práticas recomendadas de segurança de rede Azure

Este artigo descreve uma coleção de melhores práticas do Azure para aprimorar a segurança de rede. A Microsoft derivou essas melhores práticas de sua experiência com redes no Azure e das experiências de organizações como a sua.

Essas melhores práticas representam uma opinião consensual e refletem as capacidades e conjuntos de recursos da plataforma Azure conforme existiam na época em que este artigo foi escrito. As opiniões e as tecnologias mudam ao longo do tempo. A Microsoft atualiza este artigo regularmente para refletir essas mudanças.

Este artigo se alinha ao modelo de segurança de Confiança Zero da Microsoft, que elimina a confiança implícita com base no local da rede. Para obter controles de segurança prescritivos com a imposição do Azure Policy, consulte o Microsoft Cloud Security Benchmark v2 – Network Security.

Usar controles de rede fortes

Você pode conectar máquinas virtuais (VMs) do Azure e dispositivos a outros dispositivos em rede, colocando-os em redes virtuais do Azure. Ou seja, você pode conectar cartões de interface de rede virtual a uma rede virtual para permitir comunicações baseadas em TCP / IP entre dispositivos habilitados para rede. Máquinas virtuais conectadas a uma rede virtual do Azure podem se conectar a dispositivos na mesma rede virtual, em diferentes redes virtuais, na Internet ou em suas próprias redes locais.

Ao planejar sua rede e sua segurança, centralize:

  • Funções de rede central como ExpressRoute, provisão de redes virtuais e sub-redes, e endereçamento IP.
  • Governança de elementos de segurança de rede, como funções de appliances virtuais de rede.

Se você usar um conjunto comum de ferramentas de gerenciamento para monitorar sua rede e a segurança da rede, terá visibilidade clara em ambos. Uma estratégia de segurança simples e unificada reduz os erros, pois aumenta a compreensão humana e a confiabilidade na automação.

  • Use os logs de fluxo da rede virtual para ter visibilidade abrangente do tráfego Os logs de fluxo da rede virtual oferecem visibilidade centralizada do tráfego em toda a sua rede virtual e substituem os logs de fluxo do NSG para uma cobertura de monitoramento mais ampla. Para obter mais informações, consulte a visão geral dos logs de fluxo de rede virtual.

Segmentar logicamente as sub-redes

As redes virtuais do Azure são semelhantes a LANs em sua rede local. A ideia por trás de uma rede virtual do Azure é que você crie uma única rede baseada em espaço de endereço IP privado na qual é possível colocar todas as suas máquinas virtuais do Azure. Os espaços de endereço IP privados disponíveis estão nos intervalos de Classe A (10.0.0.0/8), de Classe B (172.16.0.0/12) e de Classe C (192.168.0.0/16).

As práticas recomendadas para segmentar logicamente sub-redes incluem:

  • Não atribua regras de permissão com faixas amplas, como de 0.0.0.0 até 255.255.255.255. Garanta procedimentos de solução de problemas para desencorajar ou proibir a criação desse tipo de regra. As regras de permissão levam a uma falsa sensação de segurança e são encontradas e exploradas com frequência por equipes vermelhas.

  • Segmente o espaço de endereçamento maior em sub-redes. Use princípios de subnetting baseados em CIDR para criar suas sub-redes.

  • Crie controles de acesso à rede entre sub-redes. O roteamento entre sub-redes acontece automaticamente, e você não precisa configurar manualmente as tabelas de roteamento. Por padrão, não existem controles de acesso à rede entre as sub-redes que você cria em uma rede virtual do Azure. Use um grupo de segurança de rede para proteger contra tráfego não solicitado para sub-redes do Azure. Os NSGs (grupos de segurança de rede) são dispositivos de inspeção de pacotes simples e com estado. NSGs utilizam a abordagem de cinco tuplas (IP de origem, porta de origem, IP de destino, porta de destino e protocolo) para criar regras para permitir ou negar tráfego de rede. Você permite ou nega o tráfego de e para um único endereço IP, de e para vários endereços IP ou para e de sub-redes inteiras.

Quando você usa grupos de segurança de rede para controle de acesso de rede entre sub-redes, é possível colocar recursos que pertencem à mesma zona ou função de segurança nas sub-redes deles.

  • Evite pequenas redes virtuais e sub-redes para garantir simplicidade e flexibilidade. A maioria das organizações adiciona mais recursos do que o inicialmente planejado, e realocar endereços demanda muito trabalho. Sub-redes pequenas agregam valor de segurança limitado, e mapear um grupo de segurança de rede para cada sub-rede gera sobrecarga. Defina sub-redes de forma ampla para garantir flexibilidade para futuras expansões.

  • Simplifique o gerenciamento de regras de grupos de segurança de rede definindo grupos de segurança de aplicação. Defina um grupo de segurança de aplicações para listas de endereços IP que você acha que podem mudar no futuro ou ser usados em vários grupos de segurança de rede. Nomeie claramente os grupos de segurança de aplicativos para que outros possam entender seu conteúdo e propósito.

Adotar uma abordagem de Confiança Zero

Redes baseadas em perímetros operam sob a suposição de que todos os sistemas dentro de uma rede são confiáveis. Mas os funcionários de hoje acessam os recursos de sua organização de qualquer lugar em vários dispositivos e aplicativos, o que torna os controles de segurança de perímetro irrelevantes. As políticas de controle de acesso que se concentram apenas em quem pode acessar um recurso não são suficientes. Para dominar o equilíbrio entre segurança e produtividade, os administradores de segurança também precisam considerar como um recurso está sendo acessado.

As redes precisam evoluir de defesas tradicionais, pois podem estar vulneráveis a violações: um invasor pode comprometer um único ponto de extremidade dentro do limite confiável e, em seguida, expandir rapidamente uma base em toda a rede. As redes com Confiança Zero eliminam o conceito de confiança com base no local de rede em um perímetro. Em vez disso, as arquiteturas de Confiança Zero usam declarações de confiança do dispositivo e usuário para ter acesso a dados e recursos organizacionais. Para novas iniciativas, adote abordagens de Confiança Zero que validam a confiança no momento do acesso.

As melhores práticas são:

  • Dê acesso condicional a recursos com base no dispositivo, identidade, garantia, localização da rede e mais.O Acesso condicional do Microsoft Entra ajuda você a aplicar os controles de acesso corretos implementando decisões automatizadas de controle de acesso baseadas nas condições exigidas. Para saber mais, confira Administrar o acesso ao gerenciamento do Azure com acesso condicional.

  • Ative o acesso à porta somente após a aprovação do fluxo de trabalho. Use o acesso à VM just-in-time no Microsoft Defender para Nuvem a fim de bloquear o tráfego de entrada nas VMs do Azure, reduzindo a exposição a ataques, dando acesso fácil para conexão com as VMs, quando necessário. Para obter mais informações, consulte Acesso de VM just-in-time no Microsoft Defender para Nuvem.

  • Use o Azure Bastion para acesso remoto seguro a VMs sem expor endereços IP públicos ou abrir portas de entrada.O Azure Bastion oferece conectividade RDP/SSH segura para suas máquinas virtuais diretamente pelo portal do Azure via TLS. O Azure Bastion Developer SKU agora está disponível sem custo adicional em mais de 35 regiões do Azure, tornando-o ideal para cenários de desenvolvimento/teste. Esse SKU elimina a necessidade de jump boxes ou exposição de VMs à internet, reduzindo sua superfície de ataque e simplificando o acesso administrativo. Para cargas de trabalho de produção, atualize para SKUs Padrão ou Premium para recursos extras como escalonamento de host e gravação de sessão. Confira o Início Rápido: Conecte-se ao Desenvolvedor do Azure Bastion para começar.

  • Conceda permissões temporárias para realizar tarefas privilegiadas. Essa prática impede que usuários maliciosos ou não autorizados obtenham acesso após o término das permissões. Conceda acesso apenas quando os usuários precisarem. Use acesso just-in-time no Microsoft Entra Privileged Identity Management ou em uma solução de terceiros para conceder permissões a fim de realizar tarefas privilegiadas.

Confiança Zero é a próxima evolução na segurança de rede. O estado dos ataques cibernéticos orienta as organizações a ter uma mentalidade de "assumir a violação", mas essa abordagem não deve ser limitada. As redes de Confiança Zero protegem dados e recursos corporativos, garantindo que as organizações possam criar um local de trabalho moderno usando tecnologias que capacitam os funcionários a serem produtivos a qualquer momento, em qualquer lugar.

Controlar o comportamento de roteamento

Quando você coloca uma máquina virtual em uma rede virtual do Azure, a VM pode se conectar a qualquer outra VM na mesma rede virtual, mesmo se as outras VMs estiverem em sub-redes diferentes. Rotas padrão do sistema tornam essa comunicação possível. Essas rotas padrão permitem que as VMs na mesma rede virtual iniciem conexões umas com as outras e com a Internet (somente para comunicações de saída com a Internet).

Embora as rotas padrão do sistema sejam úteis para muitos cenários de implantação, às vezes você quer personalizar a configuração de roteamento para suas implantações. Você pode configurar o endereço do próximo salto para alcançar destinos específicos.

Configure rotas definidas pelo usuário ao implantar um dispositivo de segurança para uma rede virtual. Essa recomendação aparece em uma seção posterior intitulada Proteja seus recursos críticos de serviços Azure apenas das suas redes virtuais.

Observação

Rotas definidas pelo usuário não são obrigatórias e as rotas de sistema padrão funcionam normalmente.

Usar dispositivos de rede virtual

Os grupos de segurança de rede e o roteamento definido pelo usuário podem fornecer uma certa medida de segurança na rede e transportar camadas do modelo OSI. Mas, em algumas situações, você quer ou precisa ativar a segurança em níveis altos da pilha. Nessas situações, implante appliances virtuais de segurança de rede fornecidos pelos parceiros do Azure.

Os dispositivos de segurança de rede do Azure podem oferecer uma segurança melhor do que os controles no nível da rede. Os recursos de segurança de rede dos dispositivos de segurança de rede virtual incluem:

  • Firewall
  • Prevenção de intrusão/detecção de intrusões
  • Gerenciamento de vulnerabilidades
  • Controle de aplicativo
  • Detecção de anomalias baseada em rede
  • Filtragem da Web
  • Antivírus
  • Proteção botnet

Para encontrar dispositivos de segurança de rede virtual do Azure disponíveis, vá para Azure Marketplace e pesquise por "segurança" e "segurança de rede".

Implantação de redes de perímetro para zonas de segurança

Uma rede de perímetro (também conhecida como DMZ) é um segmento de rede físico ou lógico que fornece uma camada adicional de segurança entre seus ativos e a Internet. Os dispositivos especializados de controle de acesso à rede na extremidade de uma rede de perímetro permitem apenas o tráfego desejado na sua rede virtual.

As redes de perímetro são úteis porque você pode concentrar seu gerenciamento, monitoramento, registro e geração de relatórios de controle de acesso de rede nos dispositivos na borda da rede virtual do Azure. Uma rede de perímetro é onde você normalmente ativa a proteção de DDoS (negação de serviço distribuída), sistemas de detecção de invasão/prevenção de invasão (IDS/IPS), regras e políticas de firewall, filtragem da Web, antimalware de rede e muito mais. Os dispositivos de segurança de rede ficam entre a Internet e sua rede virtual do Azure e têm uma interface nas duas redes.

Embora esse seja o design básico de uma rede de perímetro, existem muitos designs diferentes, como back-to-back, tri-homed e multihomed.

Com base no conceito Confiança Zero mencionado anteriormente, considere usar uma rede perimetral para todas as implantações de alta segurança, a fim de melhorar o nível de segurança da rede e controle de acesso para seus recursos Azure. Você pode usar o Azure ou uma solução de terceiros para fornecer uma camada de segurança adicional entre seus ativos e a internet:

  • Controles nativos do Azure. Firewall do Azure e Firewall de Aplicativo Web do Azure oferecem vantagens básicas de segurança, incluindo um firewall totalmente com estado como serviço, alta disponibilidade embutida, escalabilidade irrestrita em nuvem, filtragem FQDN, suporte para conjuntos de regras core OWASP e configuração simples.
  • Ofertas de terceiros. Pesquise o Azure Marketplace para o NGFW (firewall de próxima geração) e outras ofertas de terceiros que fornecem ferramentas de segurança conhecidas e níveis de segurança de rede aprimorados. A configuração pode ser mais complexa, mas uma oferta de terceiros pode permitir que você use funcionalidades e habilidades existentes.

Proteger contra ataques de DDoS

A proteção contra DDoS ajuda a preservar a disponibilidade de cargas de trabalho expostas à Internet, reduzindo o impacto de ataques volumétricos e de protocolo antes que eles sobrecarreguem seus endpoints públicos.

  • Ative a Proteção de Rede DDoS em redes virtuais com recursos públicos. Aplique Proteção de Rede DDoS a redes virtuais que hospedam recursos públicos de IP, para que cargas de trabalho críticas se beneficiem de ajustes e respostas adaptativas sempre ativas. Para saber mais, confira Visão geral da Proteção contra DDoS do Azure.
  • Escolha o plano de proteção DDoS que corresponda à sua exposição pública. Use a Proteção de Rede DDoS quando precisar proteger múltiplos recursos IP públicos em uma rede virtual, e considere a Proteção DDoS de IP quando precisar de proteção direcionada para um número menor de endereços IP públicos. Para saber mais, confira Visão geral da Proteção contra DDoS do Azure.
  • Adicione uma camada de proteção contra DDoS com um firewall de aplicativos web. Combine a Proteção DDoS com o Firewall de Aplicativo Web do Azure para lidar com ataques volumétricos e de protocolo nas camadas 3 e 4, enquanto também inspeciona o tráfego web da camada 7. Para saber mais, confira Visão geral da Proteção contra DDoS do Azure.
  • Use diagnósticos e alertas DDoS para resposta a incidentes. Transmita telemetria DDoS para suas ferramentas de monitoramento e configure alertas para que sua equipe de segurança possa investigar ataques e confirmar ações de mitigação rapidamente. Para saber mais, confira Visão geral da Proteção contra DDoS do Azure.

Muitas organizações escolheram a rota de TI híbrida. Com a TI híbrida, alguns dos ativos de informação da empresa estão no Azure e outros permanecem no local. Em muitos casos, alguns componentes de um serviço estão sendo executados no Azure, enquanto outros componentes permanecem no local.

Em um cenário de TI híbrida, geralmente há algum tipo de conectividade entre locais. A conectividade entre instalações permite que a empresa conecte suas redes locais às redes virtuais do Azure. Duas soluções de conectividade entre locais estão disponíveis:

  • VPN site a site. É uma tecnologia estabelecida e confiável, mas a conexão ocorre pela Internet. A largura de banda é limitada a um máximo de aproximadamente 1,25 Gbps. O VPN site a site é uma opção desejável em alguns cenários.
  • Azure ExpressRoute. Use o ExpressRoute para sua conectividade entre ambientes locais. O ExpressRoute ajuda você a expandir suas redes locais para a nuvem da Microsoft por meio de uma conexão privada facilitada por um provedor de conectividade. Com o ExpressRoute, você pode estabelecer conexões com os serviços de nuvem da Microsoft, como Azure, Microsoft 365 e Dynamics 365. O ExpressRoute é um link WAN dedicado entre seu local ou um provedor de hospedagem do Microsoft Exchange. Como essa conexão é uma conexão de telecomunicação, seus dados não viajam pela internet, então não estão expostos aos riscos potenciais das comunicações pela internet.

O local da conexão do ExpressRoute pode afetar a capacidade do firewall, a escalabilidade, a confiabilidade e a visibilidade do tráfego de rede. Identifique onde encerrar o ExpressRoute em redes locais existentes. Você pode:

  • Terminar fora do firewall (o paradigma da rede de perímetro). Use essa recomendação se você precisar de visibilidade no tráfego, se precisar continuar uma prática existente de isolar datacenters ou se estiver colocando apenas recursos de extranet no Azure.
  • Terminar dentro do firewall (o paradigma de extensão de rede). Essa opção é a recomendação padrão. Em todos os outros casos, trate o Azure como outro datacenter.

Otimizar o desempenho e o tempo de atividade

Se um serviço estiver fora do ar, você não pode acessar informações. Se o desempenho é tão ruim que os dados não podem ser usados, você pode considerar os dados como inacessíveis. Do ponto de vista da segurança, garanta que seus serviços tenham tempo de funcionamento e desempenho ideais.

Um método popular e eficaz para melhorar a disponibilidade e o desempenho é o balanceamento de carga. O balanceamento de carga distribui o tráfego de rede entre servidores que fazem parte de um serviço. Por exemplo, use balanceamento de carga para distribuir o tráfego entre múltiplos servidores web front-end que fazem parte do seu serviço.

Essa distribuição de tráfego aumenta a disponibilidade porque, se um dos servidores web ficar indisponível, o balanceador de carga para de enviar tráfego para esse servidor e o redireciona para os servidores que ainda estão online. O balanceamento de carga também ajuda no desempenho porque a sobrecarga do processador, da rede e da memória para atender às solicitações é distribuída por todos os servidores com carga balanceada.

Use o balanceamento de carga sempre que puder, conforme apropriado para seus serviços. A seguir estão os cenários no nível da rede virtual do Azure e no nível global, juntamente com as opções de balanceamento de carga para cada um.

Cenário: você tem um aplicativo que:

  • Requer solicitações da mesma sessão de usuário / cliente para alcançar a mesma máquina virtual de back-end. Exemplos disso são aplicativos de carrinho de compras e servidores de webmail.
  • Aceita apenas uma conexão segura, portanto, a comunicação não criptografada com o servidor não é uma opção aceitável.
  • Exige que várias solicitações HTTP na mesma conexão TCP de longa duração sejam roteadas ou carregadas com balanceamento para diferentes servidores de back-end.

Opção de balanceamento de carga: use o Gateway de Aplicativo do Azure, um balanceador de carga de tráfego da Web HTTP. O Gateway de Aplicativo suporta criptografia TSL de ponta a ponta e terminação TSL no gateway. Os servidores Web podem então ser aliviados da sobrecarga de criptografia e descriptografia, e o tráfego pode fluir não criptografado para os servidores de back-end, embora o TLS de ponta a ponta continue sendo a opção padrão mais segura quando a confidencialidade no back-end é importante.

Cenário: você precisa carregar as conexões de entrada da Internet entre seus servidores localizados em uma rede virtual do Azure. Os cenários são quando você:

  • Tiver aplicativos sem monitoração de estado que aceitam solicitações de entrada da internet.
  • Não precisa de sessões temporárias ou descarregamento TSL. As sessões autoadesivas são um método usado com o Balanceamento de Carga do Aplicativo para obter afinidade de servidor.

Opção de balanceamento de carga: use o portal do Azure para criar um balanceador de carga externo que distribua solicitações de entrada em várias VMs para fornecer um nível mais alto de disponibilidade.

Cenário: Você precisa balancear a carga das conexões de VMs que não estão na internet. Na maioria dos casos, as conexões aceitas para balanceamento de carga são iniciadas por dispositivos em uma rede virtual do Azure, como instâncias do SQL Server ou servidores da Web internos. Opção de balanceamento de carga: use o portal do Azure para criar um balanceador de carga interno que distribua solicitações de entrada em várias VMs para fornecer um nível mais alto de disponibilidade.

Cenário: você precisa de balanceamento de carga global porque:

  • Tenha uma solução em nuvem amplamente distribuída em várias regiões e que exija o maior nível possível de disponibilidade (uptime).
  • É necessário o mais alto nível de tempo de atividade possível para garantir que seu serviço esteja disponível mesmo se um datacenter inteiro ficar indisponível.

Opção de balanceamento de carga: use o Gerenciador de Tráfego do Azure. O Gerenciador de Tráfego possibilita o balanceamento de carga das conexões para seus serviços com base na localização do usuário.

Por exemplo, se o usuário fizer uma solicitação ao seu serviço a partir da UE, a conexão será direcionada para os serviços localizados em um datacenter da UE. Esta parte do balanceamento de carga global do Gerenciador de Tráfego ajuda a melhorar o desempenho porque a conexão com o datacenter mais próximo é mais rápida do que conectar-se a data centers que estejam distantes.

Desabilite o acesso RDP e SSH às máquinas virtuais

É possível alcançar máquinas virtuais do Azure usando protocolo RDP (Área de Trabalho Remota Protocol) e SSH (Secure Shell). Esses protocolos permitem o gerenciamento de VMs de locais remotos e são padrão na computação de data center.

O problema de segurança em potencial ao usar esses protocolos pela Internet é que os invasores podem usar as técnicas de força bruta para obter acesso às máquinas virtuais do Azure. Depois que os invasores tiverem acesso, eles poderão usar sua VM como ponto de partida para comprometer outras máquinas em sua rede virtual ou até mesmo atacar dispositivos em rede fora do Azure.

Desative o acesso direto RDP e SSH às suas máquinas virtuais Azure pela internet. Depois de desativar o acesso direto RDP e SSH pela internet, use outras opções para acessar essas VMs para gerenciamento remoto.

Cenário: permite que um único usuário se conecte a uma rede virtual do Azure pela Internet. Opção: VPN ponto-a-site é outro termo para uma conexão cliente / servidor VPN de acesso remoto. Após a conexão ponto para o local ser estabelecida, o usuário pode usar RDP ou SSH para se conectar a quaisquer VMs localizadas na rede virtual do Azure às quais ele se conectou por meio de VPN ponto para site. Essa conexão assume que o usuário está autorizado a acessar essas VMs.

A VPN ponto-a-ponto é mais segura do que as conexões RDP ou SSH diretas porque o usuário precisa autenticar duas vezes antes de se conectar a uma VM. Primeiro, o usuário precisa autenticar (e ser autorizado) para estabelecer a conexão VPN ponto-a-ponto. Segundo, o usuário precisa autenticar (e ser autorizado) para estabelecer a sessão RDP ou SSH.

Cenário: permite que os usuários em sua rede local se conectem a VMs em sua rede virtual do Azure. Opção: Uma VPN site-to-site conecta uma rede inteira a outra rede pela Internet. Você pode usar uma VPN site a site para conectar sua rede local a uma rede virtual do Azure. Os usuários em sua rede local se conectam usando o protocolo RDP ou SSH pela conexão VPN site a site. Você não precisa permitir acesso RDP ou SSH direto pela Internet.

Cenário: use um link WAN dedicado para fornecer funcionalidade semelhante à VPN site a site. Opção: Use ExpressRoute. O ExpressRoute oferece funcionalidades semelhantes à VPN site-to-site. As principais diferenças são:

  • O link WAN dedicado não atravessa a Internet.
  • Os links de WAN dedicados geralmente são mais estáveis e apresentam melhor desempenho.

Proteja seus recursos críticos de serviço do Azure permitindo acesso somente a partir de suas redes virtuais

Use o Link Privado do Azure para acessar serviços PaaS do Azure, como Armazenamento do Azure e SQL Database, por meio de um endpoint privado na sua rede virtual. Endpoints privados restringem o acesso aos seus recursos críticos de serviço Azure às suas redes virtuais. O tráfego da sua rede virtual para o serviço do Azure sempre permanece na rede de backbone do Microsoft Azure. Expor sua rede virtual à internet pública não é mais necessário para consumir os serviços PaaS do Azure.

O Link Privado do Azure fornece os seguintes benefícios:

  • Melhore a segurança dos seus recursos de serviço no Azure. Ao usar o Link Privado do Azure, você pode garantir recursos de serviço do Azure na sua rede virtual usando endpoints privados. Proteger recursos de serviço para um endpoint privado em uma rede virtual melhora a segurança ao remover o acesso público à internet aos recursos e permitir o tráfego apenas de endpoints privados na sua rede virtual.
  • Acesse de forma privada os recursos de serviço do Azure na plataforma Azure. Conecte sua rede virtual a serviços no Azure usando endpoints privados. Você não precisa de um endereço IP público. A plataforma Link Privado lida com a conectividade entre consumidores e serviços na rede de backbone Azure.
  • Acesse serviços de redes locais e emparelhadas. Acesse serviços em execução no Azure local por meio do emparelhamento privado do ExpressRoute, dos túneis VPN e das redes virtuais emparelhadas usando pontos de extremidade privados. Não é necessário configurar o emparelhamento da Microsoft no ExpressRoute nem atravessar a Internet para acessar o serviço. O Link Privado fornece uma forma segura de migrar cargas de trabalho para o Azure.
  • Proteja contra vazamento de dados. Um endpoint privado é mapeado para uma instância de um recurso PaaS em vez de todo o serviço. Os consumidores só podem se conectar ao recurso específico e o acesso a qualquer outro recurso no serviço é bloqueado. Esse mapeamento oferece proteção contra riscos de vazamento de dados.
  • Estenda o acesso privado entre regiões. Conecte-se de forma privada a serviços em operação em outras regiões. A rede virtual do consumidor pode estar na região A e conectar-se aos serviços na região B.
  • Simplifique a implantação e operações em endpoints privados. Você não precisa mais de endereços IP públicos reservados em suas redes virtuais para proteger recursos do Azure através de um firewall IP. Você não precisa de dispositivos NAT ou gateways para configurar endpoints privados. Endpoints privados são configurados por meio de um fluxo de trabalho simples e, no lado do serviço, você também pode gerenciar requisições de conexão no seu recurso de serviço Azure com facilidade. Link Privado do Azure funciona para consumidores e serviços que pertencem a diferentes locatários do Microsoft Entra.
  • Desabilite o acesso à rede pública após ativar endpoints privados. Quando houver suporte do serviço, desative o acesso à rede pública depois de validar a conectividade do endpoint privado, para que o recurso aceite tráfego somente por meio de caminhos privados aprovados. Para obter mais informações, consulte Link Privado do Azure.
  • Projete zonas DNS privadas por serviço. Use a zona DNS privada recomendada para cada serviço Azure e vincule essa zona às redes virtuais que hospedam seus endpoints privados para que a resolução de nomes permaneça consistente. Para obter mais informações, consulte Valores da zona DNS privada do ponto de extremidade privado do Azure.
  • Aplique NSGs em sub-redes de pontos de extremidade privados quando houver suporte. Habilite políticas de rede para pontos de extremidade privados e use NSGs na sub-rede de hospedagem para impor requisitos de filtragem leste-oeste e de entrada para cenários compatíveis. Para obter mais informações, confira Gerenciar políticas de rede para pontos de extremidade privados.
  • Use o Perímetro de Segurança de Rede para isolamento gerenciado da rede. Avalie o Perímetro de Segurança de Rede quando precisar de um novo limite de isolamento gerenciado para recursos PaaS que reduza a exposição pública sem depender apenas de restrições baseadas em IP. Para obter mais informações, consulte os conceitos de Perímetro de Segurança de Rede.

Para obter mais informações sobre pontos de extremidade privados e os serviços e regiões Azure para os quais os pontos de extremidade privados estão disponíveis, consulte Link Privado do Azure.

Próximas etapas

  • Last updated on