Proteger sua implantação do Firewall do Azure

O Firewall do Azure é um serviço de segurança de rede gerenciado e baseado em nuvem que protege seus recursos da Rede Virtual do Azure. Como um firewall como serviço totalmente com estado, com alta disponibilidade integrada e escalabilidade irrestrita da nuvem, o Firewall do Azure oferece aplicação centralizada de políticas para o tráfego que entra, sai e circula entre suas redes do Azure.

Este artigo fornece recomendações de segurança para o Firewall do Azure. Implementar essas recomendações ajuda você a cumprir suas obrigações de segurança e aprimora a postura geral de segurança da implantação. Para uma visão geral dos serviços de segurança de rede do Azure e como eles funcionam juntos, veja O que é segurança de rede do Azure?

As recomendações de segurança neste artigo implementam os princípios de Confiança Zero: "Verificar explicitamente", "Usar acesso de privilégio mínimo" e "Presumir violação". Para obter diretrizes abrangentes sobre Confiança Zero, consulte o Centro de Diretrizes de Confiança Zero.

Segurança de rede

A segurança de rede para o Firewall do Azure foca em implantação segura, inspeção centralizada e controles de políticas que reduzem a exposição entre redes hub-and-spoke e híbridas.

  • Implante o Firewall do Azure em uma sub-rede dedicada: Use o necessário AzureFirewallSubnet com tamanho mínimo /26, não implante outros recursos na sub-rede e mantenha tabelas de roteamento de carga de trabalho em sub-redes de workload em vez da sub-rede do firewall, a menos que um projeto documentado de tunelamento forçado exija rotas de sub-rede de firewall. Para mais informações, veja o Firewall do Azure FAQ.

  • Escolha o SKU Firewall do Azure certo: O Firewall do Azure está disponível em três SKUs: Básico para pequenas e médias empresas com throughput de até 250 Mbps, Standard e Premium. Use o Premium quando precisar de recursos avançados de segurança, como IDPS, inspeção TLS e filtragem de URLs. Use Standard ou Premium quando precisar de categorias web, que não estão disponíveis no Basic. Para obter mais informações, consulte Escolher a SKU certa do Firewall do Azure para atender às suas necessidades.

  • Ative a filtragem baseada em inteligência de ameaças: Configure filtragem baseada em inteligência de ameaças para alertar sobre tráfego proveniente de endereços IP maliciosos conhecidos, FQDNs e URLs. Use Standard ou Premium quando precisar de modo alerta e negação, porque o modo Básico suporta apenas modo alerta. Para mais informações, consulte filtragem baseada em inteligência de ameaças do Firewall do Azure e Escolha o SKU Firewall do Azure certo para atender às suas necessidades.

  • Implemente IDPS para detecção avançada de ameaças: Use o sistema de detecção e prevenção de intrusões Premium do Firewall do Azure (IDPS) para detectar e bloquear atividade maliciosa de rede com base em assinaturas gerenciadas pela Microsoft. Ajuste as ações de assinatura para reduzir falsos positivos e negar ameaças de alta confiança. Para obter mais informações, confira Recursos do Firewall do Azure Premium.

  • Configurar funcionalidade de proxy DNS: Ative o proxy DNS para que clientes e o Firewall do Azure usem resolução consistente de nomes para regras baseadas em FQDN. Essa configuração de DNS reduz o risco de burla de regras ou falhas de conexão causadas por respostas DNS diferentes. Para obter mais informações, consulte os detalhes do Proxy DNS do Firewall do Azure.

  • Use destinos de regras gerenciadas para serviços do Azure e da Microsoft: Use marcas de serviço em regras de rede e tags FQDN em regras de aplicativo em vez de manter manualmente intervalos de endereços IP e listas de pontos de extremidade de serviço. Para protocolos TCP ou UDP que precisam de filtragem baseada em domínio, use o filtragem FQDN nas regras de rede e ative o proxy DNS. Para mais informações, veja Visão Geral das tags de serviço Firewall do Azure, Visão geral das tags FQDN para Firewall do Azure e filtragem FQDN do Firewall do Azure nas regras de rede.

  • Use tunelamento forçado para ambientes híbridos: Configure tunelamento forçado quando o tráfego conectado à internet precisar passar por appliances de segurança locais ou caminhos de inspeção centralizados. Ative a interface de rede de gerenciamento para que AzureFirewallManagementSubnet o tráfego de gerenciamento do firewall permaneça separado do tráfego do cliente. Para obter mais informações, confira Túnel forçado do Firewall do Azure.

  • Habilite a inspeção TLS para tráfego criptografado: Use a inspeção TLS do Firewall do Azure Premium para inspecionar o tráfego de saída e leste-oeste criptografado quando sua política de segurança exigir. Armazene e gerencie os certificados necessários no Azure Key Vault. Para obter mais informações, confira Certificados do Firewall do Azure Premium.

  • Avalie proxy explícito para saída controlada de HTTP/S: Use o proxy explícito do Firewall do Azure (prévia) quando você puder configurar aplicações para enviar tráfego HTTP/S de saída diretamente para o endereço IP privado do firewall sem uma rota definida pelo usuário. Use regras de aplicação para tráfego explícito de proxy e utilize um arquivo de auto-configuração de proxy (PAC) quando precisar de configurações de proxy de cliente gerenciadas centralmente. Para mais informações, veja Firewall do Azure explicit proxy (prévia).

  • Ative categorias web: Use categorias web para controlar o acesso a categorias de sites, como redes sociais ou jogos de azar, que não atendem à sua política de uso aceitável. As categorias da web reduzem a sobrecarga administrativa em comparação com a manutenção de listas de permissão e de bloqueio de FQDNs individuais. Para obter mais informações, consulte as categorias da Web do Firewall do Azure.

  • Planeje a capacidade SNAT para escalar de saída: Adicione múltiplos endereços IP públicos ou integre com o Gateway da NAT do Azure quando precisar de mais portas SNAT para cargas de trabalho de saída de alto volume. Não use NAT Gateway com firewalls de hub virtual seguros. Use o NAT Gateway V2 quando precisar de SNAT redundante por zona com um firewall redundante por zona. Para mais informações, veja Escalar portas SNAT com Gateway da NAT do Azure e Integrar Firewall do Azure com NAT Gateway V2.

Gerenciamento de identidade e acesso

O gerenciamento de identidades e acesso do Firewall do Azure controla quem pode administrar recursos de firewall, modificar a Política de Firewall e automatizar operações do plano de gerenciamento.

  • Use o Microsoft Entra ID para acesso ao plano de gerenciamento: Exige que administradores e identidades de automação se autentiquem pelo Microsoft Entra ID quando gerenciam o Firewall do Azure pelo portal Azure, Azure Resource Manager, CLI do Azure, ou PowerShell. Para mais informações, veja Sobre funções e permissões para o Firewall do Azure.

  • Atribua funções do Azure RBAC com privilégios mínimos: Restrinja o escopo de funções internas, como Network Contributor, ao firewall, à política de firewall, ao grupo de recursos ou ao grupo de gerenciamento específicos que os administradores precisam gerenciar. Evite atribuições amplas de Proprietário ou Contribuidor quando permissões apenas de rede forem suficientes. Para mais informações, veja Sobre os papéis e permissões do Firewall do Azure.

  • Crie papéis personalizados para acesso apenas com políticas de firewall: Use funções RBAC personalizadas no Azure quando os administradores precisarem editar a Política de Firewall, mas não devem gerenciar redes virtuais, endereços IP públicos, tabelas de rotas ou outros recursos de rede. Para obter mais informações, confira Funções personalizadas do Azure.

  • Use o Privileged Identity Management para elevação: Torne as funções de alto impacto elegíveis em vez de permanentemente ativas. Exigir aprovação, justificativa, autenticação multifator e ativação por tempo limitado para ativações de funções que concedam acesso de gravação ao Firewall do Azure, à Política de Firewall do Azure, a endereços IP públicos e a recursos de rede virtual — como Contribuidor de Rede e quaisquer funções personalizadas de administrador do firewall. Para mais informações, veja a integração do Privileged Identity Management com o Azure RBAC.

  • Exigir Acesso Condicional para sessões administrativas: Aplicar políticas de Acesso Condicional que exijam autenticação multifator e dispositivos compatíveis para identidades que possam criar, modificar ou excluir instâncias do Firewall do Azure, Políticas de Firewall, endereços IP públicos, tabelas de roteamento e as redes virtuais hub das quais o firewall depende. Para mais informações, veja Exigir MFA para gerenciamento do Azure.

  • Limite as permissões da entidade de serviço para automação: Atribua às identidades de automação somente as permissões necessárias para implantar, exportar ou atualizar recursos e políticas de firewall e limite o escopo dessas atribuições ao máximo. Prefira identidades gerenciadas quando suportadas pela sua plataforma de automação. Para mais informações, veja Sobre funções e permissões para o Firewall do Azure.

  • Funções separadas entre os níveis de administrador: Projete um modelo de administrador em camadas onde as equipes DevOps possam solicitar ou implantar mudanças de aplicação, mas não possam modificar diretamente a política de segurança compartilhada, e os administradores de segurança aprovem ou gerenciem a Política de Firewall. Use atribuições de função, funções personalizadas e pipelines de implantação para impor a separação de funções. Para mais informações, veja Sobre funções e permissões para o Firewall do Azure.

Proteção de dados

A proteção de dados para o Firewall do Azure foca na proteção do tráfego inspecionado, dados de configuração, certificados e logs que podem conter informações sensíveis de rede.

  • Implemente a inspeção TLS com o gerenciamento adequado de certificados: Armazene o certificado intermediário da CA de inspeção TLS no Azure Key Vault e conceda à identidade gerenciada pelo firewall apenas as permissões secretas necessárias. Use o modelo de política de acesso do Key Vault para essa integração, porque o Firewall do Azure não suporta autorização Azure RBAC para recuperar certificados de inspeção TLS. Para obter mais informações, confira Certificados do Firewall do Azure Premium.

  • Restringa o acesso a protocolos criptografados: Configure regras de firewall para permitir protocolos criptografados (como HTTPS) e bloqueie ou restrinja portas de texto simples onde os requisitos de negócio permitam. Combinar coleções de regras com prioridades e ordem de processamento ajuda a impor essas decisões de forma previsível. Para mais informações, consulte lógica de processamento de regras do Firewall do Azure.

  • Use filtragem de URL para controle granular: Aplique filtragem de URL para controlar URLs completas em vez de apenas FQDNs quando precisar de decisões precisas de permitir ou negar para tráfego web. Esse filtro ajuda a bloquear caminhos maliciosos hospedados em domínios que seriam legítimos. Para obter mais informações, confira Recursos do Firewall do Azure Premium.

  • Restringa o acesso a dados diagnósticos: Trate os logs do Firewall do Azure como sensíveis porque podem conter endereços IP de origem e destino, URLs, portas e decisões de regras. Use o RBAC em espaços de trabalho do Log Analytics, contas de armazenamento e hubs de eventos que recebem diagnósticos de firewall. Para mais informações, veja Monitorar logs e métricas do Firewall do Azure.

Registro e monitoramento

O logging e o monitoramento do Firewall do Azure fornecem visibilidade sobre fluxos de tráfego, decisões de políticas, ameaças, desempenho e mudanças de configuração para investigação e resposta.

  • Habilite os logs de diagnóstico do Firewall do Azure: Configure as configurações de diagnóstico para enviar logs e métricas do Firewall do Azure para um espaço de trabalho do Log Analytics, uma conta de armazenamento ou um hub de eventos. Colete os logs de regra de rede, regra de aplicação, regra de NAT, inteligência contra ameaças, IDPS, proxy de DNS, falha na resolução interna de FQDN, fluxos principais e rastreamento de fluxos, conforme apropriado para sua implantação. Para mais informações, veja Monitorar logs e métricas do Firewall do Azure.

  • Use logs estruturados específicos de recursos: Envie logs do Firewall do Azure para tabelas do Log Analytics específicas de recursos, como AZFWApplicationRule, AZFWNetworkRule, AZFWNatRule, AZFWThreatIntel, AZFWIdpsSignature e AZFWDnsQuery em vez de depender apenas da tabela legada AzureDiagnostics. Tabelas específicas de recurso melhoram o desempenho da consulta, a descoberta de esquemas e o controle de acesso em nível de tabela. Para mais informações, veja Monitorar logs e métricas do Firewall do Azure.

  • Integre com o Microsoft Sentinel para detecção de ameaças: Conecte os logs do Firewall do Azure ao Microsoft Sentinel para que as equipes de operações de segurança possam correlacionar eventos do firewall com sinais de identidade, endpoint e carga de trabalho. Use regras de análise e livros de exercícios para detectar malware e padrões de tráfego suspeitos. Para obter mais informações, consulte Detectar malware com o Firewall do Azure e o Microsoft Sentinel.

  • Use o Security Copilot para investigações de IDPS: Quando sua organização usa o Microsoft Security Copilot, habilite a integração do Firewall do Azure para investigar detecções de IDPS em vários firewalls usando logs de IDPS estruturados no Log Analytics e as permissões RBAC apropriadas. Para mais informações, veja integração do Firewall do Azure no Microsoft Security Copilot.

  • Monitore alertas de inteligência de ameaças: Crie alertas e processos operacionais para os resultados de inteligência de ameaças, para que os analistas possam investigar rapidamente o tráfego de ou para fontes maliciosas conhecidas. Use automação para indicadores de alta confiança quando as ações de resposta forem bem testadas. Para obter mais informações, confira Filtragem baseada em inteligência contra ameaças do Firewall do Azure.

  • Configure monitoramento de desempenho e alertas: monitore o rendimento, latência, saúde do firewall, utilização da porta SNAT e contagem de acertos de regras usando o Azure Monitor. Alerte sobre os limites de capacidade ou disponibilidade antes que os usuários experimentem quedas de aplicativos. Para obter mais informações, consulte As práticas recomendadas para o desempenho do Firewall do Azure.

  • Monitore a integridade dos recursos para a disponibilidade do firewall: Use o Azure Resource Health com as métricas do Firewall do Azure para que as equipes de operações possam detectar a degradação da plataforma, investigar eventos de integridade do serviço e receber notificações quando a disponibilidade do firewall for afetada. Para mais informações, veja Monitorar a saúde do firewall com Resource Health.

  • Revise análises de políticas e mudanças de regras: Use Análise de Políticas para identificar regras não utilizadas e regras excessivamente amplas. Use o rastreamento de mudanças no conjunto de regras para detectar mudanças inesperadas na configuração. Revisões regulares reduzem a proliferação de regras e melhoram a eficácia das políticas. Para mais informações, veja Firewall do Azure Policy Analytics e Rastrear mudanças no conjunto de regras do Firewall do Azure.

  • Use o Firewall do Azure Workbook para análise: Implante e revise os painéis do Firewall do Azure Workbook para analisar eventos, regras, ameaças e tendências entre múltiplos firewalls a partir de uma única experiência no portal Azure. Para mais informações, veja Firewall do Azure Workbook.

  • Defina a retenção de logs para investigações e conformidade: Configure períodos de retenção com base na resposta a incidentes, auditoria e necessidades regulatórias. Armazene arquivos de longo prazo em armazenamento protegido quando os espaços de trabalho operacionais utilizam retenção mais curta. Para mais informações, veja Monitorar logs e métricas do Firewall do Azure.

Conformidade e governança

Conformidade e governança para o Firewall do Azure ajudam a manter políticas consistentes, inventário e bases de segurança entre assinaturas, regiões e arquiteturas de rede.

  • Use o Azure Policy para imposição de configurações: Atribua definições integradas e personalizadas do Azure Policy para auditar ou aplicar requisitos como inteligência de ameaças, configurações de diagnóstico e SKUs permitidos. Para obter mais informações, consulte Usar o Azure Policy para ajudar a proteger suas implantações do Firewall do Azure.

  • Manter o inventário de recursos com o Azure Resource Graph: Consultar Firewall do Azure, Política de Firewall, IP público, tabela de rotas e recursos de configuração de diagnóstico entre assinaturas para identificar lacunas de cobertura e desvios de configuração. Use consultas salvas ou painéis para avaliações recorrentes. Para obter mais informações, consulte Azure Resource Graph visão geral.

  • Aplique tags consistentes aos recursos do firewall: Use tags para propriedade, ambiente, centro de custos, classificação de dados e criticidade para que as equipes possam governar os recursos do firewall e políticas relacionadas de forma consistente. Impeça tags obrigatórias com o Azure Policy. Para mais informações, consulte Use a Política do Azure para impor regras e convenções de tags.

  • Centralize a política com o Gerenciador de Firewall do Azure: Use o Gerenciador de Firewall do Azure para gerenciar políticas de firewall entre hubs virtuais seguros e redes virtuais de hub a partir de um plano de controle centralizado. Essa gestão centralizada ajuda a reduzir regras inconsistentes entre assinaturas e regiões. Para mais informações, veja O que é o Gerenciador de Firewall do Azure?

  • Use hierarquia de políticas e herança para arquitetura em estrela: Estruture as Políticas de Firewall pai e filho de forma que os requisitos de segurança globais sejam herdados pelas políticas regionais ou específicas do aplicativo, permitindo exceções locais controladas. Esse modelo permite uma governança consistente em grandes implantações de arquitetura hub-and-spoke. Para mais informações, veja a visão geral da política do Gerenciador de Firewall do Azure.

  • Associe a DDoS Protection a redes virtuais hub seguras: Use o Gerenciador de Firewall do Azure para associar planos de proteção DDoS do Azure a redes virtuais hub que contenham o Firewall do Azure. A Proteção contra DDoS não oferece suporte a hubs WAN Virtual; portanto, use a associação para projetos de hubs de rede virtual. Para mais informações, veja Configurar o Plano de Proteção DDoS do Azure usando o Gerenciador de Firewall do Azure.

  • Revise certificações de conformidade: Revise o escopo de auditoria do Firewall do Azure em relação aos seus requisitos regulatórios e padrões organizacionais. Use a lista de ofertas de conformidade autorizada ao avaliar se o Firewall do Azure está dentro do escopo de uma auditoria obrigatória. Para mais informações, veja certificações do Firewall do Azure.

  • Padronize a implantação por meio da infraestrutura como código: Implante o Firewall do Azure e a Política de Firewall usando Bicep, templates ARM, Terraform ou pipelines aprovados para que as equipes revisem as mudanças de forma consistente e mantenham as implantações repetíveis e auditáveis. Para mais informações, veja implantação Bicep para Firewall do Azure.

Backup e recuperação

Backup e recuperação do Firewall do Azure têm como foco preservar a Política de Firewall como fonte única de verdade e projetar implantações resilientes que as equipes possam restaurar ou nas quais possam executar failover durante interrupções.

  • Gerencie a Política de Firewall como infraestrutura como código: Defina e versione a Política de Firewall em Bicep, templates ARM ou Terraform armazenados em um repositório com controle de código-fonte. Trate esse repositório como a fonte da verdade. Use a exportação de políticas como um instantâneo de bootstrap ou pontual, não como a fonte de verdade contínua. Para mais informações, consulte Exportar modelo no portal do Azure.

  • Deixe o Azure gerenciar a redundância de zonas de firewall: Para novas implantações, omita as zonas explícitas de firewall e escolha uma região onde a redundância de zonas esteja disponível por padrão. O Azure gerencia a alocação de zonas backend para melhorar a resiliência a falhas de zona. Firewalls existentes elegíveis, incluindo firewalls de zona única, são migrados automaticamente; não desaloque recursos nem reimplante-os apenas para obter redundância. Para exemplos de cobertura e implantação, veja Implantar o Firewall do Azure com zonas de disponibilidade.

  • Planeje a implantação de firewalls multirregional para recuperação de desastres: Implante o Firewall do Azure e políticas alinhadas em regiões pareadas ou estrategicamente selecionadas para cargas de trabalho que exigem recuperação regional de desastres. Garanta que você possa recriar tabelas de rota, IPs públicos, diagnósticos e atribuições de políticas na região secundária. Para obter mais informações, consulte Usar o Firewall do Azure para rotear uma topologia em estrela em vários hubs.

  • Use a hierarquia de políticas de firewall entre pai e filho para recuperação: Mantenha regras globais nas políticas pai e regras regionais ou de cargas de trabalho nas políticas filho, para que os ambientes recuperados herdem de forma consistente os controles necessários. Essa estrutura de políticas reduz a reconstrução manual das regras durante a recuperação. Para mais informações, veja Gerenciador de Firewall do Azure hierarquia de regras.

  • Teste procedimentos de failover regularmente: Valide que roteamento, DNS, balanceamento de carga, monitoramento e regras de segurança funcionam quando o tráfego se move para um hub ou região secundária. Inclua equipes de operações de segurança nos exercícios para que os processos de alerta e resposta a incidentes continuem durante o failover. Para mais informações, veja as melhores práticas do Firewall do Azure.

  • Planeje a capacidade de recuperação considerando o comportamento de dimensionamento automático: As implantações do Firewall do Azure Standard e Premium são dimensionadas automaticamente, mas a expansão pode levar vários minutos após o aumento do tráfego. Monitore o throughput e planeje o tráfego de failover para que os eventos de recuperação não excedam a capacidade disponível durante a janela de scale-out. Para obter mais informações, consulte Firewall do Azure performance.

Próximas etapas

  • Última atualização em