Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
A Rede Virtual do Azure é o bloco de construção fundamental para a sua rede privada no Azure. O Rede Virtual do Azure ajuda os recursos do Azure a comunicar de forma segura entre si, com a internet e com redes locais. As implementações de redes virtuais seguras utilizam segmentação de rede, inspeção de tráfego, controlos de identidade, monitorização e design resiliente para proteger a infraestrutura de rede e prevenir acessos não autorizados a recursos.
Este artigo fornece recomendações de segurança para o Rede Virtual do Azure. Ao implementar estas recomendações, ajuda a cumprir as suas obrigações de segurança e a melhorar a postura geral de segurança da sua implantação. Para uma visão geral dos serviços de segurança de rede da Azure e de como funcionam em conjunto, veja O que é a segurança de rede do Azure?
As recomendações de segurança neste artigo implementam os princípios do Confiança Zero: "Verificar explicitamente", "Usar acesso com privilégios mínimos" e "Assumir violação". Para obter orientações abrangentes sobre Confiança Zero, consulte o Centro de Orientação Confiança Zero.
Segurança de rede
A segurança de rede para redes virtuais centra-se no controlo do fluxo de tráfego, implementação de segmentação e proteção contra ameaças externas. Controlos de rede apropriados ajudam a isolar cargas de trabalho, prevenir movimentos laterais e defender contra ataques distribuídos de negação de serviço.
Segmentar cargas de trabalho utilizando grupos de segurança de rede e grupos de segurança de aplicações: Aplicar grupos de segurança de rede (NSGs) a sub-redes e interfaces de rede para controlar o tráfego de entrada e saída com base no IP de origem, IP de destino, porta e protocolo. Use grupos de segurança de aplicações para agrupar máquinas virtuais logicamente e definir políticas de segurança de rede com base na estrutura da aplicação. Use uma abordagem de negação por defeito, permissão por exceção, para reduzir a superfície de ataque. Para obter mais informações, consulte Grupos de segurança de rede.
Aplicar regras de rede base usando regras de administrador de segurança: Use regras de administração de segurança no Azure Virtual Network Manager para aplicar centralmente, permitir, sempre permitir e negar regras em redes virtuais geridas. Utilize-as para bloquear portas de alto risco, impor segmentação e reduzir o risco de que a má configuração NSG ao nível da carga de trabalho contorne políticas organizacionais. Para mais informações, consulte regras de administração de segurança no Azure Virtual Network Manager.
Implemente o Azure Firewall para proteção centralizada e com estado: Use o Azure Firewall para controlar tanto o tráfego de entrada como de saída através das suas redes virtuais através de inspeção total de pacotes com estado. Utilize a Política de Firewall centralizada para definir e gerir regras de aplicação e rede em larga escala. Ativar a filtragem baseada em inteligência de ameaças. Use o Azure Firewall Premium com sistema de deteção e prevenção de intrusões (IDPS) para monitorizar e bloquear o tráfego de rede malicioso. Para obter mais informações, consulte Firewall do Azure.
Ativar a Proteção de Rede DDoS do Azure: Ativar a Proteção de Rede DDoS do Azure em redes virtuais com recursos IP públicos para se defender contra ataques distribuídos de negação de serviço. Use a Proteção de Rede DDoS para proteção em rede virtual, ou Proteção IP DDoS quando precisar de cobertura pay-per-protected-IP para recursos públicos individuais. Para obter mais informações, consulte Visão geral da Proteção contra DDoS do Azure.
Usar tags de serviço para simplificar as regras de segurança: substitua endereços IP específicos por tags de serviço em suas regras NSG para permitir a comunicação com os serviços do Azure enquanto mantém a segurança. A Microsoft atualiza automaticamente as etiquetas de serviço à medida que os intervalos de IP mudam. Para obter mais informações, consulte Tags de serviço.
Implemente o Azure Bastion para acesso seguro a RDP e SSH: Use o Azure Bastion para se ligar de forma segura a máquinas virtuais via RDP ou SSH sem as expor à internet pública. O Bastion elimina a necessidade de endereços IP públicos nas VMs e reduz a superfície de ataque. Para obter mais informações, consulte Azure Bastion.
Implemente o Azure NAT Gateway para tráfego de saída: Use o Azure NAT Gateway para fornecer endereços IP de saída estáticos para recursos virtuais de rede e tráfego de saída seguro e escalável. O NAT Gateway também ajuda a proteger contra o esgotamento das portas. Para obter mais informações, consulte Azure NAT Gateway.
Use endpoints privados e serviços Private Link for Azure: Use o Azure Private Link para aceder aos serviços Azure PaaS através de um endpoint privado dentro da sua rede virtual. O Private Link mantém o tráfego de endpoint privado na rede backbone da Microsoft. Quando o serviço alvo o suportar, desative também o acesso à rede pública ou configure o firewall do serviço para impedir o acesso público. Para obter mais informações, consulte Azure Private Link.
Prefira endpoints privados em vez de endpoints de serviço para acesso privado ao serviço: Use endpoints privados quando suportados, de modo a que o serviço seja representado por um endereço IP privado na sua rede virtual e possa usar DNS privado e políticas de rede. Use endpoints de serviço apenas quando o Private Link não estiver disponível ou quando um requisito específico do serviço os exigir. Para acesso em larga escala de IaaS para PaaS que utiliza endpoints de serviço, avalie endpoints de serviço padrão (preview) com integração do perímetro de segurança de rede, mas não os trate como equivalentes ao Private Link porque não fornecem conectividade privada nem proteção contra exfiltração de dados. Para mais informações, veja O que é um endpoint privado?, Gerir políticas de rede para endpoints privados, Endpoints de serviço de rede virtual e endpoints de serviço padrão Azure.
Peering de redes virtuais seguras de forma deliberada: Trate o peering como uma ligação direta e não transitiva entre duas redes virtuais. Criar peerings explícitos para cada caminho necessário, definir regras NSG e de roteamento para os espaços de endereçamento peered, e permitir gateways de trânsito ou gateways remotos apenas quando o design hub-and-spoke requer conectividade partilhada on-premiss. Para mais informações, consulte Peering de rede virtual e Criar, alterar ou eliminar um peering de rede virtual.
Configurar sub-redes como privadas por padrão: para sub-redes que não exigem acesso público à Internet, configure-as como sub-redes privadas. Use o Azure Firewall ou o NAT Gateway para acesso controlado de saída quando necessário. Para obter mais informações, consulte Acesso de saída padrão no Azure.
Limitar o uso de endereços IP públicos: Minimizar o número de endereços IP públicos utilizando endereços IP públicos partilhados de serviços como Azure Front Door ou Application Gateway. Quando são necessários endereços IP públicos, implemente uma gestão adequada de portas, filtragem de tráfego e validação de pedidos. Para obter mais informações, consulte Endereços IP públicos.
Planeie explicitamente os controlos de segurança de dual-stack do IPv6: Se ativar o IPv6, defina espaços de endereçamento e sub-redes de dual-stack para IPv4 e IPv6, configure regras NSG para tráfego IPv6 e valide limitações de funcionalidades como VM apenas IPv6 e suporte ao Azure Firewall. Para mais informações, consulte IPv6 for Rede Virtual do Azure.
Delegue subredes apenas para integrações de serviços suportadas: Use a delegação de sub-redes quando um serviço Azure tiver de ser injetado numa sub-rede virtual. Revise as políticas de intenção de rede do serviço, o suporte ao NSG, o suporte à tabela de rotas e as restrições dos endpoints privados antes de delegar a sub-rede. Para mais informações, consulte delegação de sub-rede.
Configurar a captura de pacotes para análise forense: habilite a captura de pacotes em máquinas virtuais ou use a captura de pacotes do Gateway VPN para registrar o tráfego de rede para análise de segurança e investigação de incidentes. Para mais informações, consulte Observador de Rede captura de pacotes e Configurar captura de pacotes para Gateway de VPN.
Gestão de identidade e acesso
A gestão de identidade e acessos para redes virtuais controla quem pode criar, modificar e eliminar recursos de rede e como as operações de rede privilegiadas são protegidas. Controlos rigorosos de identidade evitam alterações não autorizadas na rede e mantêm a postura de segurança da sua infraestrutura de rede.
Use o Azure RBAC para acesso a recursos de rede: Atribua funções incorporadas apropriadas, como Contribuidor de Rede, ou funções personalizadas com permissões específicas para controlar quem pode criar, modificar ou eliminar redes virtuais e recursos relacionados. Siga o princípio do menor privilégio. Para mais informações, consulte os papéis incorporados do Azure RBAC para redes.
Aplicar o privilégio mínimo para funções de rede: Configurar controlo de acesso baseado em papéis com uma mentalidade de não acesso para funções relacionadas com rede. Garantir que os utilizadores só podem modificar as definições de rede exigidas pela sua função de trabalho. Para obter mais informações, consulte Práticas recomendadas do RBAC do Azure.
Use o Microsoft Entra ID para identidade centralizada: Use o Microsoft Entra ID como fornecedor centralizado de identidade para gerir o acesso aos recursos de rede e aos serviços Azure relacionados. Implemente login único em vez de credenciais autónomas para cada serviço, reduzindo a superfície de ataque e os requisitos de palavra-passe. Para obter mais informações, consulte Logon único para aplicativos.
Implementar Acesso Condicional para administradores de rede: Configurar políticas de Acesso Condicional para exigir autenticação multifator e restringir o acesso às operações de gestão de rede com base na localização do utilizador, conformidade do dispositivo e nível de risco. Para obter mais informações, consulte Acesso condicional.
Impor autenticação multifator para administradores de rede: Exigir autenticação multifator para todos os utilizadores com privilégios de administração de rede, adicionando uma camada de segurança para além das palavras-passe e reduzindo o risco de ataques baseados em credenciais. Para obter mais informações, consulte a autenticação multifatores do Microsoft Entra.
Use o acesso just-in-time para operações de rede: implemente o Microsoft Entra Privileged Identity Management para fornecer acesso limitado por tempo às funções de administração de rede. O acesso just-in-time reduz a janela de exposição para credenciais privilegiadas. Para obter mais informações, consulte Gerenciamento privilegiado de identidades.
Use identidades geridas para cargas de trabalho integradas na rede: Ative identidades geridas para recursos Azure nas suas redes virtuais que precisam de aceder a outros serviços Azure. As identidades geridas eliminam credenciais armazenadas no código e configuração da carga de trabalho, reduzindo a exposição de credenciais para serviços que dependem da conectividade da rede. Para obter mais informações, consulte Identidades geridas.
Use contas administrativas dedicadas com dispositivos de acesso privilegiados: Crie procedimentos operacionais padrão para contas administrativas dedicadas. Use dispositivos de acesso privilegiado com autenticação multifator para administradores de rede que desempenham tarefas administrativas. Para mais informações, consulte Segurança de dispositivos de acesso privilegiado.
Rever e conciliar regularmente o acesso dos utilizadores: Realizar revisões regulares de acesso para gerir membros de grupos, acesso a aplicações empresariais e atribuições de funções. Garantir que apenas os utilizadores ativos continuam a aceder às funções de gestão de rede. Para obter mais informações, consulte Revisões de acesso do Microsoft Entra.
Proteção de dados
A proteção de dados para redes virtuais foca-se em proteger os dados em trânsito pela sua infraestrutura de rede e proteger as comunicações de rede contra interceção ou manipulação.
Ativar a encriptação em trânsito: Exigir que todo o tráfego de rede utilize protocolos de encriptação como TLS 1.2 ou superior, IPsec para ligações VPN e protocolos encriptados para comunicações de aplicações. O Azure fornece criptografia por padrão para o tráfego entre datacenters do Azure. Para obter mais informações, consulte Criptografia em trânsito.
Ative a encriptação do Rede Virtual do Azure para tráfego VM suportado: Use a encriptação do Rede Virtual do Azure para encriptar dados em trânsito entre máquinas virtuais suportadas dentro da mesma rede virtual e entre redes virtuais peered regional e globalmente. Verifique os tamanhos das VMs suportadas, os requisitos de Accelerated Networking e as limitações da topologia antes de ativar a encriptação, especialmente para redes virtuais que utilizam Azure Firewall, gateways ExpressRoute, serviço Private Link ou SKUs de VM não suportadas. Para obter mais informações, consulte Criptografia de Rede Virtual do Azure.
Ative o MACsec nas portas ExpressRoute Direct: Para ligações ExpressRoute Direct, ative o MACsec para fornecer encriptação de Camada 2 entre os seus routers edge e os routers edge da Microsoft, ajudando a garantir a confidencialidade e integridade dos dados em trânsito. Para mais informações, consulte MACsec para portas ExpressRoute Direct.
Registo e monitorização
O registo e a monitorização para redes virtuais fornecem visibilidade sobre padrões de tráfego, alterações de configuração, eventos de segurança e potenciais ameaças. A monitorização centralizada apoia a resposta a incidentes, deteção de ameaças e relatórios de conformidade.
Ative os registos de fluxo de rede virtual para monitorização de tráfego: Configure os registos de fluxo de rede virtual, sucessores dos registos de fluxo NSG, para capturar informações sobre o tráfego IP a passar pelas suas redes virtuais. Envie registos de fluxo para uma conta do Armazenamento do Azure e utilize uma identidade gerida atribuída pelo utilizador para acesso seguro à conta de armazenamento. Permitir que o Traffic Analytics processe os registos e armazene os resultados num espaço de trabalho Log Analytics para visualização e deteção de ameaças. Os registos de fluxos de NSG serão descontinuados a 30 de setembro de 2027. Após 30 de junho de 2025, não pode criar novos registos de fluxo NSG. Migre as implementações existentes dos registos de fluxo NSG para registos de fluxo de rede virtual. Para mais informações, consulte Registos de fluxo de rede virtual, Identidade gerida para registos de fluxo de rede virtual, e Migrar de registos de fluxo NSG para registos de fluxo de rede virtual.
Centralize a recolha de registos utilizando o Azure Monitor: Configure as definições de diagnóstico em redes virtuais e grupos de segurança de rede para enviar registos de recursos para um espaço de trabalho Log Analytics para análise e correlação centralizadas. Envie logs de fluxo de rede virtual para a Log Analytics através do Traffic Analytics, e arquive logs para uma conta Armazenamento do Azure para retenção a longo prazo. Para mais informações, consulte Monitorizar redes virtuais e Registo de diagnóstico para um grupo de segurança de rede.
Habilite o Microsoft Defender para a Cloud: use o Microsoft Defender para a Cloud para monitorar seus recursos de rede virtual em busca de configurações incorretas de segurança e ameaças. Ative os planos Defender para a Cloud que cobrem as suas cargas de trabalho ligadas à rede (por exemplo, Defender for Servers, Defender for Storage, Defender for Databases) para uma proteção abrangente. Para obter mais informações, consulte Microsoft Defender para a Cloud.
Configure alertas e notificações de segurança: Configure alertas Azure Monitor para eventos críticos de segurança de rede, como alterações nas regras NSG, padrões de tráfego invulgares, bloqueios de firewall e indicadores de ataque DDoS. Configure grupos de ações para notificar automaticamente as equipas de segurança. Para obter mais informações, consulte Alertas do Azure Monitor.
Use diagnósticos do Observador de Rede para investigação de conectividade: Use o Monitor de Ligação para monitorização contínua de endpoints, verificação de fluxo IP e diagnóstico NSG para validar decisões de regras de segurança, próximo salto para confirmar o encaminhamento e captura de pacotes para investigação de incidentes em máquinas virtuais suportadas e conjuntos de escala. Para mais informações, consulte Observador de Rede, Monitor de Ligação e Packet capture.
Use o Microsoft Sentinel para deteção avançada de ameaças: Transmita registos virtuais de fluxo de rede e dados de Análise de Tráfego para o Microsoft Sentinel para análises avançadas de segurança, caça a ameaças e resposta automatizada. Para mais informações, consulte Ligar dados de Análise de Tráfego ao Microsoft Sentinel.
Monitorizar as atividades da rede privilegiada: Permitir o registo e monitorização das operações de rede privilegiadas, incluindo alterações NSG, modificações da tabela de rotas e atualizações de regras do firewall. Use o Log de Atividades do Azure e o Azure Monitor para controlar ações administrativas. Para obter mais informações, consulte Log de atividades do Azure.
Conformidade e governança
A conformidade e a governação para redes virtuais ajudam a garantir controlos consistentes de segurança de rede, inventário de recursos, aplicação de políticas, testes de segurança e resposta a incidentes em toda a sua organização.
Usar a Política do Azure para restrições de governança e recursos: implante definições de Política do Azure para impor padrões de segurança para redes virtuais. Estas definições podem exigir NSGs nas sub-redes, impor regras de segurança específicas ou impedir a criação de endereços IP públicos. Use definições de políticas incorporadas, como tipos de recursos Não permitidos e tipos de recursos permitidos , para restringir a criação de recursos. Para obter mais informações, consulte Política do Azure para redes virtuais.
Marcar recursos de rede para organização: Aplicar etiquetas consistentes a redes virtuais, sub-redes, NSGs e recursos relacionados para apoiar a organização, gestão de custos e aplicação de políticas de segurança. Use etiquetas e descrições de regras NSG para documentar a necessidade do negócio, duração e outras informações para auditorias de segurança e gestão de regras. Para obter mais informações, consulte Marcação de recursos.
Monitorizar alterações na configuração dos recursos: Use o Azure Resource Graph para consultar e descobrir recursos de rede entre subscrições. Configure alertas para alterações não autorizadas em configurações de rede críticas. Para obter mais informações, consulte Azure Resource Graph.
Implementar gerenciamento de configuração padronizado: use modelos do Azure Resource Manager ou Bicep para definir e implantar configurações de rede de forma consistente. Armazene templates no controlo de versões e implemente processos de gestão de alterações para modificações de rede. Para mais informações, consulte Compreender a estrutura e sintaxe dos ficheiros Bicep.
Realizar testes de penetração regulares dentro das regras de engajamento do Azure: Fazer com que especialistas externos à equipa de carga de trabalho realizem testes de penetração periódicos. Siga as Regras de Engajamento dos Testes de Penetração da Microsoft Cloud. Utilize parceiros de simulação DDoS aprovados para testes de resiliência DDoS. Para mais informações, consulte Testes de penetração.
Validar segmentação de rede: Teste regularmente os controlos de segmentação de rede para ajudar a garantir que recursos de um segmento não possam aceder a recursos de outros segmentos, a menos que o acesso seja intencional. Use o Rede Virtual Verifier no Azure Virtual Network Manager em ambientes de pré-produção para testar a conectividade entre recursos e garantir que são acessíveis e não bloqueados por políticas. Para obter mais informações, consulte Verificador de rede virtual.
Use o Azure Chaos Studio para testes de resiliência: Use o Azure Chaos Studio para simular interrupções na conectividade da rede e validar que os controlos de segurança permanecem eficazes durante cenários de falha. Para mais informações, consulte a biblioteca de falhas e ações do Azure Chaos Studio.
Integre alertas do Microsoft Defender para a Cloud na resposta a incidentes: Use alertas do Microsoft Defender para a Cloud para priorizar incidentes de segurança de rede. Exporte alertas e recomendações utilizando exportação contínua e transmita alertas para o Microsoft Sentinel para uma gestão centralizada de incidentes. Para mais informações, consulte Exportar continuamente dados do Defender para a Cloud.
Automatizar a resposta a incidentes: Use a funcionalidade de automação de fluxos de trabalho no Microsoft Defender para a Cloud para ativar respostas através do Logic Apps para alertas de segurança e recomendações que afetem os recursos da rede do Azure. Para mais informações, consulte Automação de Fluxos de Trabalho no Defender para a Cloud.
Backup e recuperação
O backup e a recuperação para redes virtuais focam-se na preservação das configurações da rede e em garantir a rápida restauração da conectividade após eliminação acidental, erros de configuração, ataques ou perturbações regionais. As redes virtuais não requerem backup tradicional de dados, mas a preservação da configuração e procedimentos de recuperação testados são críticos.
Gerir configurações de rede como infraestrutura como código: Definir redes virtuais, sub-redes, NSGs, tabelas de rota, peerings e configurações de rede relacionadas em templates Bicep ou ARM armazenados no controlo de versão. Trate esse repositório como a fonte da verdade para a recuperação. Use a exportação do portal apenas como um snapshot pontual revisto ou bootstrap, não como fonte contínua de verdade. Para mais informações, consulte Exportar modelo a partir do portal Azure e Exportar Bicep a partir dos recursos existentes do Azure.
Use peering VNet-to-VNet para padrões de resiliência: Projete padrões de conectividade hub-and-spoke ou multirregional com peering de rede virtual quando apropriado. O peering pode suportar projetos resilientes de comunicação de serviços e recuperação de desastres quando combinado com isolamento regional, controlos de encaminhamento e procedimentos testados de failover. Para obter mais informações, consulte Emparelhamento de rede virtual.
Anexe planos de proteção DDoS para resiliência contra falhas induzidas por ataques: Ative a Proteção de Rede DDoS Azure em redes virtuais com recursos IP públicos para que os ataques volumétricos sejam mitigados antes que provoquem falhas de serviço. Garantir que as redes secundárias ou virtuais por failover tenham proteção DDoS equivalente. Para obter mais informações, consulte Visão geral da Proteção contra DDoS do Azure.
Faça backup dos recursos conectados e das chaves geridas pelo cliente: Embora as redes virtuais não exijam backup tradicional, certifique-se de que as máquinas virtuais e outros recursos ligados às suas redes estão protegidos com o Azure Backup, conforme apropriado. Se usar chaves geridas pelo cliente para encriptação no ambiente de rede, faça backup das chaves no Azure Key Vault e ative a proteção contra eliminação suave e purga. Para mais informações, consulte Azure Backup e Azure Key Vault backup.