Zabezpieczanie wdrożenia Azure Network Watcher

Azure Network Watcher udostępnia narzędzia do monitorowania, diagnostyki i rejestrowania ruchu dla zasobów IaaS Azure. Umożliwia przechwytywanie pakietów, analizowanie dzienników przepływu, diagnozowanie problemów z łącznością i sprawdzanie reguł sieciowej grupy zabezpieczeń. Ponieważ Network Watcher ma szeroki wgląd w ruch sieciowy i konfigurację, zabezpieczanie wdrożenia, danych wyjściowych i tożsamości, które uzyskują do niej dostęp, ma kluczowe znaczenie. Ten artykuł zawiera zalecenia dotyczące zabezpieczeń Azure Network Watcher.

Aby zapoznać się z omówieniem usług zabezpieczeń sieciowych platformy Azure oraz sposobu ich współdziałania, zobacz Czym są zabezpieczenia sieciowe platformy Azure?.

Zalecenia dotyczące zabezpieczeń w tym artykule implementują zasady Zero Trust: "Weryfikuj dokładnie", "Stosuj dostęp o najmniejszych uprawnieniach" i "Zakładaj, że doszło do naruszenia". Aby uzyskać kompleksowe wskazówki dotyczące zerowego zaufania, zobacz Centrum wskazówek dotyczących zerowego zaufania.

Zabezpieczenia specyficzne dla usługi

Większość narzędzi Network Watcher służy wyłącznie do obserwacji, ale funkcje takie jak przechwytywanie pakietów instalują i używają rozszerzenia AzureNetworkWatcherExtension na docelowych maszynach wirtualnych oraz wymagają uprawnień do zasobów obliczeniowych i rozszerzeń. Ponieważ Network Watcher zbiera poufne dane— w tym ładunki pakietów, rekordy przepływu i informacje o topologii — traktują Network Watcher i jego magazyny danych jako składniki wrażliwe na zabezpieczenia:

  • Ogranicz regiony, w których usługa Network Watcher jest włączona: usługa Network Watcher jest automatycznie włączana w każdym regionie, w którym masz zasoby sieci wirtualnych. Jeśli nie potrzebujesz diagnostyki w danym regionie, wyłącz tam usługę Network Watcher, aby zmniejszyć powierzchnię ataku, ale dokładnie to zaplanuj: usunięcie wystąpienia usługi Network Watcher w danym regionie powoduje usunięcie wszystkich bieżących operacji usługi Network Watcher, danych historycznych i alertów bez możliwości cofnięcia tej operacji. Aby uzyskać więcej informacji, zobacz Włączanie lub wyłączanie usługi Azure Network Watcher.

  • Traktuj konta magazynu danych dzienników przepływu jako zasoby szczególnie wrażliwe z punktu widzenia bezpieczeństwa: Dzienniki przepływu i zrzuty pakietów zawierają szczegółowe dane o ruchu sieciowym. Ogranicz dostęp do kont magazynowych przechowujących te dane z taką samą rygorystycznością, jaką stosujesz wobec innych repozytoriów danych wrażliwych z punktu widzenia bezpieczeństwa. Aby uzyskać więcej informacji, zobacz Konfigurowanie zapór i sieci wirtualnych usługi Azure Storage.

  • Poznaj zakres usługi Network Watcher: Usługa Network Watcher ma zakres określany na poziomie subskrypcji i regionu. Każda subskrypcja może mieć jedną instancję usługi Network Watcher w każdym regionie. Odpowiednio zaplanuj mechanizmy zarządzania tożsamością i kontroli dostępu podczas pracy w wielu subskrypcjach. Aby uzyskać więcej informacji, zobacz Co to jest Azure Network Watcher?.

Bezpieczeństwo sieci

Network Watcher służy przede wszystkim do analizowania bezpieczeństwa sieci. Poniższe zalecenia koncentrują się na zabezpieczeniu ścieżek sieciowych i zasobów magazynowych, od których zależy działanie usługi Network Watcher. Aby uzyskać zalecenia dotyczące samodzielnego zabezpieczania sieci wirtualnych, zobacz Secure your Azure Virtual Network deployment(

  • Użyj dzienników przepływu sieci wirtualnej zamiast dzienników przepływu NSG: dzienniki przepływu NSG zostaną wycofane z użytku 30 września 2027 r. i po dniu 30 czerwca 2025 r. nie będzie można tworzyć nowych dzienników przepływu NSG. Przeprowadź migrację istniejących wdrożeń do dzienników przepływów sieci wirtualnej, które działają na poziomie sieci wirtualnej, eliminują zduplikowane rejestrowanie wynikające z zagnieżdżonych ocen NSG i umożliwiają śledzenie stanu szyfrowania. Wyłącz dzienniki przepływu NSG przed włączeniem dzienników przepływu sieci wirtualnej na tym samym zakresie, aby uniknąć zbędnych danych i dodatkowych kosztów. Aby uzyskać więcej informacji, zobacz Migrowanie z dzienników przepływu NSG do dzienników przepływu sieci wirtualnej i Omówienie dzienników przepływu sieci wirtualnej.

  • Ogranicz dostęp sieciowy do kont magazynu dzienników przepływu: skonfiguruj zapory i reguły sieci wirtualnej na kontach magazynu, które odbierają dzienniki przepływu. Jeśli umieścisz konto magazynowe za zaporą, zezwól zaufanym usługom firmy Microsoft, aby usługa Network Watcher mogła zapisywać dane dziennika przepływu, albo skonfiguruj dla konta magazynowego prywatny punkt końcowy lub punkt końcowy usługi. Aby uzyskać więcej informacji, zobacz Network Watcher często zadawane pytania.

  • Używaj prywatnych punktów końcowych dla kont magazynu dzienników przepływu: jeśli dzienniki przepływu zawierają poufne metadane ruchu, użyj prywatnych punktów końcowych na koncie magazynu, aby transfer danych odbywał się w sieci szkieletowej firmy Microsoft, z pominięciem publicznego Internetu. Aby uzyskać więcej informacji, zobacz Używanie prywatnych punktów końcowych dla usługi Azure Storage.

  • Bezpieczne przechowywanie przechwyconych pakietów: Przechwycone pakiety mogą zawierać pełne dane użyteczne i są przechowywane na dysku lokalnym maszyny wirtualnej lub w obiekcie blob w magazynie. Zastosuj te same ograniczenia dostępu do sieci do kont magazynu przechwytywania pakietów, które mają zastosowanie do magazynu dzienników przepływu. Aby uzyskać więcej informacji, zobacz Podsumowanie przechwytywania pakietów.

Zarządzanie tożsamością i dostępem

  • Przypisz role o najniższych uprawnieniach dla operacji Network Watcher: Wbudowana rola Network Contributor zapewnia dostęp do funkcji Network Watcher, ale celowo wyklucza operacje Microsoft.Storage/*, Microsoft.Compute/* i Microsoft.OperationalInsights/workspaces/*. Przypisz dodatkowe uprawnienia tylko tym tożsamościom, które muszą konfigurować dzienniki przepływów, przechwytywanie pakietów lub analizę ruchu. Aby uzyskać więcej informacji, zobacz uprawnienia RBAC wymagane do używania Network Watcher.

  • Utwórz niestandardowe role RBAC dla wyspecjalizowanych zadań: Zamiast przypisywać role Współautor lub Właściciel na poziomie całej subskrypcji, utwórz role niestandardowe zawierające tylko akcje usługi Network Watcher potrzebne danemu zespołowi. Na przykład zespół monitorujący może potrzebować dostępu do odczytu do dzienników przepływu, ale nie możliwości tworzenia przechwytywania pakietów. Aby uzyskać więcej informacji, zobacz Role niestandardowe platformy Azure.

  • Użyj tożsamości zarządzanych na potrzeby dzienników przepływu w sieci wirtualnej: skonfiguruj tożsamość zarządzaną przypisaną przez użytkownika, aby autoryzować zapisywanie dzienników przepływu na kontach magazynowych. Takie podejście eliminuje konieczność korzystania z kluczy konta magazynu lub tokenów SAS i jest zgodna z zasadami Zero Trust. Przypisz rolę Współautor danych obiektu blob usługi Storage do tożsamości zarządzanej na docelowym koncie magazynu. Aby uzyskać więcej informacji, zobacz Tożsamość zarządzana dla dzienników przepływu sieci wirtualnej.

  • Ogranicz, kto może inicjować przechwytywanie pakietów: przechwytywanie pakietów tworzy rozszerzenie maszyny wirtualnej i może uzyskiwać dostęp do nieprzetworzonego ruchu sieciowego. Ogranicz uprawnienia Microsoft.Network/networkWatchers/packetCaptures/write do zespołów ds. zabezpieczeń i operacji, które mają uzasadnione potrzeby inspekcji na poziomie ładunku. Aby uzyskać więcej informacji, zobacz uprawnienia RBAC wymagane do używania Network Watcher.

  • Starannie określ zakres uprawnień analizy ruchu: Analiza ruchu wymaga uprawnień do obszarów roboczych usługi Log Analytics, reguł zbierania danych i punktów końcowych zbierania danych, oprócz uprawnień do usługi Network Watcher. Uprawnienia dziedziczone z grup zarządzania nie są obsługiwane na potrzeby analizy ruchu—przypisz je na poziomie subskrypcji lub grupy zasobów. Aby uzyskać więcej informacji, zobacz uprawnienia RBAC wymagane do używania Network Watcher.

Ochrona danych

  • Włącz szyfrowanie dla kont magazynu dzienników przepływu: Użyj szyfrowania Azure Storage z kluczami zarządzanymi przez firmę Microsoft lub kluczami zarządzanymi przez klienta dla danych dzienników przepływu przechowywanych w spoczynku. Jeśli używasz kluczy zarządzanych przez klienta, pamiętaj, że rotacja klucza powoduje zatrzymanie dzienników przepływu sieci wirtualnej — należy wyłączyć, a następnie ponownie włączyć dzienniki przepływu po rotacji kluczy. Aby uzyskać więcej informacji, zobacz szyfrowanie danych spoczywających w Azure Storage.

  • Chroń dane przechwytywania pakietów przechowywane w spoczynku: pakiety przechwycone i przechowywane w usłudze Azure Blob Storage są szyfrowane w spoczynku za pomocą szyfrowania usługi Azure Storage. Podczas przechowywania zrzutów na lokalnym dysku maszyny wirtualnej należy zaszyfrować dysk za pomocą funkcji Azure Disk Encryption lub szyfrowania na hoście. Aby uzyskać więcej informacji, zobacz Podsumowanie przechwytywania pakietów.

  • Włącz dostęp za pomocą kluczy dla magazynu używanego do przechwytywania pakietów: funkcja przechwytywania pakietów używa tokenów SAS do autoryzowania operacji zapisu na kontach magazynu, a na koncie magazynu musi być włączony dostęp za pomocą kluczy, aby można było autoryzować te tokeny SAS. Jeśli dostęp przy użyciu klucza nie jest włączony, zamiast tego zapisz przechwycone pakiety na dysku lokalnym maszyny wirtualnej. Aby uzyskać więcej informacji, zobacz Podsumowanie przechwytywania pakietów.

  • Ogranicz dostęp do obszaru roboczego Log Analytics dla analizy ruchu: Analiza ruchu wysyła zagregowane i wzbogacone dane przepływu do obszaru roboczego Log Analytics. Użyj kontroli dostępu na poziomie obszaru roboczego lub kontroli dostępu na poziomie zasobów RBAC, aby ograniczyć, kto może wykonywać zapytania dotyczące tych danych. Aby uzyskać więcej informacji, zobacz Zarządzanie dostępem do obszarów roboczych usługi Log Analytics.

Rejestrowanie i monitorowanie

  • Włącz zbieranie dziennika aktywności dla operacji funkcji Network Watcher: Przekieruj dziennik aktywności platformy Azure do obszaru roboczego usługi Log Analytics lub konta magazynu, aby można było przeprowadzić inspekcję tego, kto utworzył, zmodyfikował lub usunął zasoby funkcji Network Watcher, dzienniki przepływu i przechwycone pakiety. Aby uzyskać więcej informacji, zobacz Dziennik aktywności platformy Azure.

  • Zintegruj analizę ruchu z usługą Microsoft Sentinel: Połącz dane analizy ruchu z usługą Microsoft Sentinel na potrzeby wykrywania zagrożeń, badania incydentów i korelacji z innymi źródłami danych zabezpieczeń. Usługa Sentinel udostępnia reguły analityczne służące do wykrywania takich zjawisk jak ataki brute force na usługę RDP, przemiatanie portów, anomalie ruchu, skanowanie portów, nadmierna liczba nieudanych połączeń, anomalie protokołu SMB, ruch beaconingowy oraz niewłaściwe wykorzystanie portów. Aby uzyskać więcej informacji, zobacz Zintegruj usługę Microsoft Sentinel z analizą ruchu.

  • Użyj analizy ruchu do wykrywania anomalii sieciowych: włącz analizę ruchu w dziennikach przepływu, aby zidentyfikować otwarte porty w Internecie, maszyny wirtualne komunikujące się ze znanymi złymi adresami IP i nieoczekiwany ruch między regionami. Aby uzyskać stałą widoczność zabezpieczeń, użyj pulpitu nawigacyjnego analizy ruchu w portalu Azure. Aby uzyskać więcej informacji, zobacz Analiza ruchu.

  • Zastosuj segmentację Zero Trust na podstawie analizy ruchu: Użyj danych z analizy ruchu, aby przejść z modelu domyślnego zezwalania do modelu domyślnej odmowy w sieci. Przeanalizuj obserwowane wzorce ruchu, aby utworzyć selektywne reguły zezwalania, wykryć ruch z regionów wysokiego ryzyka i zidentyfikować luki segmentacji sieci. Aby uzyskać więcej informacji, zobacz temat Stosowanie zasad Zero Trust przy użyciu analizy ruchu.

Zgodność i ład

  • Wymuszanie włączania dzienników przepływu za pomocą usługi Azure Policy: Użyj wbudowanych zasad platformy Azure do inspekcji i automatycznego wdrażania dzienników przepływu sieci wirtualnej w ramach wszystkich subskrypcji. Takie podejście zapewnia, że nowe sieci wirtualne automatycznie mają włączone rejestrowanie przepływu i flaguje niezgodne zasoby. Aby uzyskać więcej informacji, zobacz Zarządzanie dziennikami przepływów sieci wirtualnej przy użyciu Azure Policy.

  • Wymuszaj analizę ruchu sieciowego za pomocą usługi Azure Policy: Użyj wbudowanych zasad, aby sprawdzić, czy analiza ruchu sieciowego jest włączona dla dzienników przepływu. Wbudowane zasady typu deployIfNotExists dla analizy ruchu konfigurują dzienniki przepływu NSG, których nie będzie można już tworzyć po 30 czerwca 2025 r. i które zostaną wycofane 30 września 2027 r.; w przypadku nowych wdrożeń używaj dzienników przepływu w sieci wirtualnej. Aby uzyskać więcej informacji, zobacz Zarządzanie analizami ruchu przy użyciu Azure Policy i Migrowanie z dzienników przepływów sieciowej grupy zabezpieczeń do dzienników przepływów sieci wirtualnej.

  • Użyj diagnostyki sieciowych grup zabezpieczeń (NSG) i efektywnych reguł zabezpieczeń na potrzeby audytów zgodności: przed wprowadzeniem zmian w sieci i po ich wprowadzeniu użyj diagnostyki NSG, aby sprawdzić, czy określone przepływy ruchu są prawidłowo dozwalane lub blokowane. Użyj obowiązujących reguł zabezpieczeń, aby wyeksportować do pobrania plik CSV wszystkich reguł ruchu przychodzącego i wychodzącego na potrzeby dokumentacji inspekcji. Aby uzyskać więcej informacji, zobacz Omówienie diagnostyki sieciowej grupy zabezpieczeń i Omówienie efektywnych reguł zabezpieczeń.

  • Zweryfikuj reguły przepływu adresów IP przed zmianami i po nich: przed wdrożeniem zmian w środowisku produkcyjnym użyj weryfikacji przepływu adresów IP, aby potwierdzić, że do określonych maszyn wirtualnych są stosowane zamierzone reguły zezwalania i odmowy. Zapobiega to niezamierzonemu narażeniu wynikającemu z nieprawidłowo skonfigurowanej sieciowej grupy zabezpieczeń (NSG) lub reguł usługi Azure Virtual Network Manager. Aby uzyskać więcej informacji, zobacz Omówienie weryfikacji przepływu adresów IP.

Kopia zapasowa i przywracanie

  • Konfigurowanie zasad przechowywania dzienników przepływu: w przypadku dzienników przepływu sieciowej grupy zabezpieczeń ustaw zasady przechowywania, aby automatycznie usuwać starsze dane po określonym czasie, maksymalnie po 365 dniach. W przypadku dzienników przepływów w sieci wirtualnej należy używać funkcji zarządzania cyklem życia w usłudze Azure Storage na kontach magazynu ogólnego przeznaczenia w wersji GPv2 do automatycznego warstwowania i usuwania. Aby uzyskać więcej informacji, zobacz Omówienie dzienników przepływu NSG i Optymalizacja kosztów dzięki zarządzaniu cyklem życia danych.

  • Użyj magazynu geograficznie nadmiarowego dla danych dziennika przepływu: jeśli dzienniki przepływu mają kluczowe znaczenie dla zgodności lub badań kryminalistycznych, przechowuj je w magazynie geograficznie nadmiarowym (GRS) lub magazynie geograficznie nadmiarowym z dostępem do odczytu (RA-GRS), aby chronić je przed awariami regionalnymi. Aby uzyskać więcej informacji, zapoznaj się z redundancją usługi Azure Storage.

  • Utwórz kopię zapasową konfiguracji analizy ruchu: Udokumentuj lub wyeksportuj konfiguracje analizy ruchu, w tym skojarzone obszary robocze Log Analytics, reguły zbierania danych i ustawienia dzienników przepływu. Jeśli musisz ponownie utworzyć środowisko, posiadanie rekordu konfiguracji skraca czas odzyskiwania. Aby uzyskać więcej informacji, zobacz Analiza ruchu.

  • Zaplanuj wpływ rotacji kluczy zarządzanych przez klienta: Jeśli używasz kluczy zarządzanych przez klienta dla kont magazynu dzienników przepływu, udokumentuj proces wyłączania i ponownego włączania dzienników przepływu po rotacji kluczy. Uwzględnij tę procedurę w runbookach operacyjnych, aby uniknąć luk w rejestrowaniu. Aby uzyskać więcej informacji, zobacz Omówienie dzienników przepływu sieci wirtualnej.

Następne kroki

  • Ostatnia aktualizacja o