Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
A Rede Virtual do Azure é o bloco de construção fundamental para sua rede privada no Azure. O Rede Virtual do Azure ajuda os recursos do Azure a se comunicarem de forma segura entre si, com a internet e com redes locais. Implantações de redes virtuais seguras utilizam segmentação de rede, inspeção de tráfego, controles de identidade, monitoramento e design resiliente para proteger a infraestrutura da rede e prevenir acessos não autorizados aos recursos.
Este artigo fornece recomendações de segurança para Rede Virtual do Azure. Ao implementar essas recomendações, você ajuda a cumprir suas obrigações de segurança e a melhorar a postura geral de segurança da sua implantação. Para uma visão geral dos serviços de segurança de rede do Azure e como eles funcionam juntos, veja O que é segurança de rede do Azure?
As recomendações de segurança neste artigo implementam os princípios de Confiança Zero: "Verificar explicitamente", "Usar acesso de privilégio mínimo" e "Presumir violação". Para obter diretrizes abrangentes sobre Confiança Zero, consulte o Centro de Diretrizes de Confiança Zero.
Segurança de rede
A segurança de rede para redes virtuais foca no controle do fluxo de tráfego, implementação de segmentação e proteção contra ameaças externas. Controles de rede apropriados ajudam a isolar cargas de trabalho, prevenir movimentos laterais e defender contra ataques distribuídos de negação de serviço.
Segmente cargas de trabalho usando grupos de segurança de rede e grupos de segurança de aplicações: Aplique grupos de segurança de rede (NSGs) a sub-redes e interfaces de rede para controlar o tráfego de entrada e saída com base no IP de origem, IP de destino, porta e protocolo. Use grupos de segurança de aplicações para agrupar máquinas virtuais logicamente e definir políticas de segurança de rede com base na estrutura da aplicação. Use uma abordagem de negação por padrão e permissão por exceção para reduzir a superfície de ataque. Para obter mais informações, confira Grupos de segurança de rede.
Aplique regras básicas de rede usando regras de administração de segurança: Use regras de administração de segurança no Gerenciador de Rede Virtual do Azure para aplicar centralizadamente, permitir, sempre permitir e negar regras em redes virtuais gerenciadas. Use-os para bloquear portas de alto risco, impor segmentação e reduzir o risco de que a configuração incorreta do NSG em nível de carga de trabalho contorne políticas organizacionais. Para mais informações, veja regras de administração de segurança no Gerenciador de Rede Virtual do Azure.
Implante o Firewall do Azure para proteção centralizada e com estado: Use o Firewall do Azure para controlar tanto o tráfego de entrada quanto de saída em suas redes virtuais por meio de inspeção de pacotes totalmente com estado. Use uma Política de Firewall centralizada para definir e gerenciar regras de aplicação e rede em larga escala. Ativear a filtragem baseada em inteligência de ameaças. Use o Firewall do Azure Premium com sistema de detecção e prevenção de intrusões (IDPS) para monitorar e bloquear tráfego malicioso de rede. Para obter mais informações, consulte o Firewall do Azure.
Ative a Proteção de Rede DDoS do Azure: Ative a Proteção de Rede DDoS do Azure em redes virtuais com recursos de IP públicos para se defender contra ataques distribuídos de negação de serviço. Use a Proteção de Rede DDoS para proteção em toda a rede virtual, ou Proteção IP DDoS quando precisar de cobertura pay-per-protected-IP para recursos públicos individuais. Para saber mais, confira Visão geral da Proteção contra DDoS do Azure.
Use marcas de serviço para simplificar as regras de segurança: substitua endereços IP específicos por marcas de serviço em suas regras NSG para permitir a comunicação com os serviços do Azure, mantendo a segurança. A Microsoft atualiza automaticamente as marcas de serviço à medida que os intervalos de IP são alterados. Para saber mais, confira Marcas de serviço.
Implemente o Azure Bastion para acesso seguro a RDP e SSH: Use o Azure Bastion para conectar com segurança a máquinas virtuais via RDP ou SSH sem expô-las à internet pública. O Bastion elimina a necessidade de endereços IP públicos em VMs e reduz a superfície de ataque. Para obter mais informações, consulte o Azure Bastion.
Implemente o Gateway da NAT do Azure para tráfego de saída: Use o Gateway da NAT do Azure para fornecer endereços IP de saída estáticos para recursos de rede virtual e tráfego de saída seguro e escalável. O NAT Gateway também ajuda a proteger contra o esgotamento das portas. Para obter mais informações, consulte o Gateway nat do Azure.
Use endpoints privados e serviços Link Privado for Azure: Use o Link Privado do Azure para acessar serviços PaaS do Azure por meio de um endpoint privado dentro da sua rede virtual. O Link Privado mantém o tráfego de endpoint privado na rede backbone da Microsoft. Quando o serviço alvo o suportar, também desabilite o acesso à rede pública ou configure o firewall de serviço para impedir o acesso público. Para obter mais informações, confira Link Privado do Azure.
Prefira endpoints privados em vez de endpoints de serviço para acesso privado a serviços: Use endpoints privados quando suportados, para que o serviço seja representado por um endereço IP privado na sua rede virtual e possa usar DNS e políticas de rede privadas. Use endpoints de serviço apenas quando o Link Privado não estiver disponível ou quando um requisito específico do serviço exigir isso. Para acesso em larga escala de IaaS para PaaS que utiliza endpoints de serviço, avalie endpoints padrão de serviço (preview) com integração de perímetro de segurança de rede, mas não os trate como equivalentes ao Link Privado porque não oferecem conectividade privada ou proteção contra exfiltração de dados. Para mais informações, veja O que é um endpoint privado?, Gerenciar políticas de rede para endpoints privados, Endpoints de serviço de rede virtual e endpoints de serviço padrão Azure.
Peering de redes virtuais seguras de forma deliberada: Trate o peering como uma conexão direta e não transitiva entre duas redes virtuais. Crie peerings explícitos para cada caminho necessário, escope regras NSG e de roteamento para os espaços de endereçamento peered, e permita o trânsito de gateway ou gateways remotos apenas quando o design hub-and-spoke exigir conectividade compartilhada on-premiss. Para mais informações, veja Peering de rede virtual e Criar, alterar ou excluir um peering de rede virtual.
Configure as sub-redes como privadas por padrão: para sub-redes que não exigem acesso público à Internet, configure-as como sub-redes privadas. Use o Firewall do Azure ou o NAT Gateway para acesso controlado de saída quando necessário. Para obter mais informações, consulte Acesso de saída padrão no Azure.
Limitar o uso de endereços IP públicos: Minimize o número de endereços IP públicos usando endereços IP públicos compartilhados de serviços como Azure Front Door ou Application Gateway. Quando endereços IP públicos forem necessários, implemente gerenciamento adequado de portas, filtragem de tráfego e validação de requisições. Para obter mais informações, consulte endereços IP públicos.
Planeje explicitamente os controles de segurança de dual-stack do IPv6: se você habilitar o IPv6, defina espaços de endereçamento e sub-redes de dual-stack IPv4 e IPv6, configure regras NSG para tráfego IPv6 e valide limitações de recursos como VM somente IPv6 e suporte ao Firewall do Azure. Para mais informações, veja IPv6 para Rede Virtual do Azure.
Delegue sub-redes apenas para integrações de serviços suportados: Use a delegação de sub-redes quando um serviço Azure precisar ser injetado em uma sub-rede virtual. Revise as políticas de intenção de rede do serviço, suporte a NSG, suporte a tabela de roteamento e restrições de endpoints privados antes de delegar a sub-rede. Para mais informações, veja delegação de sub-rede.
Configurar a captura de pacotes para análise forense: habilite a captura de pacotes em máquinas virtuais ou use a captura de pacotes do Gateway de VPN para registrar o tráfego de rede para análise de segurança e investigação de incidentes. Para mais informações, veja Observador de Rede captura de pacotes e Configurar captura de pacotes para Gateway de VPN.
Gerenciamento de identidade e acesso
O gerenciamento de identidade e acesso para redes virtuais controla quem pode criar, modificar e excluir recursos de rede e como as operações privilegiadas de rede são protegidas. Controles rigorosos de identidade evitam alterações não autorizadas na rede e mantêm a postura de segurança da sua infraestrutura de rede.
Use o Azure RBAC para acesso a recursos de rede: Atribua funções incorporadas apropriadas, como Contribuidor de Rede, ou funções personalizadas com permissões específicas para controlar quem pode criar, modificar ou excluir redes virtuais e recursos relacionados. Siga o princípio dos privilégios mínimos. Para mais informações, veja as funções integradas do Azure RBAC para rede.
Aplique o privilégio mínimo para funções de rede: Configure controle de acesso baseado em papéis com uma mentalidade de não acesso para funções relacionadas à rede. Garantir que os usuários possam modificar apenas as configurações de rede exigidas pela função do trabalho. Para obter mais informações, consulte as práticas recomendadas do RBAC do Azure.
Use o Microsoft Entra ID para identidade centralizada: Use o Microsoft Entra ID como provedor centralizado de identidade para gerenciar o acesso a recursos de rede e serviços Azure relacionados. Implemente login único em vez de credenciais independentes para cada serviço, reduzindo a superfície de ataque e os requisitos de senha. Para obter mais informações, consulte Logon único em aplicativos.
Implemente Acesso Condicional para administradores de rede: Configure políticas de Acesso Condicional para exigir autenticação multifator e restrinja o acesso às operações de gerenciamento de rede com base na localização do usuário, conformidade do dispositivo e nível de risco. Para obter mais informações, veja Acesso Condicional.
Impor autenticação multifator para administradores de rede: Exigir autenticação multifatorial para todos os usuários com privilégios de administração de rede, adicionando uma camada de segurança além das senhas e reduzindo o risco de ataques baseados em credenciais. Para obter mais informações, consulte a autenticação multifator do Microsoft Entra.
Use o acesso just-in-time para operações de rede: implemente o Microsoft Entra Privileged Identity Management para fornecer acesso limitado a funções de administração de rede. O acesso just-in-time reduz a janela de exposição para credenciais privilegiadas. Para saber mais, confira Privileged Identity Management.
Use identidades gerenciadas para cargas de trabalho integradas à rede: Ative identidades gerenciadas para recursos do Azure em suas redes virtuais que precisam acessar outros serviços do Azure. Identidades gerenciadas eliminam credenciais armazenadas no código e configuração da carga de trabalho, reduzindo a exposição de credenciais para serviços que dependem da conectividade de rede. Para obter mais informações, confira Identidades gerenciadas.
Use contas administrativas dedicadas com dispositivos de acesso privilegiado: Crie procedimentos operacionais padrão para contas administrativas dedicadas. Use dispositivos de acesso privilegiado com autenticação multifator para administradores de rede que realizam tarefas administrativas. Para mais informações, veja Segurança de dispositivos de acesso privilegiado.
Revise e reconcilie regularmente o acesso dos usuários: Realize revisões regulares de acesso para gerenciar membros de grupos, acesso a aplicativos empresariais e atribuições de funções. Garanta que apenas usuários ativos continuem acessando as funções de gerenciamento de rede. Para obter mais informações, consulte Revisões de acesso do Microsoft Entra.
Proteção de dados
A proteção de dados para redes virtuais foca em proteger os dados em trânsito pela infraestrutura de sua rede e proteger as comunicações de rede contra interceptação ou adulteração.
Ative a criptografia durante o trânsito: Exigir que todo o tráfego de rede utilize protocolos de criptografia como TLS 1.2 ou superior, IPsec para conexões VPN e protocolos criptografados para comunicações de aplicação. O Azure fornece criptografia por padrão para o tráfego entre datacenters do Azure. Para obter mais informações, consulte Criptografia em trânsito.
Habilitar a criptografia Rede Virtual do Azure para tráfego de VM suportado: Use a criptografia Rede Virtual do Azure para criptografar dados em trânsito entre máquinas virtuais suportadas dentro da mesma rede virtual e entre redes virtuais peered regional e globalmente. Verifique os tamanhos das VMs suportadas, os requisitos de Rede Acelerada e as limitações da topologia antes de habilitar a criptografia, especialmente para redes virtuais que usam Firewall do Azure, gateways ExpressRoute, serviço Link Privado ou SKUs de VM não suportadas. Para obter mais informações, consulte a criptografia de Rede Virtual do Azure.
Ative o MACsec nas portas ExpressRoute Direct: Para conexões ExpressRoute Direct, ative o MACsec para fornecer criptografia de Camada 2 entre seus roteadores de borda e os roteadores de borda da Microsoft, ajudando a garantir a confidencialidade e integridade dos dados em trânsito. Para mais informações, veja MACsec para portas ExpressRoute Direct.
Registro e monitoramento
O registro e o monitoramento para redes virtuais fornecem visibilidade sobre padrões de tráfego, mudanças de configuração, eventos de segurança e potenciais ameaças. O monitoramento centralizado apoia a resposta a incidentes, detecção de ameaças e relatórios de conformidade.
Ative logs de fluxo de rede virtual para monitoramento de tráfego: Configure logs de fluxo de rede virtual, sucessores dos logs de fluxo NSG, para capturar informações sobre o tráfego IP fluindo por suas redes virtuais. Envie logs de fluxo para uma conta do Armazenamento do Azure e use uma identidade gerenciada atribuída pelo usuário para acesso seguro à conta de armazenamento. Permita que o Traffic Analytics processe os logs e armazene os resultados em um espaço de trabalho Log Analytics para visualização e detecção de ameaças. Os logs de fluxo do NSG se desativam em 30 de setembro de 2027. Após 30 de junho de 2025, você não pode criar novos registros de fluxo NSG. Migre as implantações existentes de logs de fluxo NSG para logs de fluxo de rede virtual. Para mais informações, veja Registros de fluxo de rede virtual, Identidade gerenciada para logs de fluxo de rede virtual e Migrar de logs de fluxo NSG para logs de fluxo de rede virtual.
Centralize a coleta de logs usando o Azure Monitor: Configure configurações de diagnóstico em redes virtuais e grupos de segurança de rede para enviar logs de recursos para um workspace do Log Analytics para análise centralizada e correlação. Envie logs de fluxo de rede virtual para a Log Analytics via Traffic Analytics, e arquive logs para uma conta Armazenamento do Azure para retenção a longo prazo. Para mais informações, veja Monitorar redes virtuais e Registro de diagnóstico para um grupo de segurança de rede.
Habilitar o Microsoft Defender para Nuvem: use o Microsoft Defender para Nuvem para monitorar seus recursos de rede virtual para configurações incorretas de segurança e ameaças. Ative os planos Defender para Nuvem que cobrem suas cargas de trabalho conectadas à rede (por exemplo, Defender para Servidores, Defender para Armazenamento, Defender para Bancos de Dados) para uma proteção abrangente. Para saber mais, confira Microsoft Defender para Nuvem.
Configure alertas e notificações de segurança: Configure alertas do Azure Monitor para eventos críticos de segurança de rede, como alterações nas regras do NSG, padrões de tráfego incomuns, bloqueios de firewall e indicadores de ataque DDoS. Configure grupos de ações para notificar automaticamente as equipes de segurança. Para saber mais, confira Alertas do Azure Monitor.
Use diagnósticos do Observador de Rede para investigação de conectividade: Use o Monitor da Conexão para monitoramento contínuo de endpoints, verificação de fluxo IP e diagnósticos NSG para validar decisões de regras de segurança, próximo salto para confirmar roteamento e captura de pacotes para investigação de incidentes em máquinas virtuais suportadas e conjuntos de escala. Para mais informações, veja Observador de Rede, Monitor da Conexão e Packet capture.
Use o Microsoft Sentinel para detecção avançada de ameaças: transmita logs de fluxo de rede virtual e dados de Análise de Tráfego para o Microsoft Sentinel para análises avançadas de segurança, caça a ameaças e resposta automatizada. Para mais informações, veja Conectar dados de Análise de Tráfego ao Microsoft Sentinel.
Monitore as atividades da rede privilegiada: Permita o registro e o monitoramento das operações de rede privilegiadas, incluindo alterações no NSG, modificações da tabela de rotas e atualizações de regras do firewall. Use o Log de Atividades do Azure e o Azure Monitor para acompanhar as ações administrativas. Para obter mais informações, consulte o Log de Atividades do Azure.
Conformidade e governança
Conformidade e governança para redes virtuais ajudam a garantir controles consistentes de segurança de rede, inventário de recursos, aplicação de políticas, testes de segurança e resposta a incidentes em toda a sua organização.
Use o Azure Policy para governança e restrições de recursos: implante definições do Azure Policy para impor padrões de segurança para redes virtuais. Essas definições podem exigir NSGs em sub-redes, impor regras específicas de segurança ou impedir a criação de endereços IP públicos. Use definições de políticas integradas, como tipos de recursos Não permitidos e tipos de recursos permitidos , para restringir a criação de recursos. Para obter mais informações, consulte o Azure Policy para redes virtuais.
Marque recursos de rede para organização: Aplique tags consistentes a redes virtuais, sub-redes, NSGs e recursos relacionados para apoiar a organização, gestão de custos e aplicação de políticas de segurança. Use tags e descrições de regras NSG para documentar a necessidade do negócio, duração e outras informações para auditorias de segurança e gerenciamento de regras. Para obter mais informações, consulte Marcação de recursos.
Monitore mudanças na configuração dos recursos: Use o Azure Resource Graph para consultar e descobrir recursos de rede entre assinaturas. Configure alertas para alterações não autorizadas em configurações de rede críticas. Para obter mais informações, consulte o Azure Resource Graph.
Implementar o gerenciamento de configuração padronizado: use os modelos do Azure Resource Manager ou o Bicep para definir e implantar configurações de rede de forma consistente. Armazene templates no controle de versões e implemente processos de gerenciamento de mudanças para modificações de rede. Para mais informações, veja Compreender a estrutura e sintaxe dos arquivos Bicep.
Realize testes de penetração regulares dentro das regras de engajamento do Azure: Peça a especialistas externos à equipe de carga de trabalho para realizar testes de penetração periódicos. Siga as Regras de Engajamento do Teste de Penetração da Microsoft Cloud. Use parceiros de simulação DDoS aprovados para testes de resiliência DDoS. Para mais informações, veja Testes de penetração.
Validar segmentação de rede: Teste regularmente os controles de segmentação de rede para ajudar a garantir que recursos em um segmento não possam acessar recursos em outros segmentos, a menos que o acesso seja intencional. Use o Rede Virtual Verifier no Gerenciador de Rede Virtual do Azure em ambientes de pré-produção para testar a conectividade entre recursos e garantir que eles sejam acessíveis e não bloqueados por políticas. Para obter mais informações, consulte Verificador de Rede Virtual.
Use o Azure Chaos Studio para testes de resiliência: Use o Azure Chaos Studio para simular interrupções na conectividade da rede e validar que os controles de segurança permanecem eficazes durante cenários de falha. Para obter mais informações, consulte a biblioteca de falhas e ações do Azure Chaos Studio.
Integre alertas do Microsoft Defender para Nuvem na resposta a incidentes: Use alertas do Microsoft Defender para Nuvem para priorizar incidentes de segurança de rede. Exporte alertas e recomendações usando exportação contínua e transmita alertas para o Microsoft Sentinel para gerenciamento centralizado de incidentes. Para mais informações, veja Exportar continuamente dados do Defender para Nuvem.
Automatize a resposta a incidentes: Use o recurso de automação de fluxos de trabalho do Microsoft Defender para Nuvem para acionar respostas via Logic Apps para alertas e recomendações de segurança que afetem recursos de rede do Azure. Para mais informações, veja Automação de fluxos de trabalho no Defender para Nuvem.
Backup e recuperação
Backup e recuperação para redes virtuais focam em preservar configurações de rede e garantir a rápida restauração da conectividade após exclusão acidental, erros de configuração, ataques ou interrupções regionais. Redes virtuais não exigem backup tradicional de dados, mas a preservação da configuração e procedimentos de recuperação testados são fundamentais.
Gerencie configurações de rede como infraestrutura como código: Defina redes virtuais, sub-redes, NSGs, tabelas de rota, peerings e configurações de rede relacionadas em templates Bicep ou ARM armazenados no controle de versão. Trate esse repositório como a fonte da verdade para a recuperação. Use a exportação de portal apenas como um snapshot revisado no momento ou bootstrap, não como fonte contínua de verdade. Para mais informações, veja Exportar template do portal Azure e Exportar Bicep a partir dos recursos existentes do Azure.
Use peering VNet-para-VNet para padrões de resiliência: Projete padrões de conectividade hub-and-spoke ou multirregional com peering de rede virtual quando apropriado. Peering pode suportar serviços resilientes de comunicação e projetos de recuperação de desastres quando combinado com isolamento regional, controles de roteamento e procedimentos testados de failover. Para obter mais informações, consulte Emparelhamento de rede virtual.
Anexe planos de proteção DDoS para resiliência contra quedas induzidas por ataques: Habilite a Proteção de Rede DDoS Azure em redes virtuais com recursos IP públicos para que ataques volumétricos sejam mitigados antes que causem quedas de serviço. Garantir que redes secundárias ou virtuais de failover tenham proteção DDoS equivalente. Para saber mais, confira Visão geral da Proteção contra DDoS do Azure.
Faça backup de recursos conectados e chaves gerenciadas pelo cliente: Embora redes virtuais não exijam backup tradicional, certifique-se de que as máquinas virtuais e outros recursos conectados às suas redes estejam protegidos com o Backup do Azure, conforme apropriado. Se você usar chaves gerenciadas pelo cliente para criptografia no ambiente de rede, faça backup das chaves no Azure Key Vault e ative a proteção contra deleção suave e purga. Para mais informações, veja Backup do Azure e Azure Key Vault backup.