Firewall do Azure e inspeção de tráfego

Firewall do Azure é um serviço de segurança de rede nativo de nuvem gerenciado que fornece inspeção de tráfego centralizada e filtragem para suas redes virtuais Azure. Ao contrário dos grupos de segurança de rede que operam na Camada 4, Firewall do Azure inspeciona o tráfego nas Camadas 3 a 7. Essa funcionalidade permite filtragem de FQDN (nome de domínio totalmente qualificado), inteligência contra ameaças, IDPS (detecção e prevenção de intrusões) e inspeção do TLS. Você implanta o Firewall do Azure em uma sub-rede dedicada na sua rede virtual de hub e roteia o tráfego das cargas de trabalho das redes spoke pelo firewall para inspeção antes de ele chegar ao destino.

Este artigo explica como selecionar o SKU de Firewall do Azure correto, posicionar o firewall em uma topologia hub-spoke, configurar tipos de regras e integrar-se a serviços complementares, como o Gateway nat e o Servidor de Rota. Firewall do Azure é um dos três principais serviços de segurança de rede do Azure, junto com o Azure DDoS Protection e o Firewall de Aplicativo Web do Azure.

O que este artigo aborda

Este artigo aborda a inspeção centralizada do tráfego de rede usando o Firewall do Azure. Você saberá mais sobre:

• Seleção do nível de SKU com base nos requisitos de segurança e na sensibilidade da carga de trabalho.
• O posicionamento do hub e os padrões de UDR (rota definida pelo usuário) que forçam o tráfego por meio do firewall.
• Lógica de processamento para regras DNAT, de rede e de aplicativo.
• Tunelamento forçado para ambientes que exigem inspeção no local.
• Funcionalidades de inspeção de TLS e de IDPS na camada Premium.
• Integração com o NAT Gateway para escalonamento de portas SNAT e o Route Server para roteamento baseado em BGP.

Quem precisa deste artigo

Implante Firewall do Azure quando suas cargas de trabalho exigirem um ou mais dos seguintes recursos:

• Controle de saída centralizado: você precisa restringir quais FQDNs e URLs externos suas cargas de trabalho podem alcançar, além do que as regras baseadas em IP do NSG fornecem.
• Inspeção leste-oeste: o tráfego entre redes virtuais de spoke deve passar por um ponto de inspeção com monitoração de estado antes que o firewall o permita.
• Registro em log exigido por conformidade: os arcabouços regulatórios exigem visibilidade completa da Camada 7 sobre conexões permitidas e negadas, com granularidade em nível de FQDN.
• Proteção contra ameaças: Você precisa de detecção e prevenção de intrusões baseadas em assinaturas para identificar padrões mal-intencionados de tráfego, incluindo chamadas de retorno para comando e controle, tentativas de exploração e movimento lateral.
• Inspeção do TLS: você deve descriptografar e inspecionar o HTTPS (tráfego criptografado) em busca de ameaças antes que ele atinja cargas de trabalho ou saia da rede.

As organizações que precisam apenas da filtragem de pacotes de Camada 4 sem reconhecimento de FQDN devem considerar NSGs e ASGs como uma alternativa mais simples e de menor custo.

Camadas de SKU do Firewall do Azure

Firewall do Azure está disponível em três camadas de SKU. Cada camada se baseia nos recursos da camada anterior.

Como escolher sua SKU

Use os seguintes critérios de decisão:

• Escolha Básico quando você tiver ambientes de desenvolvimento/teste ou cargas de trabalho pequenas que precisam de filtragem de saída baseada em FQDN sem filtragem de inteligência contra ameaças (modo de negação) ou inspeção avançada. O SKU básico inclui inteligência de ameaças no modo somente de alerta, mas não oferece suporte ao modo de bloqueio, ao proxy DNS nem a categorias da web. O SKU básico requer um dedicado AzureFirewallManagementSubnet (/26 mínimo) junto com o AzureFirewallSubnet e está disponível em regiões limitadas.
• Escolha Standard para cargas de trabalho de produção que precisam de filtragem baseada em inteligência contra ameaças, proxy DNS para resolução de regras FQDN, filtragem de categoria da Web e gerenciamento de política centralizado por meio de Gerenciador de Firewall do Azure. O Standard fornece ao mecanismo de inspeção com estado completo feeds de inteligência contra ameaças que bloqueiam conexões com domínios e endereços IP mal-intencionados conhecidos.
• Escolha Premium quando os requisitos regulatórios ou de segurança exigirem a inspeção TLS de tráfego criptografado, IDPS baseado em assinatura com regras atualizadas continuamente (mais de 67.000 assinaturas em mais de 50 categorias, atualizadas em tempo real) ou filtragem de caminho de URL completa além do FQDN. O Premium é necessário para setores como serviços financeiros, saúde e governo, em que a inspeção de tráfego criptografada é obrigatória.

Posicionamento do hub e padrão de roteamento de UDR

Implante Firewall do Azure em uma sub-rede dedicada nomeada exatamente AzureFirewallSubnet dentro da rede virtual do hub. Essa sub-rede requer um tamanho mínimo de /26 (59 endereços IP utilizáveis).

Arquitetura de roteamento

Em uma topologia hub-spoke, as sub-redes de carga de trabalho dos spokes não roteiam o tráfego diretamente para a internet nem para outros spokes. Em vez disso, as UDRs em cada sub-rede spoke definem a rota padrão (0.0.0.0/0) para o endereço IP privado Firewall do Azure. Esse padrão garante que todo o tráfego, tanto norte-sul (associado à Internet) quanto leste-oeste (spoke-to-spoke), passe pelo firewall para inspeção.

Padrão de configuração de UDR:

O próprio AzureFirewallSubnet não requer UDRs na maioria dos cenários porque o firewall usa rotas de sistema para alcançar redes spoke através de emparelhamento de rede virtual. Quando você se integra ao Servidor de Rota do Azure, a sub-rede de firewall aprende as rotas por meio do BGP. Essa abordagem remove a necessidade de manutenção manual de rota à medida que sua rede cresce.

Requisitos de sub-rede

Para obter mais informações sobre o design da rede virtual de hub e o planejamento de sub-redes, consulte Topologia hub-spoke.

Tipos de regra e lógica de processamento

Firewall do Azure processa regras por meio da Política de Firewall do Azure. As regras são organizadas em coleções de regras, que são agrupadas em grupos de coleção de regras. O firewall avalia as regras na seguinte ordem de prioridade:

1. Regras dnat (conversão de endereços de rede de destino): processadas primeiro. Traduza o tráfego de entrada de um IP público para um IP privado por trás do firewall.
2. Regras de rede: Processado em segundo lugar. Permitir ou negar o tráfego com base no IP de origem, IP de destino, porta e protocolo (Camada 3/4).
3. Regras de aplicativo: processadas por último. Permitir ou negar o tráfego de saída com base em FQDN, URL ou categoria da Web (Camada 7).

Dentro de cada tipo de regra, os grupos de coleta de regras são avaliados por prioridade (menor número = prioridade mais alta). Em um grupo, as coleções de regras são avaliadas por prioridade. A primeira regra de correspondência determina a ação (Permitir ou Negar) e interrompe a avaliação adicional.

Regras DNAT

Use regras DNAT para publicar serviços internos por meio do endereço IP público do firewall. O firewall converte o endereço de destino de seu IP público para o IP privado do serviço de back-end. Cenários comuns incluem:

• Expor um servidor Web interno por meio do IP público do firewall na porta 443
• Fornecendo acesso RDP ou SSH controlado a um jump box sem atribuir um IP público à VM
• Publicação de serviços não HTTP/S que exigem acesso de entrada da Internet

Example: Translate inbound TCP 443 on firewall public IP → 10.1.2.4:443 (internal web server)

As regras DNAT adicionam implicitamente uma regra de rede correspondente para permitir o tráfego convertido. Depois que uma regra DNAT corresponde, o tráfego é traduzido e permitido sem processamento de regra de rede adicional. Para segurança, restrinja o endereço IP de origem em suas regras DNAT a fontes de Internet específicas em vez de usar curingas.

Regras de rede

As regras de rede filtram o tráfego na Camada 3 e camada 4. Use regras de rede quando precisar permitir ou negar o tráfego com base no endereço IP de origem, no endereço IP de destino, na porta de destino e no protocolo. As regras de rede não realizam a resolução de FQDN. Eles operam estritamente em endereços IP. Os casos de uso comuns incluem:

• Permitindo a comunicação spoke-to-spoke para portas específicas (por exemplo, SQL Server no TCP 1433).
• Permitir tráfego NTP (UDP 123) para servidores de horário específicos.
• Bloquear o tráfego para intervalos de IP mal-intencionados conhecidos usando regras de negação.
• Permitindo o ICMP para diagnóstico de rede entre sub-redes específicas.

As regras de rede dão suporte a tipos de protocolo TCP, UDP, ICMP e Any. Você pode especificar endereços IP, intervalos de IP, marcas de serviço e grupos de IP como origem e destino.

Regras de Aplicação

As regras de aplicativo filtram o tráfego HTTP/S e MSSQL de saída com base em FQDNs, URLs e categorias da Web. As regras de aplicativo exigem o recurso de proxy DNS para resolução FQDN. Use regras de aplicativo quando:

• Você precisa permitir o acesso a FQDNs específicos (por exemplo, *.microsoft.com ou storage.blob.core.windows.net).
• Você deseja filtrar por caminho da URL (somente SKU Premium), por exemplo, permitindo github.com/myorg/*, mas bloqueando outros caminhos do GitHub.
• Você precisa permitir ou bloquear categorias da Web inteiras (por exemplo, permitir "Ferramentas de Desenvolvedor" e bloquear "Jogos de Azar").

As regras de aplicativo fornecem marcas FQDN para serviços de Azure comuns (como Windows Update, Backup do Azure e HDInsight) que simplificam a criação de regras agrupando os FQDNs necessários em uma única marca.

Comportamento de SNAT

Por padrão, Firewall do Azure aplica SNAT (Conversão de Endereços de Rede de Origem) ao tráfego de saída destinado a endereços IP públicos. O firewall não aplica SNAT ao tráfego quando o destino é um intervalo de IPs privados (RFC 1918) ou o espaço de endereços compartilhado (RFC 6598). O firewall converte o IP de origem de conexões associadas à Internet para um de seus endereços IP públicos. Cada IP público fornece 2.496 portas SNAT por instância de back-end.

Para cargas de trabalho com altas taxas de conexões de saída, integre-se ao Gateway da NAT para escalar para 64.512 portas por IP público (até 16 IPs públicos, aproximadamente um milhão de portas SNAT no total).

Quando você associa o gateway NAT ao AzureFirewallSubnet, todo o tráfego de saída para a Internet usa automaticamente os endereços IP públicos do gateway NAT. O firewall continua inspecionando o tráfego, mas o Gateway NAT faz a tradução SNAT. Não ocorre nenhum NAT duplo.

Gerenciador de Firewall e herança de política

Gerenciador de Firewall do Azure fornece política de segurança centralizada e gerenciamento de rotas em várias instâncias de Firewall do Azure. As principais funcionalidades incluem:

• Hierarquia de políticas: crie uma política base (pai) com regras de toda a organização e permita que as equipes filho criem políticas filho herdadas do pai. As regras pai sempre têm precedência, independentemente dos valores de prioridade do filho.
• Gerenciamento entre regiões: uma política de firewall é um recurso global que você pode associar a firewalls em qualquer região ou assinatura.
• Governança de vários firewalls: aplique uma postura de segurança consistente entre firewalls de hub em regiões diferentes ou em hubs de WAN Virtual protegidos.

As regras NAT são específicas do firewall e não são herdadas das políticas pai. O modo de inteligência contra ameaças é herdado, mas só pode ser substituído por um modo mais estrito nas políticas filho. Uma política com nenhuma ou uma associação de firewall é incluída sem custo adicional. Associações adicionais geram cobrança.

Tunelamento forçado

Em alguns ambientes regulatórios, todo o tráfego associado à Internet deve primeiro rotear por meio de um ponto de inspeção local antes de chegar à Internet. O Firewall do Azure dá suporte a túnel forçado para atender a esse requisito.

Quando você habilita o túnel forçado:

• O AzureFirewallManagementSubnet transporta o tráfego de gerenciamento do firewall diretamente para a internet. Essa sub-rede deve ter uma rota para 0.0.0.0/0 com próximo salto para a Internet. Você não pode forçar o tráfego de gerenciamento por meio da inspeção local.
• O AzureFirewallSubnet direciona o tráfego de carga de trabalho destinado à internet para um firewall no local ou um aparelho virtual de rede (NVA) de terceiros por meio do ExpressRoute ou do Gateway de VPN.
• As regras de DNAT não têm suporte no modo de túnel forçado porque o tráfego de entrada não pode atingir diretamente o IP público do firewall.
• O firewall não requer um IP público no AzureFirewallSubnet quando você configura o tunelamento forçado, porque todo o tráfego de saída é encaminhado pelo caminho on-premises.

Use o tunelamento forçado quando os requisitos de conformidade exigirem visibilidade no ambiente local de todo o tráfego destinado à Internet ou quando você precisar encadear o Firewall do Azure com uma pilha de segurança local existente. Cenários comuns incluem ambientes de serviços financeiros sujeitos a regulamentos de residência de dados e redes governamentais com requisitos centralizados de fuga da Internet.

Inspeção do TLS (Premium)

Firewall do Azure Premium intercepta conexões HTTPS de saída, descriptografa o tráfego, inspeciona-o em relação a assinaturas IDPS e regras de aplicativo e, em seguida, criptografa novamente e encaminha-o. Esse processo requer um certificado de autoridade certificadora intermediária armazenado no Azure Key Vault.

Requisitos de certificado

O firewall usa o certificado da AC intermediária para gerar dinamicamente certificados de servidor para conexões interceptadas. Os navegadores e aplicativos do usuário final devem confiar na AC raiz da organização ou na AC intermediária no repositório de certificados para evitar avisos de confiança.

Sistema de Detecção e Prevenção de Intrusões (IDPS)

O SKU Premium inclui um mecanismo IDPS totalmente gerenciado com mais de 67.000 regras em mais de 50 categorias. As assinaturas são atualizadas continuamente com mais de 20 a 40 novas regras lançadas diariamente. O IDPS opera em dois modos:

• Modo de alerta: registra correspondências de assinatura sem bloquear o tráfego. Use durante a implantação inicial e o ajuste.
• Modo de alerta e negação: registra e bloqueia o tráfego que corresponde às assinaturas IDPS. Use em produção após os ajustes.

As categorias IDPS abrangem comando e controle de malware, phishing, trojans, botnets, kits de exploração, vulnerabilidades e protocolos SCADA/ICS.

Filtragem de saída do AKS

Quando os clusters do AKS (Serviço de Kubernetes do Azure) exigem controle de tráfego de saída, o Firewall do Azure fornece filtragem de saída com base em FQDN para os nós do cluster. Sem filtragem de saída, os nós do AKS podem alcançar qualquer ponto de extremidade da Internet, o que aumenta a superfície de ataque para ataques de exfiltração de dados e cadeia de suprimentos.

Para implementar esse padrão:

1. Implante o AKS com outboundType definido como userDefinedRouting e uma tabela de rotas personalizada na sub-rede do nó.
2. Defina a rota padrão (0.0.0.0/0) para o IP privado Firewall do Azure.
3. Crie regras de aplicativo na política de firewall que permitam os FQDNs necessários do AKS (registros de contêineres, pontos de extremidade do servidor de API, repositórios de pacotes da Microsoft).
4. Crie regras de rede para pontos de extremidade não HTTP/S necessários (NTP, DNS, conectividade de túnel).

Esse padrão fornece visibilidade e controle das equipes de segurança sobre quais pontos de extremidade externos os nós do AKS podem alcançar, permitindo que o cluster funcione corretamente. Os FQDNs necessários variam de acordo com o conjunto de recursos do AKS. Os clusters que usam nós de GPU, Azure Monitor ou Azure Policy exigem entradas de listas aprovadas extras.

Para obter requisitos detalhados do FQDN e exemplos de regras, consulte Use Firewall do Azure para proteger implantações do AKS.

Considerações sobre o design

Pré-requisitos

Antes de implantar Firewall do Azure:

• AzureFirewallSubnet: sua rede virtual de hub deve incluir uma sub-rede dedicada nomeada AzureFirewallSubnet com um tamanho mínimo de /26. Consulte a rede virtual e o design da sub-rede para obter diretrizes de planejamento de sub-rede.
• Topologia de hub-spoke ou WAN Virtual: implante Firewall do Azure em um hub central que roteia o tráfego de redes spoke. Consulte a topologia hub-spoke ou WAN Virtual para obter opções de topologia.
• Plano de endereço IP: reserve espaço de endereço para a sub-rede de firewall, sub-rede de gerenciamento (se estiver usando túnel forçado) e quaisquer endereços IP públicos. Consulte o planejamento de endereço IP.
• Gerenciador de Firewall do Azure: use Gerenciador de Firewall do Azure se precisar de uma hierarquia de política que compartilhe regras base em várias instâncias de firewall.
• Espaço de trabalho do Log Analytics: Crie um espaço de trabalho para logs de diagnóstico do firewall antes da implantação para que você possa monitorar o tráfego e solucionar problemas nas regras desde o primeiro dia.

Considerações de segurança

• Log: Habilite as configurações de diagnóstico para enviar logs do Firewall do Azure para um workspace do Log Analytics. Os logs estruturados fornecem visibilidade no nível do FQDN em todas as conexões permitidas e negadas, dando suporte à auditoria e à análise forense.
• Disponibilidade: implante Firewall do Azure entre zonas de disponibilidade para maximizar seu SLA de disponibilidade. Para obter os percentuais atuais de SLA, consulte SLA para Firewall do Azure.
• Defesa em camadas: Firewall do Azure complementa, mas não substitui os NSGs. Aplique NSGs no nível da sub-rede e da NIC para microssegmentação. Use o firewall para política centralizada, inteligência contra ameaças e inspeção da Camada 7.
• Dimensione corretamente o que você inspeciona: Forçar cada fluxo a passar pelo firewall, incluindo camadas internas da aplicação, como web-to-app e app-to-database, adiciona latência e custo de processamento por gigabyte. Use NSGs e ASGs para o tráfego leste-oeste entre camadas confiáveis e reserve a inspeção de firewall para o tráfego que cruza um limite de confiança: internet-bound, cross-spoke, híbrido ou entre nuvens. Essa abordagem mantém o firewall focado no tráfego que se beneficia da inspeção e evita custos desnecessários.
• Proteção contra DDoS: proteja os IPs públicos associados a Firewall do Azure usando Azure Proteção contra DDoS. Consulte a proteção contra DDoS.
• Tráfego do ExpressRoute: Ao usar o ExpressRoute, configure UDRs para direcionar o tráfego de emparelhamento privado por meio do Firewall do Azure para inspecionar fluxos de tráfego híbrido.

Artigos relacionados

• Topologia de rede hub-spoke: rede virtual do hub em que você implanta Firewall do Azure.
• Acesso de saída à internet: padrões de controle de tráfego de saída com o Firewall do Azure e o NAT Gateway.
• Firewall de Aplicativo Web: Proteção HTTP/S da Camada 7 que complementa a inspeção em nível de rede Firewall do Azure.
• Segurança DNS e resolução de nomes privados: configuração de proxy DNS que habilita regras baseadas em FQDN.
• O que é Azure Network Security?: Hub de visão geral que compara Firewall do Azure, DDoS Protection e Firewall de Aplicativo Web.

Saiba mais

• Documentação do Firewall do Azure
• Recursos do Firewall do Azure
• Funcionalidades do Firewall do Azure Premium
• visão geral Gerenciador de Firewall do Azure
• Implantar e configurar Firewall do Azure
• Preços do Firewall do Azure

Próximas Etapas