Proteja sua implantação do Firewall do Azure

O Azure Firewall é um serviço de segurança de rede gerido e com base na cloud que protege os recursos da Rede Virtual do Azure. Como um firewall com estado totalmente definido, com alta disponibilidade incorporada e escalabilidade irrestrita na nuvem, o Azure Firewall fornece aplicação centralizada de políticas para o tráfego que entra, sai e se move através das suas redes Azure.

Este artigo fornece recomendações de segurança para o Azure Firewall. A implementação destas recomendações ajuda-o a cumprir as suas obrigações de segurança e melhora a postura geral de segurança da sua implantação. Para uma visão geral dos serviços de segurança de rede da Azure e de como funcionam em conjunto, veja O que é a segurança de rede do Azure?

As recomendações de segurança neste artigo implementam os princípios do Confiança Zero: "Verificar explicitamente", "Usar acesso com privilégios mínimos" e "Assumir violação". Para obter orientações abrangentes sobre Confiança Zero, consulte o Centro de Orientação Confiança Zero.

Segurança de rede

A segurança de rede para o Azure Firewall foca-se na implementação segura, inspeção centralizada e controlos de políticas que reduzem a exposição entre redes hub-and-spoke e híbridas.

  • Implante o Azure Firewall numa sub-rede dedicada: Use o requisito AzureFirewallSubnet com um tamanho mínimo /26, não implemente outros recursos na sub-rede e mantenha tabelas de roteamento de carga de trabalho em subredes de workload em vez da sub-rede firewall, a menos que um design documentado de tunelamento forçado exija rotas de sub-rede de firewall. Para mais informações, consulte o Azure Firewall FAQ.

  • Escolha o SKU Azure Firewall certo: O Azure Firewall está disponível em três SKUs: Básico para pequenas e médias empresas com throughput até 250 Mbps, Standard e Premium. Use o Premium quando precisar de funcionalidades avançadas de segurança, como IDPS, inspeção TLS e filtragem de URLs. Use Standard ou Premium quando precisar de categorias web, que não estão disponíveis no Basic. Para obter mais informações, consulte Escolha a SKU do Firewall do Azure certa para atender às suas necessidades.

  • Ativar filtragem baseada em inteligência de ameaças: Configurar filtragem baseada em inteligência de ameaças para alertar sobre tráfego proveniente de endereços IP maliciosos conhecidos, FQDNs e URLs. Usa Standard ou Premium quando precisares de modo alerta e recusa, porque o modo Básico suporta apenas o modo de alerta. Para mais informações, consulte filtragem baseada em inteligência de ameaças Azure Firewall e Escolha o SKU Azure Firewall certo para satisfazer as suas necessidades.

  • Implemente IDPS para deteção avançada de ameaças: Use o Azure Firewall Premium para deteção e prevenção de intrusões (IDPS) para detetar e bloquear atividade maliciosa de rede com base em assinaturas geridas pela Microsoft. Ajuste as ações de assinatura para reduzir falsos positivos e negar ameaças de alta confiança. Para obter mais informações, consulte Recursos do Firewall Premium do Azure.

  • Configurar a funcionalidade do proxy DNS: Ativar o proxy DNS para que clientes e o Azure Firewall usem uma resolução consistente de nomes para regras baseadas em FQDN. Esta configuração DNS reduz o risco de bypass de regras ou falhas de ligação causadas por respostas DNS diferentes. Para obter mais informações, consulte Detalhes do Proxy DNS do Firewall do Azure.

  • Use alvos de regras geridas para Azure e serviços Microsoft: Use etiquetas de serviço nas regras de rede e etiquetas FQDN nas regras de aplicação em vez de manter manualmente intervalos de endereços IP e listas de endpoints de serviço. Para protocolos TCP ou UDP que necessitem de filtragem baseada em domínio, use filtragem FQDN nas regras de rede e ative o proxy DNS. Para mais informações, consulte Visão Geral das etiquetas de serviço Azure Firewall, Visão geral das etiquetas FQDN para Azure Firewall e Azure Firewall FQDN filtragem nas regras de rede.

  • Use tunelamento forçado para ambientes híbridos: Configure tunelamento forçado quando o tráfego na internet tiver de passar por appliances de segurança locais ou caminhos de inspeção centralizados. Ativa a interface de rede de gestão para que AzureFirewallManagementSubnet o tráfego de gestão do firewall se mantenha separado do tráfego do cliente. Para obter mais informações, veja Túnel forçado do Azure Firewall.

  • Ative a inspeção TLS para tráfego encriptado: Use a inspeção Azure Firewall Premium TLS para inspecionar o tráfego de saída e este-oeste encriptado onde a sua política de segurança assim o exija. Armazene e gere os certificados necessários no Azure Key Vault. Para obter mais informações, consulte certificados Premium do Firewall do Azure.

  • Avalie o proxy explícito para saída controlada de HTTP/S: Use o proxy explícito (preview) do Azure Firewall quando pode configurar aplicações para enviar tráfego HTTP/S de saída diretamente para o endereço IP privado do firewall sem uma rota definida pelo utilizador. Use regras de aplicação para tráfego proxy explícito e utilize um ficheiro de auto-configuração (PAC) de proxy quando precisar de definições de proxy de cliente geridas centralmente. Para mais informações, consulte Azure Firewall explicit proxy (pré-visualização).

  • Ative categorias web: Use categorias web para controlar o acesso a categorias de websites, como redes sociais ou jogos de azar, que não cumpram a sua política de uso aceitável. As categorias web reduzem a sobrecarga administrativa em comparação com a manutenção de listas de permissão e recusa de FQDNs individuais. Para obter mais informações, consulte Categorias da Web do Firewall do Azure.

  • Planeie a capacidade SNAT para escalar de saída: Adicione múltiplos endereços IP públicos ou integre com o Azure NAT Gateway quando precisar de mais portas SNAT para cargas de trabalho de saída de grande volume. Não uses NAT Gateway com firewalls de hub virtual seguros. Usa o NAT Gateway V2 quando precisares de SNAT redundante de zona com firewall redundante. Para mais informações, consulte Escalar portas SNAT com Azure NAT Gateway e Integrar Azure Firewall com NAT Gateway V2.

Gestão de identidade e acesso

A gestão de identidade e acessos para o Azure Firewall controla que pode administrar recursos do firewall, modificar a Política de Firewall e automatizar operações do plano de gestão.

  • Use o Microsoft Entra ID para acesso ao plano de gestão: Exige que administradores e identidades de automação se autentiquem através do Microsoft Entra ID quando gerem o Azure Firewall através do portal Azure, Azure Resource Manager, CLI do Azure, ou PowerShell. Para mais informações, veja Sobre funções e permissões para Azure Firewall.

  • Atribuir funções RBAC no Azure com privilégio mínimo: Definir funções incorporadas como Contribuidor de Rede ao firewall específico, política de firewall, grupo de recursos ou grupo de gestão que os administradores precisam de gerir. Evite atribuições amplas de Proprietário ou Contribuidor quando permissões apenas de rede são suficientes. Para mais informações, consulte Sobre os papéis e permissões do Azure Firewall.

  • Crie papéis personalizados para acesso apenas a políticas de firewall: Use papéis RBAC personalizados no Azure quando os administradores precisarem de editar a Política de Firewall mas não devem gerir redes virtuais, endereços IP públicos, tabelas de rotas ou outros recursos de rede. Para obter mais informações, consulte Funções personalizadas do Azure.

  • Use o Privileged Identity Management para elevação: Torne os papéis de alto impacto elegíveis em vez de permanentemente ativos. Exigir aprovação, justificação, autenticação multifator e ativação com prazo definido para ativações de função que concedam acesso de escrita ao Azure Firewall, Política de Firewall, endereços IP públicos e recursos virtuais de rede — como Contribuidor de Rede e quaisquer funções personalizadas de administrador de firewall. Para mais informações, consulte a integração do Privileged Identity Management com o Azure RBAC.

  • Exigir Acesso Condicional para sessões de administrador: Aplicar políticas de Acesso Condicional que exijam autenticação multifator e dispositivos compatíveis para identidades que possam criar, modificar ou eliminar instâncias do Azure Firewall, Políticas de Firewall, endereços IP públicos, tabelas de roteamento e as redes virtuais hub das quais o firewall depende. Para mais informações, consulte Exigir MFA para gestão do Azure.

  • Limitar as permissões do principal de serviço para automação: Atribuir identidades de automação apenas as permissões necessárias para implementar, exportar ou atualizar recursos e políticas de firewall, e definir o âmbito dessas atribuições o mais restrito possível. Prefira identidades geridas quando suportadas pela sua plataforma de automação. Para mais informações, veja Sobre funções e permissões para Azure Firewall.

  • Funções separadas entre os níveis de administrador: Desenhe um modelo de administrador em níveis onde as equipas DevOps possam solicitar ou implementar alterações na aplicação mas não possam modificar diretamente a política de segurança partilhada, e os administradores de segurança aprovem ou gerenciem a Política de Firewall. Use atribuições de funções, funções personalizadas e pipelines de implementação para garantir a separação de funções. Para mais informações, veja Sobre funções e permissões para Azure Firewall.

Proteção de dados

A proteção de dados para o Azure Firewall foca-se na proteção do tráfego inspecionado, dados de configuração, certificados e logs que podem conter informações sensíveis da rede.

  • Implementar a inspeção TLS com a gestão adequada de certificados: Armazene o certificado intermediário da CA de inspeção TLS no Azure Key Vault e conceda à identidade gerida pelo firewall apenas as permissões secretas necessárias. Use o modelo de política de acesso Key Vault para esta integração, porque o Azure Firewall não suporta autorização Azure RBAC para recuperar certificados de inspeção TLS. Para obter mais informações, consulte certificados Premium do Firewall do Azure.

  • Restringa o acesso a protocolos encriptados: Configure regras de firewall para permitir protocolos encriptados (como HTTPS) e bloqueie ou restrinja portas em texto simples onde os requisitos de negócio o permitam. Combinar coleções de regras com prioridades e ordem de processamento ajuda a impor estas decisões de forma previsível. Para mais informações, consulte Azure Firewall lógica de processamento de regras.

  • Use filtragem de URLs para controlo granular: Aplique filtragem de URL para controlar URLs completas em vez de apenas FQDNs quando precisar de decisões precisas de permitir ou negar o tráfego web. Este filtro ajuda a bloquear caminhos maliciosos alojados em domínios que seriam legítimos. Para obter mais informações, consulte Recursos do Firewall Premium do Azure.

  • Restringa o acesso a dados de diagnóstico: Trate os registos do Azure Firewall como sensíveis porque podem conter endereços IP de origem e destino, URLs, portas e decisões de regras. Use o RBAC em espaços de trabalho do Log Analytics, contas de armazenamento e hubs de eventos que recebem diagnósticos de firewall. Para obter mais informações, consulte Monitorizar logs e métricas do Azure Firewall.

Registo e monitorização

O registo e monitorização do Azure Firewall proporcionam visibilidade sobre fluxos de tráfego, decisões de políticas, ameaças, desempenho e alterações de configuração para investigação e resposta.

  • Ative o registo de diagnóstico do Azure Firewall: Configure as definições de diagnóstico para enviar registos e métricas do Azure Firewall para um espaço de trabalho, conta de armazenamento ou hub de eventos do Log Analytics. Regra de captura de rede, regra de aplicação, regra NAT, inteligência de ameaças, IDPS, proxy DNS, falha interna de resolução FQDN, top flow e registos de rastreio de fluxo, conforme apropriado para a sua implementação. Para obter mais informações, consulte Monitorizar logs e métricas do Azure Firewall.

  • Use logs estruturados específicos de cada recurso: Envie logs do Azure Firewall para tabelas Log Analytics específicas de recursos, como AZFWApplicationRule, AZFWNetworkRule, AZFWNatRule, AZFWThreatIntel, AZFWIdpsSignature, e AZFWDnsQuery em vez de depender apenas da tabela legadaAzureDiagnostics. Tabelas específicas de recursos melhoram o desempenho das consultas, a descoberta de esquemas e o controlo de acesso ao nível da tabela. Para obter mais informações, consulte Monitorizar logs e métricas do Azure Firewall.

  • Integre com o Microsoft Sentinel para deteção de ameaças: Ligue os registos do Azure Firewall ao Microsoft Sentinel para que as equipas de operações de segurança possam correlacionar os eventos do firewall com sinais de identidade, endpoint e carga de trabalho. Use regras de análise e livros de exercícios para detetar malware e padrões de tráfego suspeitos. Para obter mais informações, consulte Detetar malware com o Firewall do Azure e o Microsoft Sentinel.

  • Use o Security Copilot para investigações de IDPS: Quando a sua organização usar o Microsoft Security Copilot, ative a integração com o Azure Firewall para investigar deteções de IDPS entre firewalls, utilizando logs IDPS estruturados no Log Analytics e RBAC apropriados permissões. Para mais informações, consulte a integração do Azure Firewall no Microsoft Security Copilot.

  • Monitorize alertas de inteligência de ameaças: Crie alertas e processos operacionais para os resultados de inteligência de ameaças, para que os analistas possam investigar rapidamente o tráfego para ou de fontes maliciosas conhecidas. Use a automação para indicadores de alta confiança quando as ações de resposta são bem testadas. Para obter mais informações, consulte Filtragem baseada em inteligência de ameaças do Firewall do Azure.

  • Configure monitorização de desempenho e alertas: Monitorize o rendimento, a latência, a saúde do firewall, a utilização da porta SNAT e a contagem de acertos de regras usando o Azure Monitor. Alerte sobre os limiares de capacidade ou disponibilidade antes que os utilizadores sofram falhas de aplicação. Para obter mais informações, consulte Práticas recomendadas para o desempenho do Firewall do Azure.

  • Monitorizar Resource Health disponibilidade do firewall: Utilize Azure Resource Health com métricas Azure Firewall para que as equipas de operações possam detetar degradação da plataforma, investigar eventos de saúde do serviço e receber notificações quando a disponibilidade do firewall for afetada. Para obter mais informações, consulte Visão geral da integridade de recursos.

  • Revise análises de políticas e alterações de regras: Use Análise de Políticas para identificar regras não utilizadas e regras excessivamente abrangentes. Use o rastreamento de alterações do conjunto de regras para detetar alterações inesperadas na configuração. Revisões regulares reduzem a proliferação de regras e melhoram a eficácia das políticas. Para mais informações, consulte Azure Firewall Policy Analytics e Tracking Azure Firewall rule set changes.

  • Use o Azure Firewall Workbook para análise: Implemente e reveja os painéis do Azure Firewall Workbook para analisar eventos, regras, ameaças e tendências em vários firewalls a partir de uma única experiência de portal Azure. Para mais informações, consulte Azure Firewall Workbook.

  • Defina a retenção de registos para investigações e conformidade: Configure os períodos de retenção com base na resposta a incidentes, auditorias e necessidades regulatórias. Armazene arquivos de longo prazo em armazenamento protegido quando os espaços de trabalho operacionais utilizam uma retenção mais curta. Para obter mais informações, consulte Monitorizar logs e métricas do Azure Firewall.

Conformidade e governança

A conformidade e a governação do Azure Firewall ajudam-no a manter políticas consistentes, inventário e bases de segurança entre subscrições, regiões e arquiteturas de rede.

  • Use o Azure Policy para aplicação de configuração: Atribua definições Azure Policy incorporadas e personalizadas para auditar ou aplicar requisitos como inteligência de ameaças, definições de diagnóstico, SKUs permitidos e implementação de zonas de disponibilidade. Para obter mais informações, consulte Usar a Política do Azure para ajudar a proteger suas implantações do Firewall do Azure.

  • Manter inventário de recursos com o Azure Resource Graph: Consultar Azure Firewall, Política de Firewall, IP público, tabela de rotas e recursos de definição de diagnóstico entre subscrições para identificar lacunas de cobertura e desvios de configuração. Use consultas guardadas ou dashboards para avaliações recorrentes. Para mais informações, consulte Azure Resource Graph visão geral.

  • Aplique etiquetas consistentes aos recursos do firewall: Use etiquetas para propriedade, ambiente, centro de custos, classificação de dados e criticidade, para que as equipas possam governar os recursos do firewall e políticas relacionadas de forma consistente. Impor etiquetas obrigatórias com o Azure Policy. Para mais informações, consulte Use Azure Policy para impor regras e convenções de etiquetagem.

  • Centralize a política com o Azure Firewall Manager: Use o Azure Firewall Manager para gerir políticas de firewall entre hubs virtuais seguros e redes virtuais de hub a partir de um plano de controlo centralizado. Esta gestão centralizada ajuda a reduzir regras inconsistentes entre subscrições e regiões. Para mais informações, veja O que é o Azure Firewall Manager?

  • Use hierarquia de políticas e herança para hub-and-spoke: Estrutura as Políticas de Firewall pai e filho para que os requisitos globais de segurança herdem para políticas regionais ou específicas da aplicação, permitindo exceções locais controladas. Este modelo suporta uma governação consistente em grandes implementações hub-and-spoke. Para mais informações, consulte a visão geral da política do Azure Firewall Manager.

  • Associe DDoS Protection a redes virtuales hub seguras: Use o Azure Firewall Manager para associar planos de DDoS Protection do Azure a redes virtuais hub que contenham o Azure Firewall. A Proteção DDoS não suporta hubs WAN Virtual, por isso use a associação para designs de hubs de rede virtual. Para mais informações, consulte Configurar o Plano de Proteção DDoS do Azure usando o Azure Firewall Manager.

  • Revise certificações de conformidade: Veja o âmbito da auditoria do Azure Firewall com os seus requisitos regulamentares e normas organizacionais. Utilize a lista autoritativa de ofertas de conformidade quando avaliar se o Azure Firewall está dentro do âmbito de uma auditoria obrigatória. Para mais informações, consulte certificações do Azure Firewall.

  • Padronize a implementação através da infraestrutura como código: Implemente o Azure Firewall e a Política de Firewall utilizando Bicep, templates ARM, Terraform ou pipelines aprovados, para que as equipas revejam as alterações de forma consistente e mantenham as implementações repetíveis e auditáveis. Para mais informações, consulte implementação do Bicep para o Azure Firewall.

Backup e recuperação

O backup e a recuperação do Azure Firewall focam-se na preservação da Política de Firewall como fonte de verdade e no desenho de implementações resilientes que as equipas possam restaurar ou fazer failover durante as interrupções.

  • Gerir a Política de Firewall como infraestrutura como código: Definir e versionar a Política de Firewall no Bicep, templates ARM ou Terraform armazenados num repositório controlado por código-fonte. Trate esse repositório como a fonte da verdade. Use a exportação de políticas como um bootstrap ou um instantâneo pontual no tempo, não como fonte contínua de verdade. Para mais informações, consulte o modelo Exportar no portal Azure.

  • Implemente o Azure Firewall em Zonas de Disponibilidade: Use implementações redundantes de zonas em regiões suportadas para melhorar a resiliência face a falhas ao nível do centro de dados. Incluir requisitos de zona nos standards de implementação e nas atribuições do Azure Policy. Para mais informações, consulte Deploy Azure Firewall with Zonas de Disponibilidade using Azure PowerShell.

  • Planeie a implantação de firewalls multirregional para recuperação de desastres: Implemente o Azure Firewall e políticas alinhadas em regiões emparelhadas ou estrategicamente selecionadas para cargas de trabalho que necessitem de recuperação regional de desastres. Assegure-se de que consegue recriar tabelas de rotas, IPs públicos, diagnósticos e atribuições de políticas na região secundária. Para mais informações, veja Usar o Azure Firewall para encaminhar uma topologia hub-and-spoke através de múltiplos hubs.

  • Use a hierarquia de políticas de firewall pai e filho para recuperação: Mantenha regras globais nas políticas pais e regras regionais ou de carga de trabalho nas políticas filhas, para que os ambientes recuperados herdem consistentemente os controlos necessários. Esta estrutura política reduz a reconstrução manual das regras durante a recuperação. Para mais informações, consulte a hierarquia de regras do Azure Firewall Manager.

  • Teste regularmente os procedimentos de failover: Valide que o encaminhamento, DNS, balanceamento de carga, monitorização e regras de segurança funcionam quando o tráfego se move para um hub ou região secundária. Incluir equipas de operações de segurança nos exercícios para que os processos de alerta e resposta a incidentes continuem durante o failover. Para mais informações, consulte as melhores práticas do Azure Firewall.

  • Planeie a capacidade de recuperação em torno do comportamento de autoescalabilidade: As implementações padrão e Premium do Azure Firewall escalam automaticamente, mas a expansão pode demorar vários minutos após o aumento do tráfego. Monitorize o débito e planeie o tráfego de failover para que os eventos de recuperação não excedam a capacidade disponível durante a janela de scale-out. Para mais informações, consulte o desempenho do Azure Firewall.

Próximos passos

  • Last updated on