione che contengono questi dati con lo stesso rigore applicato ad altri archivi dati sensibili alla sicurezza. Per altre informazioni, vedere Configurare i firewall e le reti virtuali di Archiviazione di Azure.

  • Comprendere l'ambito di Network Watcher: Network Watcher è definito in base alla sottoscrizione e all'area geografica. Ogni sottoscrizione può avere un'istanza Network Watcher per area. Pianifica di conseguenza la gestione delle identità e i controlli di accesso quando operi in più sottoscrizioni. Per altre informazioni, vedere Che è Azure Network Watcher?.

Sicurezza di rete

Network Watcher è principalmente uno strumento utilizzato per analizzare la sicurezza di rete. Le raccomandazioni seguenti sono incentrate sulla protezione dei percorsi di rete e delle risorse di archiviazione da cui dipende Network Watcher. Per consigli sulla protezione delle reti virtuali, vedere Secure your Rete virtuale di Azure deployment.For recommendations on securing your virtual networks themselves, see Secure your Rete virtuale di Azure deployment.

  • Usare i log del flusso di rete virtuale anziché i log dei flussi del gruppo di sicurezza di rete: i log dei flussi del gruppo di sicurezza di rete verranno ritirati il 30 settembre 2027 e non sarà possibile creare nuovi log del flusso del gruppo di sicurezza di rete dopo il 30 giugno 2025. Migrare le distribuzioni esistenti ai log di flusso della rete virtuale, che operano a livello di rete virtuale, eliminare la registrazione duplicata dovuta alle valutazioni NSG e consentono di monitorare lo stato della crittografia. Disattivare i log di flusso NSG prima di abilitare i log di flusso della rete virtuale nello stesso ambito per evitare dati ridondanti e costi aggiuntivi. Per altre informazioni, vedere Eseguire la migrazione dai log di flusso NSG ai log di flusso della rete virtuale e Panoramica dei log di flusso della rete virtuale.

  • Limitare l'accesso di rete agli account di archiviazione dei log di flusso: configurare firewall e regole di rete virtuale negli account di archiviazione che ricevono i log dei flussi. Se si colloca l'account di archiviazione dietro un firewall, consentire ai servizi Microsoft attendibili in modo che Network Watcher possa scrivere i dati del log di flusso, oppure usare un endpoint privato o un endpoint di servizio per l'account di archiviazione. Per altre informazioni, vedere Network Watcher domande frequenti.

  • Usare gli endpoint privati per gli account di archiviazione dei log di flusso: se i log del flusso contengono metadati del traffico sensibili, usare gli endpoint privati nell'account di archiviazione per mantenere il trasferimento dei dati nella rete backbone Microsoft e fuori internet pubblico. Per ulteriori informazioni, vedere Utilizzare endpoint privati per Archiviazione di Azure.

  • Archiviazione sicura dell'acquisizione di pacchetti: le acquisizioni di pacchetti possono contenere dati di payload completi e vengono archiviati nel disco locale della macchina virtuale o in un BLOB di archiviazione. Applicare agli account di archiviazione per l'acquisizione di pacchetti le stesse restrizioni di accesso alla rete che si applicano all'archiviazione dei log di flusso. Per ulteriori informazioni, vedere Panoramica dell'acquisizione di pacchetti.

Gestione delle identità e degli accessi

  • Assegnare ruoli con privilegi minimi per le operazioni di Network Watcher: il ruolo predefinito Collaboratore rete concede l'accesso alle funzionalità di Network Watcher, ma esclude intenzionalmente le azioni /Microsoft.Storage/*, Microsoft.Compute/* e Microsoft.OperationalInsights/workspaces/*. Assegnare autorizzazioni aggiuntive solo alle identità che devono configurare log di flusso, acquisizioni di pacchetti o analisi del traffico. Per altre informazioni, vedere autorizzazioni RBAC necessarie per usare Network Watcher.

  • Crea ruoli RBAC personalizzati per attività specializzate: anziché concedere il ruolo Collaboratore o Proprietario a livello della sottoscrizione, crea ruoli personalizzati che includano solo le azioni di Network Watcher necessarie per ciascun team. Ad esempio, un team di monitoraggio potrebbe richiedere l'accesso in lettura ai log di flusso, ma non la possibilità di creare acquisizioni di pacchetti. Per ulteriori informazioni, consultare Ruoli personalizzati in Azure.

  • Usare le identità gestite per i log del flusso di rete virtuale: configurare un'identità gestita assegnata dall'utente per autorizzare le scritture dei log dei flussi agli account di archiviazione. Questo approccio elimina la necessità di chiavi dell'account di archiviazione o token SAS e si allinea ai principi di Zero Trust. Assegnare all'identità gestita il ruolo Collaboratore dati BLOB di archiviazione nell'account di archiviazione di destinazione. Per altre informazioni, vedere Identità gestita per i log dei flussi di rete virtuale.

  • Limitare chi può avviare acquisizioni di pacchetti: l'acquisizione di pacchetti crea un'estensione macchina virtuale e può accedere al traffico di rete non elaborato. Restringere l'autorizzazione Microsoft.Network/networkWatchers/packetCaptures/write ai team addetti alla sicurezza e alle operazioni che hanno una legittima necessità di ispezione del payload. Per altre informazioni, vedere autorizzazioni RBAC necessarie per usare Network Watcher.

  • Definire attentamente l'ambito delle autorizzazioni per l'analisi del traffico: L'analisi del traffico richiede autorizzazioni per le aree di lavoro di Log Analytics, le regole di raccolta dati e gli endpoint di raccolta dati, oltre che per Network Watcher. Le autorizzazioni ereditate dai gruppi di gestione non sono supportate per l'analisi del traffico; assegnarle invece a livello di sottoscrizione o di gruppo di risorse. Per altre informazioni, vedere autorizzazioni RBAC necessarie per usare Network Watcher.

Protezione dei dati

  • Abilitare la crittografia negli account di archiviazione dei log di flusso: usare la crittografia di Archiviazione di Azure con chiavi gestite da Microsoft o chiavi gestite dal cliente per i dati dei log di flusso a riposo. Se si usano chiavi gestite dal cliente, tenere presente che la rotazione della chiave causa l'arresto dei log del flusso di rete virtuale. È necessario disabilitare e quindi riabilitare i log dei flussi dopo la rotazione delle chiavi. Per ulteriori informazioni, vedere la crittografia di Archiviazione di Azure per i dati inattivi.

  • Proteggere i dati di acquisizione dei pacchetti a riposo: le acquisizioni di pacchetti archiviate in Archiviazione BLOB di Azure vengono crittografate a riposo tramite la crittografia di Archiviazione di Azure. Quando si salvano le acquisizioni sul disco locale di una VM, crittografare il disco usando crittografia dischi di Azure o la crittografia nell'host. Per ulteriori informazioni, vedere Panoramica dell'acquisizione di pacchetti.

  • Abilitare l'accesso alle chiavi per l'archiviazione dell'acquisizione di pacchetti: l'acquisizione di pacchetti usa token di firma di accesso condiviso per autorizzare le scritture negli account di archiviazione e l'accesso alle chiavi deve essere abilitato nell'account di archiviazione per autorizzare tali token di firma di accesso condiviso. Se l'accesso alla chiave non è abilitato, salvare invece le acquisizioni di pacchetti nel disco locale della macchina virtuale. Per ulteriori informazioni, vedere Panoramica dell'acquisizione di pacchetti.

  • Limita l'accesso all'area di lavoro di Log Analytics per l'analisi del traffico: L'analisi del traffico invia dati di flusso aggregati e arricchiti a un'area di lavoro Log Analytics. Usare il controllo di accesso a livello di area di lavoro o il controllo degli accessi in base al ruolo a livello di risorsa per limitare chi può eseguire query su questi dati. Per altre informazioni, vedere Gestire l'accesso alle aree di lavoro Log Analytics.

Registrazione e monitoraggio

  • Abilitare la raccolta del log attività per le operazioni di Network Watcher: instradare il Log attività di Azure a un'area di lavoro Log Analytics o a un account di archiviazione in modo da verificare chi ha creato, modificato o eliminato le risorse di Network Watcher, i log di flusso e le acquisizioni di pacchetti. Per altre informazioni, vedere Log attività di Azure.

  • Integrate l'analisi del traffico con Microsoft Sentinel: connettere i dati di analisi del traffico a Microsoft Sentinel per il rilevamento delle minacce, l'analisi e la correlazione con altre origini dati di sicurezza. Sentinel fornisce regole di analisi per i rilevamenti, ad esempio la forza bruta RDP, sweep di porte, anomalie del traffico, analisi delle porte, connessioni con errori eccessivi, ìanomalie SMB, beaconing e uso improprio delle porte. Per altre informazioni, vedere Integrate Microsoft Sentinel con analisi del traffico.

  • Usare l'analisi del traffico per rilevare le anomalie di rete: abilitare l'analisi del traffico nei log dei flussi per identificare le porte aperte a Internet, le macchine virtuali che comunicano con indirizzi IP non noti e il traffico tra aree impreviste. Usare il dashboard di analisi del traffico nel portale di Azure per ottenere visibilità sulla sicurezza in corso. Per altre informazioni, vedere Analisi del traffico.

  • Applica la segmentazione Zero Trust attraverso l'analisi del traffico: usa i dati dell'analisi del traffico per passare da un approccio di rete che consente tutto per impostazione predefinita a uno che nega tutto per impostazione predefinita. Analizzare i modelli di traffico osservati per creare regole di autorizzazione selettiva, rilevare il traffico dalle aree ad alto rischio e identificare i gap di segmentazione di rete. Per altre informazioni, vedi Applica i principi Zero Trust con l'analisi del traffico.

Conformità e governance

  • Imporre l'abilitazione dei log di flusso con Criteri di Azure: usare i criteri di Azure predefiniti per verificare e distribuire automaticamente i log di flusso della rete virtuale in tutte le sottoscrizioni. Questo approccio garantisce che le nuove reti virtuali abbiano automaticamente la registrazione dei flussi abilitata e contrassegni le risorse non conformi. Per altre informazioni, vedere Gestire i log dei flussi di rete virtuale usando Criteri di Azure.

  • Applica l'analisi del traffico con Criteri di Azure: usare i criteri predefiniti per verificare se l'analisi del traffico è abilitata nei log di flusso. I criteri deployIfNotExists predefiniti per l'analisi del traffico configurano i log di flusso dei gruppi di sicurezza di rete (NSG), che non potranno più essere creati dopo il 30 giugno 2025 e verranno ritirati il 30 settembre 2027; per le nuove distribuzioni usare i log di flusso della rete virtuale. Per altre informazioni, vedi Gestire l'analisi del traffico usando Criteri di Azure e Eseguire la migrazione dai log dei flussi NSG ai log del flusso della rete virtuale.

  • Usare la diagnostica del gruppo di sicurezza di rete e le regole di sicurezza efficaci per i controlli di conformità: prima e dopo aver apportato modifiche alla rete, usare la diagnostica del gruppo di sicurezza di rete per verificare che i flussi di traffico specifici siano consentiti o negati correttamente. Usare regole di sicurezza valide per esportare un csv scaricabile di tutte le regole in ingresso e in uscita per la documentazione di controllo. Per altre informazioni, vedere panoramica della diagnostica NSG e panoramica delle regole di sicurezza effettive.

  • Convalidare le regole del flusso IP prima e dopo le modifiche: usare la verifica del flusso IP per verificare che le regole di autorizzazione e negazione previste vengano applicate a macchine virtuali specifiche prima di distribuire le modifiche nell'ambiente di produzione. Ciò impedisce l'esposizione imprevista da regole del gruppo di sicurezza di rete o di gestione rete virtuale di Azure non configurate correttamente. Per altre informazioni, vedere Panoramica della verifica del flusso IP.

Backup e ripristino

  • Configura i criteri di conservazione dei log di flusso: per i log di flusso dei gruppi di sicurezza di rete, imposta i criteri di conservazione per eliminare automaticamente i dati meno recenti dopo un periodo definito, fino a 365 giorni. Per i log del flusso della rete virtuale, usare la gestione del ciclo di vita di archiviazione Azure negli account di archiviazione per utilizzo generico v2 per l'assegnazione automatica dei livelli e l'eliminazione. Per ulteriori informazioni, vedere Panoramica dei log di flusso NSG e Ottimizzare i costi gestendo il ciclo di vita dei dati.

  • Usa l'archiviazione con ridondanza geografica per i dati dei log di flusso: se i log di flusso sono fondamentali per i requisiti di conformità o per le indagini forensi, archiviali in un account di archiviazione con ridondanza geografica (GRS) o con ridondanza geografica con accesso in lettura (RA-GRS) per proteggerti dalle interruzioni a livello di area geografica. Per altre informazioni, vedere Ridondanza di Archiviazione di Azure.

  • Esegui il backup delle configurazioni di analisi del traffico: documenta o esporta le configurazioni di analisi del traffico, incluse le aree di lavoro Log Analytics associate, le regole di raccolta dati e le impostazioni dei log di flusso. Se è necessario ricreare l'ambiente, la presenza di un record di configurazione riduce il tempo di ripristino. Per altre informazioni, vedere Analisi del traffico.

  • Prepararsi all'impatto della rotazione delle chiavi gestite dal cliente: se si utilizzano chiavi gestite dal cliente negli account di archiviazione dei log di flusso, documentare il processo per disabilitare e riattivare i log di flusso dopo la rotazione delle chiavi. Includere questa procedura nei runbook operativi per evitare lacune nella registrazione. Per altre informazioni, vedere Panoramica dei log dei flussi di rete virtuale.

Passaggi successivi

  • Ultimo aggiornamento: