Uw Azure Network Watcher-implementatie beveiligen

Azure Network Watcher biedt hulpprogramma's voor bewaking, diagnose en logboekregistratie van verkeer voor Azure IaaS-resources. Hiermee kunt u pakketten vastleggen, stroomlogboeken analyseren, verbindingsproblemen vaststellen en regels voor netwerkbeveiligingsgroepen controleren. Omdat Network Watcher een breed inzicht heeft in uw netwerkverkeer en -configuratie, is het beveiligen van de implementatie, de uitvoer van de gegevens en de identiteiten die toegang tot het netwerk essentieel zijn. Dit artikel bevat beveiligingsaanaanveling voor Azure Network Watcher.

Zie Wat is Azure netwerkbeveiliging? voor een overzicht van de netwerkbeveiligingsservices van Azure en hoe deze samenwerken.

In de aanbevelingen voor beveiliging in dit artikel worden zero Trust-principes geïmplementeerd: 'Expliciet verifiëren', 'Minimale toegang tot bevoegdheden gebruiken' en 'Inbreuk aannemen'. Zie het Zero Trust Guidance Center voor uitgebreide richtlijnen voor Zero Trust.

Servicespecifieke beveiliging

De meeste hulpprogramma's van Network Watcher dienen alleen voor bewaking, maar functies zoals het vastleggen van pakketten installeren en gebruiken de AzureNetworkWatcherExtension op doel-VM's en vereisen machtigingen voor compute en extensies. Omdat Network Watcher gevoelige gegevens verzamelt, waaronder nettoladingen van pakketten, stroomrecords en topologiegegevens, behandelen Network Watcher en de bijbehorende gegevensarchieven als beveiligingsgevoelige onderdelen:

  • Beperk in welke regio's Network Watcher is ingeschakeld: Network Watcher wordt automatisch ingeschakeld in elke regio waar u virtuele netwerkresources hebt. Als u geen diagnostische gegevens in een bepaalde regio nodig hebt, schakelt u Network Watcher uit om de kwetsbaarheid voor aanvallen te verminderen, maar plan zorgvuldig: als u een regionaal Network Watcher exemplaar verwijdert, worden alle Network Watcher actieve bewerkingen, historische gegevens en waarschuwingen zonder optie om terug te keren verwijderd. Zie Azure Network Watcher in- of uitschakelen voor meer informatie.

  • Opslagaccounts voor stroomlogboeken behandelen als beveiligingsgevoelig: stroomlogboeken en pakketopnamen bevatten gedetailleerde netwerkverkeersgegevens. Beperk de toegang tot de opslagaccounts die deze gegevens bevatten met dezelfde rigor die u toepast op andere beveiligingsgevoelige gegevensarchieven. Zie Azure Storage-firewalls en virtuele netwerken configureren voor meer informatie.

  • Het bereik van Network Watcher begrijpen: Network Watcher is afgebakend per abonnement en per regio. Elk abonnement kan één Network Watcher exemplaar per regio hebben. Plan uw identiteits- en toegangsbeheer dienovereenkomstig wanneer u in meerdere abonnementen werkt. Zie What is Azure Network Watcher? voor meer informatie.

Netwerkbeveiliging

Network Watcher is voornamelijk een hulpprogramma voor analyzing netwerkbeveiliging. De volgende aanbevelingen zijn gericht op het beveiligen van de netwerkpaden en opslagbronnen die Network Watcher afhankelijk zijn van. Zie Beveilig uw Azure Virtual Network-implementatie voor aanbevelingen voor het beveiligen van uw virtuele netwerken zelf.

  • Gebruik stroomlogboeken voor virtuele netwerken in plaats van NSG-stroomlogboeken: NSG-stroomlogboeken worden buiten gebruik gesteld op 30 september 2027 en er kunnen geen nieuwe NSG-stroomlogboeken worden gemaakt na 30 juni 2025. Migreer bestaande implementaties naar virtuele-netwerkstroomlogboeken, die op het niveau van het virtuele netwerk werken, dubbele logboekregistratie door geneste evaluaties van NSG's elimineren en het bijhouden van de versleutelingsstatus mogelijk maken. Schakel NSG-stroomlogboeken uit voordat u stroomlogboeken voor virtuele netwerken in hetzelfde bereik inschakelt om redundante gegevens en kosten te voorkomen. Zie Migreren van NSG-stroomlogboeken naar stroomlogboeken voor virtuele netwerken en overzicht van stroomlogboeken voor virtuele netwerken voor meer informatie.

  • Netwerktoegang beperken tot stroomlogboekopslagaccounts: firewalls en regels voor virtuele netwerken configureren voor de opslagaccounts die stroomlogboeken ontvangen. Als u het opslagaccount achter een firewall plaatst, staat u vertrouwde Microsoft-services toe, zodat Network Watcher stroomlogboekgegevens kan schrijven of een privé-eindpunt of service-eindpunt voor het opslagaccount kan gebruiken. Zie Network Watcher veelgestelde vragen voor meer informatie.

  • Gebruik privé-eindpunten voor opslagaccounts voor flowlogboeken: Als uw flowlogboeken gevoelige metagegevens over netwerkverkeer bevatten, gebruikt u privé-eindpunten op het opslagaccount om gegevensoverdracht op het backbone-netwerk van Microsoft te houden en weg van het openbare internet. Zie Privé-eindpunten gebruiken voor Azure Storage voor meer informatie.

  • Beveiligde opslag voor pakketopnamen: pakketopnamen kunnen volledige nettoladinggegevens bevatten en worden opgeslagen op de lokale schijf van de VIRTUELE machine of in een opslagblob. Pas dezelfde netwerktoegangsbeperkingen toe voor opslagaccounts voor pakketopnamen die u toepast op stroomlogboekopslag. Zie voor meer informatie het overzicht van pakketopnamen.

Identiteits- en toegangsbeheer

  • Wijs rollen met minimale bevoegdheden toe voor Network Watcher-bewerkingen: De ingebouwde rol Network Contributor biedt toegang tot Network Watcher-functies, maar sluit Microsoft.Storage/*, Microsoft.Compute/* en Microsoft.OperationalInsights/workspaces/*-acties bewust uit. Wijs alleen extra machtigingen toe aan identiteiten die stroomlogboeken, pakketopnamen of verkeersanalyses moeten configureren. Zie RBAC-machtigingen die zijn vereist voor het gebruik van Network Watcher voor meer informatie.

  • Maak aangepaste RBAC-rollen voor gespecialiseerde taken: Wijs niet de rol Inzender of Eigenaar toe op abonnementsniveau, maar maak aangepaste rollen die alleen de Network Watcher-acties bevatten die elk team nodig heeft. Een bewakingsteam heeft bijvoorbeeld leestoegang nodig tot stroomlogboeken, maar niet de mogelijkheid om pakketopnamen te maken. Zie aangepaste Azure-rollen voor meer informatie.

  • Beheerde identiteiten gebruiken voor stroomlogboeken voor virtuele netwerken: configureer een door de gebruiker toegewezen beheerde identiteit om stroomlogboekschrijfbewerkingen naar opslagaccounts te autoriseren. Deze aanpak elimineert de noodzaak van opslagaccountsleutels of SAS-tokens en komt overeen met Zero Trust principes. Wijs de rol Inzender voor opslagblobgegevens toe aan de beheerde identiteit in het doelopslagaccount. Zie Beheerde identiteit voor stroomlogboeken voor virtuele netwerken voor meer informatie.

  • Beperken wie pakketopnamen kan initiëren: Pakketopname maakt een VM-extensie en heeft toegang tot onbewerkt netwerkverkeer. Beperk de Microsoft.Network/networkWatchers/packetCaptures/write machtiging voor beveiligings- en operationele teams die een legitieme behoefte hebben aan inspectie op nettoladingsniveau. Zie RBAC-machtigingen die zijn vereist voor het gebruik van Network Watcher voor meer informatie.

  • Baken machtigingen voor Traffic Analytics zorgvuldig af: Traffic Analytics vereist, naast Network Watcher, machtigingen voor Log Analytics-werkruimten, regels voor gegevensverzameling en eindpunten voor gegevensverzameling. Machtigingen die zijn overgenomen van beheergroepen, worden niet ondersteund voor verkeersanalyses. Wijs ze toe op abonnements- of resourcegroepniveau. Zie RBAC-machtigingen die zijn vereist voor het gebruik van Network Watcher voor meer informatie.

Gegevensbeveiliging

  • Versleuteling inschakelen voor opslagaccounts voor stroomlogboeken: gebruik Azure Storage-versleuteling met sleutels die door Microsoft worden beheerd of door de klant beheerde sleutels voor stroomlogboekgegevens die in rust zijn opgeslagen. Als u door de klant beheerde sleutels gebruikt, moet u er rekening mee houden dat het roteren van de sleutel ervoor zorgt dat de stroomlogboeken van virtuele netwerken worden gestopt. U moet stroomlogboeken uitschakelen en vervolgens opnieuw inschakelen na sleutelrotatie. Voor meer informatie, zie Azure Storage-versleuteling voor gegevens in rust.

  • Pakketopnamegegevens in rust beveiligen: Pakketopnamen die zijn opgeslagen in Azure Blob Storage, zijn in rust versleuteld met Azure Storage-versleuteling. Bij het opslaan van opnamen op de lokale schijf van een virtuele machine, versleutelt u de schijf met behulp van Azure Disk Encryption of versleuteling op de host. Zie voor meer informatie het overzicht van pakketopnamen.

  • Sleuteltoegang inschakelen voor pakketopnameopslag: Pakketopname maakt gebruik van SAS-tokens om schrijfbewerkingen naar opslagaccounts te autoriseren en sleuteltoegang moet zijn ingeschakeld op het opslagaccount om deze SAS-tokens te autoriseren. Als sleuteltoegang niet is ingeschakeld, slaat u in plaats daarvan pakketopnamen op de lokale schijf van de VIRTUELE machine op. Zie voor meer informatie het overzicht van pakketopnamen.

  • Beperk de toegang tot een Log Analytics-werkruimte voor Traffic Analytics: Traffic Analytics verzendt geaggregeerde en verrijkte flowgegevens naar een Log Analytics-werkruimte. Gebruik toegangsbeheer op werkruimteniveau of RBAC op resourceniveau om te beperken wie query's op deze gegevens kan uitvoeren. Zie Toegang tot Log Analytics-werkruimten beheren voor meer informatie.

Logboekregistratie en bewaking

  • Verzameling van activiteitenlogboeken voor Network Watcher-bewerkingen inschakelen: Leid het Azure-activiteitenlogboek om naar een Log Analytics-werkruimte of opslagaccount, zodat u kunt nagaan wie Network Watcher-resources, flowlogboeken en pakketopnamen heeft gemaakt, gewijzigd of verwijderd. Zie Het Azure-activiteitenlogboek voor meer informatie.

  • Integreer Traffic Analytics met Microsoft Sentinel: Verbind Traffic Analytics-gegevens met Microsoft Sentinel voor detectie van bedreigingen, onderzoek en correlatie met andere gegevensbronnen voor beveiliging. Sentinel biedt analyseregels voor detecties zoals RDP-beveiligingsaanvallen, poortvegeringen, verkeersafwijkingen, poortscans, overmatige mislukte verbindingen, SMB-afwijkingen, aconing en poortmisbruik. Zie Integrate Microsoft Sentinel with traffic analytics voor meer informatie.

  • Gebruik verkeersanalyse om netwerkafwijkingen te detecteren: schakel verkeersanalyse in uw stroomlogboeken in om open poorten voor internet te identificeren, VM's die communiceren met bekende- slechte IP-adressen en onverwacht verkeer tussen regio's. Gebruik het dashboard traffic analytics in de Azure-portal voor doorlopende zichtbaarheid van de beveiliging. Zie Traffic Analytics voor meer informatie.

  • Pas Zero Trust-segmentatie toe met behulp van verkeersanalyse: Gebruik gegevens uit verkeersanalyse om over te stappen van een standaard-toestaanbeleid naar een standaard-weigerenbeleid voor het netwerk. Analyseer waargenomen verkeerspatronen om regels voor selectief toestaan te maken, verkeer van regio's met een hoog risico te detecteren en hiaten in netwerksegmentatie te identificeren. Zie Zero Trust-principes toepassen met verkeersanalyse voor meer informatie.

Naleving en bestuur

  • Enforce-stroomlogboeken inschakelen met Azure Policy: Gebruik ingebouwd Azure-beleid voor het controleren en automatisch implementeren van stroomlogboeken voor virtuele netwerken in uw abonnementen. Deze aanpak zorgt ervoor dat voor nieuwe virtuele netwerken automatisch stroomlogboekregistratie is ingeschakeld en dat niet-compatibele resources worden gevlagd. Zie Stroomlogboeken voor virtuele netwerken beheren met behulp van Azure Policy voor meer informatie.

  • Verkeersanalyse afdwingen met Azure Policy: Gebruik ingebouwde beleidsregels om te controleren of verkeersanalyse is ingeschakeld voor uw stroomlogboeken. Ingebouwde deployIfNotExists-beleidsregels voor traffic analytics configureren NSG-stroomlogboeken, die niet nieuw kunnen worden gemaakt na 30 juni 2025 en buiten gebruik worden gesteld op 30 september 2027; gebruik stroomlogboeken voor virtuele netwerken voor nieuwe implementaties. Zie Verkeersanalyse beheren met behulp van Azure Policy en Migratie van NSG-stroomlogboeken naar logboeken voor virtuele netwerkstroom voor meer informatie.

  • Gebruik NSG-diagnostische gegevens en effectieve beveiligingsregels voor nalevingscontroles: Voor en na het aanbrengen van netwerkwijzigingen gebruikt u NSG-diagnostische gegevens om te controleren of specifieke verkeersstromen correct zijn toegestaan of geweigerd. Gebruik effectieve beveiligingsregels om een downloadbare CSV te exporteren van alle inkomende en uitgaande regels voor auditdocumentatie. Zie het overzicht van NSG-diagnostische gegevens en het overzicht van effectieve beveiligingsregels voor meer informatie.

  • IP-stroomregels voor en na wijzigingen valideren: Gebruik IP-stroomverificatie om te bevestigen dat de beoogde regels voor toestaan en weigeren worden toegepast op specifieke VM's voordat wijzigingen in productie worden geïmplementeerd. Dit voorkomt onbedoelde blootstelling aan onjuist geconfigureerde NSG- of Azure Virtual Network Manager-regels. Zie het overzicht van IP-stroomverificatie voor meer informatie.

Back-up en herstel

  • Bewaarbeleid voor stroomlogboeken configureren: voor NSG-stroomlogboeken stelt u bewaarbeleid in om oude gegevens automatisch te verwijderen na een gedefinieerde periode, tot 365 dagen. Voor stroomlogboeken van virtuele netwerken gebruikt u Azure Storage levenscyclusbeheer voor v2-opslagaccounts voor algemeen gebruik voor geautomatiseerde lagen en verwijdering. Zie overzicht van NSG-stroomlogboeken en Kosten optimaliseren door de levenscyclus van gegevens te beheren voor meer informatie.

  • Gebruik geografisch redundante opslag voor stroomlogboekgegevens: als stroomlogboeken essentieel zijn voor uw nalevings- of forensische onderzoeken, slaat u deze op in een geografisch redundante opslag (GRS) of geografisch redundante opslag met leestoegang (RA-GRS) om te beschermen tegen regionale storingen. Zie Redundantie in Azure Storage voor meer informatie.

  • Back-up maken van configuraties voor traffic analytics: documenteer of exporteer uw configuraties voor traffic analytics, inclusief de bijbehorende Log Analytics werkruimten, regels voor gegevensverzameling en stroomlogboekinstellingen. Als u uw omgeving opnieuw moet opbouwen, verkort het hebben van een configuratierecord de hersteltijd. Zie Traffic Analytics voor meer informatie.

  • Plannen voor door de klant beheerde sleutelrotatie: als u door de klant beheerde sleutels gebruikt voor uw stroomlogboekopslagaccounts, documenteert u het proces voor het uitschakelen en opnieuw inschakelen van stroomlogboeken na sleutelrotatie. Neem deze procedure op in uw operationele runbooks om hiaten in logboekregistratie te voorkomen. Zie het overzicht van stroomlogboeken voor virtuele netwerken voor meer informatie.

Volgende stappen 

  • Laatst bijgewerkt om