Uw Azure Firewall-implementatie beveiligen

Azure Firewall is een beheerde, cloudgebaseerde netwerkbeveiligingsservice die uw Azure Virtual Network-resources beschermt. Als een volledig stateful firewall as een dienst met ingebouwde hoge beschikbaarheid en onbeperkte cloudschaalbaarheid, biedt Azure Firewall gecentraliseerde beleidshandhaving voor verkeer dat binnenkomt, vertrekt en beweegt over je Azure-netwerken.

Dit artikel geeft beveiligingsaanbevelingen voor Azure Firewall. Door deze aanbevelingen te implementeren, kunt u voldoen aan uw beveiligingsverplichtingen en de algehele beveiligingspostuur van uw implementatie verbeteren. Voor een overzicht van Azure's netwerkbeveiligingsdiensten en hoe ze samenwerken, zie Wat is Azure netwerkbeveiliging?

In de aanbevelingen voor beveiliging in dit artikel worden zero Trust-principes geïmplementeerd: 'Expliciet verifiëren', 'Minimale toegang tot bevoegdheden gebruiken' en 'Inbreuk aannemen'. Zie het Zero Trust Guidance Center voor uitgebreide richtlijnen voor Zero Trust.

Netwerkbeveiliging

Netwerkbeveiliging voor Azure Firewall richt zich op veilige implementatie, gecentraliseerde inspectie en beleidscontroles die de blootstelling tussen hub-and-spoke en hybride netwerken verminderen.

  • Deploy Azure Firewall in een dedicated subnet: Gebruik de vereiste AzureFirewallSubnet met een minimale grootte van /26, deploy geen andere resources in het subnet en houd workload route tables op workloadsubnets in plaats van op het firewallsubnet, tenzij een gedocumenteerd forced-tunneling ontwerp firewall-subnet routes vereist. Voor meer informatie, zie Azure Firewall FAQ.

  • Kies de juiste Azure Firewall SKU: Azure Firewall is beschikbaar in drie SKU's: Basic voor kleine en middelgrote bedrijven met een doorvoersnelheid tot 250 Mbps, Standard en Premium. Gebruik Premium wanneer je geavanceerde beveiligingsfuncties nodig hebt zoals IDPS, TLS-inspectie en URL-filtering. Gebruik Standaard of Premium als je webcategorieën nodig hebt, die niet beschikbaar zijn in Basic. Zie De juiste Azure Firewall-SKU kiezen om aan uw behoeften te voldoen voor meer informatie.

  • Schakel dreigingsintelligentie-gebaseerde filtering in: Configureer dreigingsintelligentie-gebaseerde filtering om verkeer te waarschuwen van bekende kwaadaardige IP-adressen, FQDN's en URL's. Gebruik Standard of Premium wanneer je alert-en-weigermodus nodig hebt, want Basic ondersteunt alleen de alert-modus. Voor meer informatie, zie Azure Firewall threat intelligence-gebaseerde filtering en Kies de juiste Azure Firewall SKU die aan uw behoeften voldoet.

  • Implementeer IDPS voor geavanceerde dreigingsdetectie: Gebruik het Azure Firewall Premium intrusion detection and prevention system (IDPS) om kwaadaardige netwerkactiviteit te detecteren en blokkeren op basis van door Microsoft beheerde handtekeningen. Stem handtekeningacties af om valse positieven te verminderen en dreigingen met hoge betrouwbaarheid te ontkennen. Zie Azure Firewall Premium-functies voor meer informatie.

  • Configureer DNS-proxyfunctionaliteit: Schakel DNS-proxy in zodat clients en Azure Firewall consistente naamresolutie gebruiken voor FQDN-gebaseerde regels. Deze DNS-configuratie vermindert het risico op regelomzeiling of verbindingsstoringen veroorzaakt door verschillende DNS-antwoorden. Zie de details van de DNS-proxy van Azure Firewall voor meer informatie.

  • Gebruik managed rule targets voor Azure- en Microsoft-services: Gebruik servicetags in netwerkregels en FQDN-tags in applicatieregels in plaats van handmatig IP-adresbereiken en service-endpointlijsten bij te houden. Voor TCP- of UDP-protocollen die domeingebaseerde filtering nodig hebben, gebruik FQDN-filtering in netwerkregels en schakel DNS-proxy in. Voor meer informatie, zie Overzicht van Azure Firewall servicetags, FQDN-tags overzicht voor Azure Firewall, en Azure Firewall FQDN-filtering in netwerkregels.

  • Gebruik geforceerde tunneling voor hybride omgevingen: Configureer geforceerd tunnelen wanneer internetverkeer via beveiligingsapparaten of gecentraliseerde inspectiepaden op locatie moet worden geleid. Schakel de beheernetwerkinterface in, zodat AzureFirewallManagementSubnet het firewallbeheerverkeer gescheiden blijft van klantverkeer. Zie Geforceerde tunneling van Azure Firewall voor meer informatie.

  • Schakel TLS-inspectie in voor versleuteld verkeer: Gebruik Azure Firewall Premium TLS-inspectie om versleuteld uitgaand en oost-west verkeer te inspecteren waar je beveiligingsbeleid dat vereist. Sla de benodigde certificaten op en beheer ze in Azure Key Vault. Zie Azure Firewall Premium-certificatenvoor meer informatie.

  • Evalueer expliciete proxy voor gecontroleerde HTTP/S-uitgang: Gebruik de expliciete proxy van Azure Firewall (preview) wanneer je applicaties kunt configureren om uitgaand HTTP/S-verkeer direct naar het privé-IP-adres van de firewall te sturen zonder een door de gebruiker gedefinieerde route. Gebruik applicatieregels voor expliciet proxyverkeer en gebruik een proxy auto-configuratie (PAC) bestand wanneer je centraal beheerde clientproxy-instellingen nodig hebt. Voor meer informatie, zie Azure Firewall explicit proxy (preview).

  • Schakel webcategorieën in: Gebruik webcategorieën om toegang te controleren tot categorieën van websites, zoals sociale netwerken of gokken, die niet voldoen aan je beleid voor acceptabel gebruik. Webcategorieën verminderen de administratieve overhead vergeleken met het bijhouden van toelaat- en weigeringslijsten van individuele FQDN's. Zie Azure Firewall-webcategorieën voor meer informatie.

  • Plan SNAT-capaciteit voor uitgaande schaal: Voeg meerdere publieke IP-adressen toe of integreer met Azure NAT Gateway wanneer je meer SNAT-poorten nodig hebt voor uitgaande workloads met een hoog volume. Gebruik geen NAT Gateway met beveiligde virtuele hub-firewalls. Gebruik NAT Gateway V2 wanneer je zone-redundante SNAT met een zone-redundante firewall nodig hebt. Voor meer informatie, zie Scale SNAT-poorten met Azure NAT Gateway en Integrate Azure Firewall with NAT Gateway V2.

Identiteits- en toegangsbeheer

Identiteits- en toegangsbeheer voor Azure Firewall controleert wie firewallresources kan beheren, firewallbeleid kan aanpassen en managementplane-operaties kan automatiseren.

  • Gebruik Microsoft Entra ID voor toegang tot het managementplane: Vereis dat beheerders en automatiseringsidentiteiten authenticeren via Microsoft Entra ID wanneer ze Azure Firewall beheren via het Azure-portaal, Azure Resource Manager, Azure CLI, of PowerShell. Voor meer informatie, zie Over rollen en rechten voor Azure Firewall.

  • Wijs minst privilege Azure RBAC-rollen toe: Scope ingebouwde rollen zoals Network Contributor aan de specifieke firewall, firewallbeleid, resourcegroep of beheergroep die beheerders moeten beheren. Vermijd brede Owner- of Contributor-toewijzingen wanneer netwerk-only permissies voldoende zijn. Voor meer informatie, zie Over Azure Firewall-rollen en -rechten.

  • Maak aangepaste rollen aan voor alleen toegang tot firewall-beleid: Gebruik aangepaste Azure RBAC-rollen wanneer beheerders het firewallbeleid moeten bewerken, maar geen virtuele netwerken, publieke IP-adressen, routetabellen of andere netwerkbronnen moeten beheren. Zie aangepaste Azure-rollen voor meer informatie.

  • Gebruik Privileged Identity Management voor promotie: Maak functies met hoge impact in aanmerking komende in plaats van permanent actief. Vereist goedkeuring, rechtvaardiging, multifactorauthenticatie en tijdgebonden activatie voor rolactivaties die schrijftoegang verlenen aan Azure Firewall, Firewall Policy, publieke IP-adressen en virtuele netwerkbronnen — zoals Network Contributor en eventuele aangepaste firewallbeheerdersrollen. Voor meer informatie, zie integratie van Privileged Identity Management met Azure RBAC.

  • Vereis Conditionele Toegang voor beheersessies: Pas Conditionele Toegangsbeleid toe die multifactorauthenticatie vereisen en compliant apparaten voor identiteiten die Azure Firewall-instanties kunnen aanmaken, wijzigen of verwijderen, Firewall Policies, publieke IP-adressen, routetabellen en de hub-virtuele netwerken waarop de firewall afhankelijk is. Voor meer informatie, zie MFA vereisen voor Azure-beheer.

  • Beperk de rechten van service principals voor automatisering: Ken automatiseringsidentiteiten alleen toe die nodig zijn om firewallbronnen en -beleid uit te zetten, exporteren of bij te werken, en beperk die toewijzingen zo smal mogelijk. Geef de voorkeur aan beheerde identiteiten wanneer je automatiseringsplatform het ondersteunt. Voor meer informatie, zie Over rollen en rechten voor Azure Firewall.

  • Gescheiden taken over beheerderslagen: ontwerp een gelaagd beheerdermodel waarbij DevOps-teams applicatiewijzigingen kunnen aanvragen of implementeren, maar gedeeld beveiligingsbeleid niet direct kunnen wijzigen, en beveiligingsbeheerders het firewallbeleid goedkeuren of beheren. Gebruik roltoewijzingen, aangepaste rollen en deployment-pipelines om de scheiding van taken af te dwingen. Voor meer informatie, zie Over rollen en rechten voor Azure Firewall.

Gegevensbescherming

Gegevensbescherming voor Azure Firewall richt zich op het beschermen van geïnspecteerd verkeer, configuratiegegevens, certificaten en logs die gevoelige netwerkinformatie kunnen bevatten.

  • Implementeer TLS-inspectie met correct certificaatbeheer: Sla het TLS-inspectie tussentijdse CA-certificaat op in Azure Key Vault en verleen de firewall beheerde identiteit alleen de vereiste geheime permissies. Gebruik hiervoor het Key Vault-toegangsbeleidsmodel, omdat Azure Firewall geen Azure RBAC-autorisatie ondersteunt voor het ophalen van TLS-inspectiecertificaten. Zie Azure Firewall Premium-certificatenvoor meer informatie.

  • Beperk de toegang tot versleutelde protocollen: Configureer firewallregels om versleutelde protocollen (zoals HTTPS) toe te staan en blokkeer of beperk platte tekstpoorten waar zakelijke vereisten dat toelaten. Het combineren van regelverzamelingen met prioriteiten en verwerkingsvolgorde helpt deze beslissingen voorspelbaar af te dwingen. Voor meer informatie, zie Azure Firewall rule processing logic.

  • Gebruik URL-filtering voor gedetailleerde controle: Pas URL-filtering toe om volledige URL's te controleren in plaats van alleen FQDN's wanneer je precieze toelaat- of weigeringsbeslissingen voor webverkeer nodig hebt. Deze filtering helpt kwaadaardige paden te blokkeren die op anders legitieme domeinen worden gehost. Zie Azure Firewall Premium-functies voor meer informatie.

  • Beperk de toegang tot diagnostische gegevens: Behandel Azure Firewall-logs als gevoelig omdat ze bron- en bestemmings-IP-adressen, URL's, poorten en regelbeslissingen kunnen bevatten. Gebruik RBAC op Log Analytics-werkruimtes, opslagaccounts en event hubs die firewalldiagnostiek ontvangen. Zie Azure Firewall-logboeken en metrische gegevens bewaken voor meer informatie.

Logboekregistratie en bewaking

Logging en monitoring voor Azure Firewall bieden inzicht in verkeersstromen, beleidsbeslissingen, dreigingen, prestaties en configuratiewijzigingen voor onderzoek en respons.

  • Schakel Azure Firewall diagnostische logging in: Configureer diagnostische instellingen om Azure Firewall-logs en -metrics naar een Log Analytics-werkruimte, opslagaccount of event hub te sturen. Leg netwerkregels, applicatieregels, NAT-regels, threat intelligence, IDPS, DNS-proxy, interne FQDN-resolutiefouten, topflow en flow trace-logs vast zoals passend voor je implementatie. Zie Azure Firewall-logboeken en metrische gegevens bewaken voor meer informatie.

  • Gebruik resource-specifieke gestructureerde logs: Stuur Azure Firewall-logs naar resource-specifieke Log Analytics-tabellen zoals AZFWApplicationRule, AZFWNetworkRule, , AZFWNatRuleAZFWThreatIntel, , AZFWIdpsSignature, en AZFWDnsQuery in plaats van alleen te vertrouwen op de legacy-tabelAzureDiagnostics. Resource-specifieke tabellen verbeteren de queryprestaties, schema-ontdekking en tabelniveau-toegangscontrole. Zie Azure Firewall-logboeken en metrische gegevens bewaken voor meer informatie.

  • Integreer met Microsoft Sentinel voor dreigingsdetectie: Verbind Azure Firewall-logs met Microsoft Sentinel zodat beveiligingsteams firewall-events kunnen correleren met identiteit-, endpoint- en workloadsignalen. Gebruik analytics-regels en werkboeken om malware en verdachte verkeerspatronen te detecteren. Zie Malware detecteren met Azure Firewall en Microsoft Sentinel voor meer informatie.

  • Gebruik Security Copilot voor IDPS-onderzoeken: Wanneer uw organisatie Microsoft Security Copilot gebruikt, schakel dan de integratie van Azure Firewall in om IDPS-detecties over firewalls heen te onderzoeken door gestructureerde IDPS-logs in Log Analytics en de juiste RBAC te gebruiken Toestemmingen. Voor meer informatie, zie integratie van Azure Firewall in Microsoft Security Copilot.

  • Monitor waarschuwingen voor dreigingsintelligentie: Creëer waarschuwingen en operationele processen voor threat intelligence-hits, zodat analisten snel verkeer naar of van bekende kwaadaardige bronnen kunnen onderzoeken. Gebruik automatisering voor high-confidence indicatoren wanneer responsacties goed getest zijn. Zie Filteren op basis van bedreigingsinformatie van Azure Firewall voor meer informatie.

  • Configureer prestatiemonitoring en waarschuwingen: Monitor doorvoer, latency, firewall-gezondheid, SNAT-poortgebruik en regelhit-tellingen met Azure Monitor. Waarschuw voor capaciteits- of beschikbaarheidsdrempels voordat gebruikers applicatiestoringen ervaren. Zie Best practices voor Prestaties van Azure Firewall voor meer informatie.

  • Monitor Resource Health firewallbeschikbaarheid: Gebruik Azure Resource Health met Azure Firewall metrics zodat operationele teams platformdegradatie kunnen detecteren, servicegezondheidsgebeurtenissen kunnen onderzoeken en meldingen kunnen ontvangen wanneer firewallbeschikbaarheid wordt beïnvloed. Zie Het overzicht van Resource Health voor meer informatie.

  • Bekijk beleidsanalyses en regelwijzigingen: Gebruik Policy Analytics om ongebruikte regels en te brede regels te identificeren. Gebruik het volgen van regelsetwijzigingen om onverwachte configuratiewijzigingen te detecteren. Regelmatige beoordelingen verminderen regelverspreiding en verbeteren de effectiviteit van het beleid. Voor meer informatie, zie Azure Firewall Policy Analytics en Track Azure Firewall rule set changes.

  • Gebruik Azure Firewall Workbook voor analyse: Deploy en bekijk dashboards van Azure Firewall Workbook om gebeurtenissen, regels, bedreigingen en trends over meerdere firewalls te analyseren vanuit één enkele Azure-portaalervaring. Voor meer informatie, zie Azure Firewall Workbook.

  • Stel logretentie in voor onderzoeken en naleving: Stel bewaartermijnen in op basis van incidentrespons, audit en regelgeving. Sla langetermijnarchieven op in beschermde opslag wanneer operationele werkruimtes een kortere retentie gebruiken. Zie Azure Firewall-logboeken en metrische gegevens bewaken voor meer informatie.

Naleving en bestuur

Compliance en governance voor Azure Firewall helpen u consistente beleids-, inventaris- en beveiligingsbaselines te behouden over abonnementen, regio's en netwerkarchitecturen.

  • Gebruik Azure Policy voor configuratiehandhaving: Wijs ingebouwde en aangepaste Azure Policy-definities toe om eisen zoals dreigingsintelligentie, diagnostische instellingen, toegestane SKU's en beschikbaarheidszone-implementatie te controleren of af te dwingen. Zie Azure Policy gebruiken om uw Azure Firewall-implementaties te beveiligen voor meer informatie.

  • Onderhoud de resource-inventaris met Azure Resource Graph: Zoek Azure Firewall, Firewall Policy, publiek IP, routetabel en diagnostische instellingen op tussen abonnementen om dekkingsgaten en configuratieafwijkingen te identificeren. Gebruik opgeslagen zoekopdrachten of dashboards voor terugkerende recensies. Zie Azure Resource Graph overview voor meer informatie.

  • Pas consistente tags toe op firewallbronnen: Gebruik tags voor eigendom, omgeving, kostencentrum, dataclassificatie en criticaliteit zodat teams firewallresources en gerelateerde beleidsregels consistent kunnen beheren. Handhaaf vereiste tags met Azure Policy. Voor meer informatie, zie Gebruik Azure Policy om taggingregels en conventies af te dwingen.

  • Centraliser beleid met Azure Firewall Manager: Gebruik Azure Firewall Manager om firewallbeleid te beheren over beveiligde virtuele hubs en hub-virtuele netwerken vanuit een gecentraliseerd controlevlak. Dit gecentraliseerde beheer helpt inconsistente regels tussen abonnementen en regio's te verminderen. Voor meer informatie, zie Wat is Azure Firewall Manager?

  • Gebruik beleidshiërarchie en overerving voor hub-and-spoke: Structureer ouder- en kindfirewallbeleid zodat globale beveiligingsvereisten overnemen op regionale of applicatiespecifieke beleidslijnen, terwijl gecontroleerde lokale uitzonderingen worden toegestaan. Dit model ondersteunt consistent bestuur in grote hub-and-spoke-implementaties. Voor meer informatie, zie het beleidsoverzicht van Azure Firewall Manager.

  • Koppel DDoS-bescherming aan beveiligde hub-virtuele netwerken: Gebruik Azure Firewall Manager om Azure DDoS-beschermingsplannen te koppelen aan hub-virtuele netwerken die Azure Firewall bevatten. DDoS Protection ondersteunt geen Virtual WAN-hubs, dus gebruik de associatie voor ontwerpen van virtuele netwerkhubs. Voor meer informatie, zie Configure Azure DDoS Protection Plan met Azure Firewall Manager.

  • Controleer compliance-certificeringen: Controleer de scope van de Azure Firewall-audit aan de hand van uw regelgeving en organisatienormen. Gebruik de lijst met gezaghebbende compliance-aanbiedingen wanneer je beoordeelt of Azure Firewall binnen de scope valt van een verplichte audit. Voor meer informatie, zie Azure Firewall-certificeringen.

  • Standardiseer deployment via infrastructuur als code: Deploy Azure Firewall en Firewall Policy met Bicep, ARM-sjablonen, Terraform of goedgekeurde pipelines, zodat teams wijzigingen consequent beoordelen en implementaties herhaalbaar en auditbaar blijven. Voor meer informatie, zie Bicep-implementatie voor Azure Firewall.

Back-up en herstel

Back-up en herstel voor Azure Firewall richten zich op het behouden van Firewall Policy als bron van waarheid en het ontwerpen van veerkrachtige implementaties die teams kunnen herstellen of failover kunnen doen tijdens storingen.

  • Beheer het firewallbeleid als infrastructuur als code: Definieer en versie firewallbeleid in Bicep, ARM-sjablonen of Terraform, opgeslagen in een broncode-beheerde repository. Behandel die repository als de bron van de waarheid. Gebruik beleidsexport als een bootstrap of momentmomentopname, niet als de voortdurende bron van waarheid. Voor meer informatie, zie Exporttemplate in het Azure-portaal.

  • Deploy Azure Firewall over Beschikbaarheidszones: Gebruik zone-redundante deployments in ondersteunde regio's om de veerkracht tegen datacenter-niveau storingen te vergroten. Neem zone-vereisten op in deployment-standaarden en Azure Policy-toewijzingen. Voor meer informatie, zie Deploy Azure Firewall with Beschikbaarheidszones using Azure PowerShell.

  • Plan multiregio-firewallimplementatie voor disaster recovery: Zet Azure Firewall en afgestemde beleidslijnen uit in gekoppelde of strategisch geselecteerde regio's voor workloads die regionaal disaster recovery vereisen. Zorg ervoor dat je routetabellen, publieke IP's, diagnostiek en beleidstoewijzingen in de secundaire regio kunt recreëren. Voor meer informatie, zie Use Azure Firewall om een hub-and-spoke-topologie over meerdere hubs te routeren.

  • Gebruik de hiërarchie van ouder- en kindfirewallbeleid voor herstel: Bewaar globale regels in ouderbeleid en regionale of workloadregels in kindbeleid, zodat herstelde omgevingen de benodigde controles consistent erven. Deze beleidsstructuur vermindert de handmatige regelreconstructie tijdens het herstel. Voor meer informatie, zie Azure Firewall Manager regelhiërarchie.

  • Test failoverprocedures regelmatig: Controleer of routing, DNS, load balancing, monitoring en beveiligingsregels werken wanneer verkeer naar een secundaire hub of regio verhuist. Neem beveiligingsoperatieteams op bij oefeningen zodat waarschuwings- en incidentresponsprocessen doorgaan tijdens failover. Voor meer informatie, zie Azure Firewall best practices.

  • Plan de herstelcapaciteit rond autoschaalgedrag: standaard en Premium Azure Firewall-implementaties schalen automatisch uit, maar schaalverdeling kan enkele minuten duren nadat het verkeer toeneemt. Monitor de doorvoer en plan failoververkeer zodat herstelgebeurtenissen de capaciteit tijdens het scale-out venster niet overschrijden. Zie voor meer informatie Azure Firewall-prestaties.

Volgende stappen

  • Last updated on