Proteger sua implantação do Firewall do Azure

O Firewall do Azure é um serviço de segurança de rede gerenciado e baseado em nuvem que protege seus recursos da Rede Virtual do Azure. Como um firewall como serviço totalmente com estado, alta disponibilidade embutida e escalabilidade irrestrita na nuvem, o Firewall do Azure oferece aplicação centralizada de políticas para tráfego que entra, sai e se move através das suas redes Azure.

Este artigo fornece recomendações de segurança para o Firewall do Azure. Implementar essas recomendações ajuda você a cumprir suas obrigações de segurança e aprimora a postura geral de segurança da implantação. Para uma visão geral dos serviços de segurança de rede do Azure e como eles funcionam juntos, veja O que é segurança de rede do Azure?

As recomendações de segurança neste artigo implementam os princípios de Confiança Zero: "Verificar explicitamente", "Usar acesso de privilégio mínimo" e "Presumir violação". Para obter diretrizes abrangentes sobre Confiança Zero, consulte o Centro de Diretrizes de Confiança Zero.

Segurança de rede

A segurança de rede para o Firewall do Azure foca em implantação segura, inspeção centralizada e controles de políticas que reduzem a exposição entre redes hub-and-spoke e híbridas.

  • Implante o Firewall do Azure em uma sub-rede dedicada: Use o necessário AzureFirewallSubnet com tamanho mínimo /26, não implante outros recursos na sub-rede e mantenha tabelas de roteamento de carga de trabalho em sub-redes de workload em vez da sub-rede do firewall, a menos que um projeto documentado de tunelamento forçado exija rotas de sub-rede de firewall. Para mais informações, veja o Firewall do Azure FAQ.

  • Escolha o SKU Firewall do Azure certo: O Firewall do Azure está disponível em três SKUs: Básico para pequenas e médias empresas com throughput de até 250 Mbps, Standard e Premium. Use o Premium quando precisar de recursos avançados de segurança, como IDPS, inspeção TLS e filtragem de URLs. Use Standard ou Premium quando precisar de categorias web, que não estão disponíveis no Basic. Para obter mais informações, consulte Escolher a SKU certa do Firewall do Azure para atender às suas necessidades.

  • Ative a filtragem baseada em inteligência de ameaças: Configure filtragem baseada em inteligência de ameaças para alertar sobre tráfego proveniente de endereços IP maliciosos conhecidos, FQDNs e URLs. Use Standard ou Premium quando precisar de modo alerta e negação, porque o modo Básico suporta apenas modo alerta. Para mais informações, consulte filtragem baseada em inteligência de ameaças do Firewall do Azure e Escolha o SKU Firewall do Azure certo para atender às suas necessidades.

  • Implemente IDPS para detecção avançada de ameaças: Use o sistema de detecção e prevenção de intrusões Premium do Firewall do Azure (IDPS) para detectar e bloquear atividade maliciosa de rede com base em assinaturas gerenciadas pela Microsoft. Ajuste as ações de assinatura para reduzir falsos positivos e negar ameaças de alta confiança. Para obter mais informações, confira Recursos do Firewall do Azure Premium.

  • Configurar funcionalidade de proxy DNS: Ative o proxy DNS para que clientes e o Firewall do Azure usem resolução consistente de nomes para regras baseadas em FQDN. Essa configuração de DNS reduz o risco de burla de regras ou falhas de conexão causadas por respostas DNS diferentes. Para obter mais informações, consulte os detalhes do Proxy DNS do Firewall do Azure.

  • Use alvos gerenciados de regras para Azure e serviços Microsoft: Use etiquetas de serviço nas regras de rede e tags FQDN nas regras de aplicação em vez de manter manualmente intervalos de endereços IP e listas de endpoints de serviço. Para protocolos TCP ou UDP que precisam de filtragem baseada em domínio, use o filtragem FQDN nas regras de rede e ative o proxy DNS. Para mais informações, veja Visão Geral das tags de serviço Firewall do Azure, Visão geral das tags FQDN para Firewall do Azure e filtragem FQDN do Firewall do Azure nas regras de rede.

  • Use tunelamento forçado para ambientes híbridos: Configure tunelamento forçado quando o tráfego conectado à internet precisar passar por appliances de segurança locais ou caminhos de inspeção centralizados. Ative a interface de rede de gerenciamento para que AzureFirewallManagementSubnet o tráfego de gerenciamento do firewall permaneça separado do tráfego do cliente. Para obter mais informações, confira Túnel forçado do Firewall do Azure.

  • Ative a inspeção TLS para tráfego criptografado: Use a inspeção Firewall do Azure Premium TLS para inspecionar tráfego criptografado de saída e leste-oeste onde sua política de segurança exigir. Armazene e gerencie os certificados necessários no Azure Key Vault. Para obter mais informações, confira Certificados do Firewall do Azure Premium.

  • Avalie proxy explícito para saída controlada de HTTP/S: Use o proxy explícito do Firewall do Azure (prévia) quando você puder configurar aplicações para enviar tráfego HTTP/S de saída diretamente para o endereço IP privado do firewall sem uma rota definida pelo usuário. Use regras de aplicação para tráfego explícito de proxy e utilize um arquivo de auto-configuração de proxy (PAC) quando precisar de configurações de proxy de cliente gerenciadas centralmente. Para mais informações, veja Firewall do Azure explicit proxy (prévia).

  • Ative categorias web: Use categorias web para controlar o acesso a categorias de sites, como redes sociais ou jogos de azar, que não atendem à sua política de uso aceitável. As categorias web reduzem a sobrecarga administrativa em comparação com a manutenção de listas de permitir e negar de FQDNs individuais. Para obter mais informações, consulte as categorias da Web do Firewall do Azure.

  • Planeje a capacidade SNAT para escalar de saída: Adicione múltiplos endereços IP públicos ou integre com o Gateway da NAT do Azure quando precisar de mais portas SNAT para cargas de trabalho de saída de alto volume. Não use NAT Gateway com firewalls de hub virtual seguros. Use o NAT Gateway V2 quando precisar de SNAT redundante por zona com um firewall redundante. Para mais informações, veja Escalar portas SNAT com Gateway da NAT do Azure e Integrar Firewall do Azure com NAT Gateway V2.

Gerenciamento de identidade e acesso

Gerenciamento de identidade e acesso para o Firewall do Azure controla que pode administrar recursos do firewall, modificar a Política de Firewall e automatizar operações do plano de gerenciamento.

  • Use o Microsoft Entra ID para acesso ao plano de gerenciamento: Exige que administradores e identidades de automação se autentiquem pelo Microsoft Entra ID quando gerenciam o Firewall do Azure pelo portal Azure, Azure Resource Manager, CLI do Azure, ou PowerShell. Para mais informações, veja Sobre funções e permissões para o Firewall do Azure.

  • Atribua funções de menor privilégio no Azure RBAC: Escope funções embutidas como Contribuidor de Rede ao firewall específico, política de firewall, grupo de recursos ou grupo de gerenciamento que os administradores precisam gerenciar. Evite atribuições amplas de Proprietário ou Contribuidor quando permissões apenas de rede forem suficientes. Para mais informações, veja Sobre os papéis e permissões do Firewall do Azure.

  • Crie papéis personalizados para acesso apenas com políticas de firewall: Use funções RBAC personalizadas no Azure quando os administradores precisarem editar a Política de Firewall, mas não devem gerenciar redes virtuais, endereços IP públicos, tabelas de rotas ou outros recursos de rede. Para obter mais informações, confira Funções personalizadas do Azure.

  • Use o Privileged Identity Management para elevação: Torne cargos de alto impacto elegíveis em vez de permanentemente ativos. Exigir aprovação, justificativa, autenticação multifator e ativação com prazo para ativações de função que concedam acesso de escrita ao Firewall do Azure, Política de Firewall, endereços IP públicos e recursos virtuais de rede — como Contribuidor de Rede e quaisquer funções personalizadas de administrador de firewall. Para mais informações, veja a integração do Privileged Identity Management com o Azure RBAC.

  • Exigir Acesso Condicional para sessões administrativas: Aplicar políticas de Acesso Condicional que exijam autenticação multifator e dispositivos compatíveis para identidades que possam criar, modificar ou excluir instâncias do Firewall do Azure, Políticas de Firewall, endereços IP públicos, tabelas de roteamento e as redes virtuais hub das quais o firewall depende. Para mais informações, veja Exigir MFA para gerenciamento do Azure.

  • Limite as permissões de principal de serviço para automação: Atribua identidades de automação apenas as permissões necessárias para implantar, exportar ou atualizar recursos e políticas de firewall, e definir essas atribuições o mais restrito possível. Prefira identidades gerenciadas quando suportadas pela sua plataforma de automação. Para mais informações, veja Sobre funções e permissões para o Firewall do Azure.

  • Funções separadas entre os níveis de administrador: Projete um modelo de administrador em camadas onde as equipes DevOps possam solicitar ou implantar mudanças de aplicação, mas não possam modificar diretamente a política de segurança compartilhada, e os administradores de segurança aprovem ou gerenciem a Política de Firewall. Use atribuições de funções, funções personalizadas e pipelines de implantação para impor a separação de funções. Para mais informações, veja Sobre funções e permissões para o Firewall do Azure.

Proteção de dados

A proteção de dados para o Firewall do Azure foca na proteção do tráfego inspecionado, dados de configuração, certificados e logs que podem conter informações sensíveis de rede.

  • Implemente a inspeção TLS com o gerenciamento adequado de certificados: Armazene o certificado intermediário da CA de inspeção TLS no Azure Key Vault e conceda à identidade gerenciada pelo firewall apenas as permissões secretas necessárias. Use o modelo de política de acesso do Key Vault para essa integração, porque o Firewall do Azure não suporta autorização Azure RBAC para recuperar certificados de inspeção TLS. Para obter mais informações, confira Certificados do Firewall do Azure Premium.

  • Restringa o acesso a protocolos criptografados: Configure regras de firewall para permitir protocolos criptografados (como HTTPS) e bloqueie ou restrinja portas de texto simples onde os requisitos de negócio permitam. Combinar coleções de regras com prioridades e ordem de processamento ajuda a impor essas decisões de forma previsível. Para mais informações, veja Firewall do Azure lógica de processamento de regras.

  • Use filtragem de URL para controle granular: Aplique filtragem de URL para controlar URLs completas em vez de apenas FQDNs quando precisar de decisões precisas de permitir ou negar para tráfego web. Esse filtro ajuda a bloquear caminhos maliciosos hospedados em domínios que seriam legítimos. Para obter mais informações, confira Recursos do Firewall do Azure Premium.

  • Restringa o acesso a dados diagnósticos: Trate os logs do Firewall do Azure como sensíveis porque podem conter endereços IP de origem e destino, URLs, portas e decisões de regras. Use o RBAC em espaços de trabalho do Log Analytics, contas de armazenamento e hubs de eventos que recebem diagnósticos de firewall. Para mais informações, veja Monitorar logs e métricas do Firewall do Azure.

Registro e monitoramento

O logging e o monitoramento do Firewall do Azure fornecem visibilidade sobre fluxos de tráfego, decisões de políticas, ameaças, desempenho e mudanças de configuração para investigação e resposta.

  • Ative o logging de diagnóstico do Firewall do Azure: Configure as configurações de diagnóstico para enviar logs e métricas do Firewall do Azure para um workspace, conta de armazenamento ou hub de eventos do Log Analytics. Capture regra de rede, regra de aplicação, regra NAT, inteligência de ameaças, IDPS, proxy DNS, falha interna de resolução FQDN, top flow e logs de rastreamento de fluxo conforme apropriado para sua implantação. Para mais informações, veja Monitorar logs e métricas do Firewall do Azure.

  • Use logs estruturados específicos de recursos: Envie logs do Firewall do Azure para tabelas específicas de Log Analytics de recursos, como AZFWApplicationRule, AZFWNetworkRule, AZFWNatRule, AZFWThreatIntel, AZFWIdpsSignature, e AZFWDnsQuery em vez de depender apenas da tabela legadaAzureDiagnostics. Tabelas específicas de recurso melhoram o desempenho da consulta, a descoberta de esquemas e o controle de acesso em nível de tabela. Para mais informações, veja Monitorar logs e métricas do Firewall do Azure.

  • Integre com o Microsoft Sentinel para detecção de ameaças: Conecte os logs do Firewall do Azure ao Microsoft Sentinel para que as equipes de operações de segurança possam correlacionar eventos do firewall com sinais de identidade, endpoint e carga de trabalho. Use regras de análise e livros de exercícios para detectar malware e padrões de tráfego suspeitos. Para obter mais informações, consulte Detectar malware com o Firewall do Azure e o Microsoft Sentinel.

  • Use o Security Copilot para investigações de IDPS: Quando sua organização usar o Microsoft Security Copilot, habilite a integração com o Firewall do Azure para investigar detecções de IDPS entre firewalls usando logs IDPS estruturados no Log Analytics e RBAC apropriados permissões. Para mais informações, veja integração do Firewall do Azure no Microsoft Security Copilot.

  • Monitore alertas de inteligência de ameaças: Crie alertas e processos operacionais para os resultados de inteligência de ameaças, para que os analistas possam investigar rapidamente o tráfego de ou para fontes maliciosas conhecidas. Use automação para indicadores de alta confiança quando as ações de resposta forem bem testadas. Para obter mais informações, confira Filtragem baseada em inteligência contra ameaças do Firewall do Azure.

  • Configure monitoramento de desempenho e alertas: monitore o rendimento, latência, saúde do firewall, utilização da porta SNAT e contagem de acertos de regras usando o Azure Monitor. Alerte sobre os limites de capacidade ou disponibilidade antes que os usuários experimentem quedas de aplicativos. Para obter mais informações, consulte As práticas recomendadas para o desempenho do Firewall do Azure.

  • Monitore Resource Health disponibilidade de firewall: Use Azure Resource Health com métricas Firewall do Azure para que as equipes de operações possam detectar degradação da plataforma, investigar eventos de saúde do serviço e receber notificações quando a disponibilidade do firewall for afetada. Para obter mais informações, consulte Visão geral do Resource Health.

  • Revise análises de políticas e mudanças de regras: Use Análise de Políticas para identificar regras não utilizadas e regras excessivamente amplas. Use o rastreamento de mudanças no conjunto de regras para detectar mudanças inesperadas na configuração. Revisões regulares reduzem a proliferação de regras e melhoram a eficácia das políticas. Para mais informações, veja Firewall do Azure Policy Analytics e Rastrear mudanças no conjunto de regras do Firewall do Azure.

  • Use o Firewall do Azure Workbook para análise: Implante e revise os painéis do Firewall do Azure Workbook para analisar eventos, regras, ameaças e tendências entre múltiplos firewalls a partir de uma única experiência no portal Azure. Para mais informações, veja Firewall do Azure Workbook.

  • Defina a retenção de logs para investigações e conformidade: Configure períodos de retenção com base na resposta a incidentes, auditoria e necessidades regulatórias. Armazene arquivos de longo prazo em armazenamento protegido quando os espaços de trabalho operacionais utilizam retenção mais curta. Para mais informações, veja Monitorar logs e métricas do Firewall do Azure.

Conformidade e governança

Conformidade e governança para o Firewall do Azure ajudam a manter políticas consistentes, inventário e bases de segurança entre assinaturas, regiões e arquiteturas de rede.

  • Use o Azure Policy para aplicação de configuração: Atribua definições integradas e personalizadas do Azure Policy para auditar ou aplicar requisitos como inteligência de ameaças, configurações de diagnóstico, SKUs permitidos e implantação em zonas de disponibilidade. Para obter mais informações, consulte Usar o Azure Policy para ajudar a proteger suas implantações do Firewall do Azure.

  • Manter o inventário de recursos com o Azure Resource Graph: Consultar Firewall do Azure, Política de Firewall, IP público, tabela de rotas e recursos de configuração de diagnóstico entre assinaturas para identificar lacunas de cobertura e desvios de configuração. Use consultas salvas ou painéis para avaliações recorrentes. Para obter mais informações, consulte Azure Resource Graph visão geral.

  • Aplique tags consistentes aos recursos do firewall: Use tags para propriedade, ambiente, centro de custos, classificação de dados e criticidade para que as equipes possam governar os recursos do firewall e políticas relacionadas de forma consistente. Impeça tags obrigatórias com o Azure Policy. Para mais informações, veja Use Azure Policy para aplicar regras e convenções de marcação.

  • Centralize a política com o Gerenciador de Firewall do Azure: Use o Gerenciador de Firewall do Azure para gerenciar políticas de firewall entre hubs virtuais seguros e redes virtuais de hub a partir de um plano de controle centralizado. Essa gestão centralizada ajuda a reduzir regras inconsistentes entre assinaturas e regiões. Para mais informações, veja O que é o Gerenciador de Firewall do Azure?

  • Use hierarquia de políticas e herança para hub e spoke: Estrutura políticas de firewall pai e filho para que os requisitos globais de segurança herdem para políticas regionais ou específicas da aplicação, permitindo exceções locais controladas. Esse modelo suporta governança consistente em grandes implantações hub-and-spoke. Para mais informações, veja a visão geral da política do Gerenciador de Firewall do Azure.

  • Associe a DDoS Protection a redes virtuais hub seguras: Use o Gerenciador de Firewall do Azure para associar planos de proteção DDoS do Azure a redes virtuais hub que contenham o Firewall do Azure. A Proteção DDoS não suporta hubs WAN Virtual, então use a associação para projetos de hubs de rede virtual. Para mais informações, veja Configurar o Plano de Proteção DDoS do Azure usando o Gerenciador de Firewall do Azure.

  • Revise certificações de conformidade: Revise o escopo de auditoria do Firewall do Azure em relação aos seus requisitos regulatórios e padrões organizacionais. Use a lista de ofertas de conformidade autorizada ao avaliar se o Firewall do Azure está dentro do escopo de uma auditoria obrigatória. Para mais informações, veja certificações do Firewall do Azure.

  • Padronize a implantação por meio da infraestrutura como código: Implante o Firewall do Azure e a Política de Firewall usando Bicep, templates ARM, Terraform ou pipelines aprovados para que as equipes revisem as mudanças de forma consistente e mantenham as implantações repetíveis e auditáveis. Para mais informações, veja implantação Bicep para Firewall do Azure.

Backup e recuperação

Backup e recuperação para Firewall do Azure focam em preservar a Política de Firewall como fonte de verdade e em projetar implantações resilientes que as equipes possam restaurar ou fazer failover durante as quedas.

  • Gerencie a Política de Firewall como infraestrutura como código: Defina e versione a Política de Firewall em Bicep, templates ARM ou Terraform armazenados em um repositório com controle de código-fonte. Trate esse repositório como a fonte da verdade. Use a exportação de políticas como um bootstrap ou snapshot pontual no tempo, não como fonte contínua de verdade. Para mais informações, veja Exportar template no portal do Azure.

  • Implante o Firewall do Azure em Zonas de Disponibilidade: Use implantações redundantes de zona em regiões suportadas para melhorar a resiliência a falhas em nível de data center. Inclua requisitos de zona em padrões de implantação e atribuições de Azure Policy. Para mais informações, veja Deploy Firewall do Azure with Zonas de Disponibilidade using Azure PowerShell.

  • Planeje a implantação de firewalls multirregional para recuperação de desastres: Implante o Firewall do Azure e políticas alinhadas em regiões pareadas ou estrategicamente selecionadas para cargas de trabalho que exigem recuperação regional de desastres. Garanta que você possa recriar tabelas de rota, IPs públicos, diagnósticos e atribuições de políticas na região secundária. Para mais informações, veja Use Firewall do Azure para rotear uma topologia hub-and-spoke entre múltiplos hubs.

  • Use a hierarquia de políticas de firewall pai e filho para recuperação: Mantenha regras globais nas políticas pais e regras regionais ou de carga de trabalho nas políticas filhas, para que ambientes recuperados herdem consistentemente os controles necessários. Essa estrutura de políticas reduz a reconstrução manual das regras durante a recuperação. Para mais informações, veja Gerenciador de Firewall do Azure hierarquia de regras.

  • Teste procedimentos de failover regularmente: Valide que roteamento, DNS, balanceamento de carga, monitoramento e regras de segurança funcionam quando o tráfego se move para um hub ou região secundária. Inclua equipes de operações de segurança nos exercícios para que os processos de alerta e resposta a incidentes continuem durante o failover. Para mais informações, veja as melhores práticas do Firewall do Azure.

  • Planeje a capacidade de recuperação em torno do comportamento de autoescalabilidade: Implantações padrão e Premium do Firewall do Azure escalam automaticamente, mas a expansão pode levar vários minutos após o aumento do tráfego. Monitore o throughput e planeje o tráfego de failover para que os eventos de recuperação não excedam a capacidade disponível durante a janela de scale-out. Para obter mais informações, consulte Firewall do Azure performance.

Próximas etapas

  • Last updated on