Visão geral – Aplicar princípios de Confiança Zero à IaaS do Azure

Resumo: Para aplicar os princípios do Confiança Zero aos componentes e à infraestrutura de IaaS do Azure, você deve primeiro entender a arquitetura de referência comum e os componentes do armazenamento do Azure, máquinas virtuais e redes virtuais spoke e hub.

Esta série de artigos ajuda você a aplicar os princípios do Confiança Zero às suas cargas de trabalho no IaaS do Microsoft Azure com base em uma abordagem multidisciplinar para aplicar os princípios do Confiança Zero. O Confiança Zero é uma estratégia de segurança. Não é um produto ou um serviço, mas uma abordagem na conceção e implementação do seguinte conjunto de princípios de segurança:

• Verificar explicitamente
• Use o acesso menos privilegiado
• Assuma a violação

Implementar a mentalidade Confiança Zero para "assumir violação, nunca confiar, sempre verificar" requer mudanças na infraestrutura de nuvem, estratégia de implantação e implementação.

Esta série inicial de cinco artigos (incluindo esta introdução) mostra como aplicar a abordagem Confiança Zero a um cenário de negócios de TI comum com base em serviços de infraestrutura. O trabalho é dividido em unidades que podem ser configuradas em conjunto da seguinte forma:

• Armazenamento do Azure
• Máquinas virtuais
• Redes virtuais de ponto para cargas de trabalho baseadas em máquinas virtuais
• Redes virtuais de hub para suportar o acesso a várias cargas de trabalho no Azure

Para obter mais informações, consulte Aplicar princípios de Zero Confiança à Área de Trabalho Virtual do Azure.

Para descrever como aplicar uma abordagem Confiança Zero, esta orientação dirige-se para um padrão comum usado em produção por muitas organizações: uma aplicação baseada em máquina virtual alojada numa rede virtual (e uma aplicação IaaS). Este é um padrão comum para organizações que migram aplicações on-premises para o Azure, o que por vezes é referido como "lift-and-shift". A arquitetura de referência inclui todos os componentes necessários para suportar esta aplicação, incluindo serviços de armazenamento e uma rede virtual hub.

A arquitetura de referência reflete um padrão de implantação comum em ambientes de produção. Não se baseia nas zonas de aterragem à escala empresarial recomendadas no Cloud Adoption Framework (CAF), embora muitas das melhores práticas do CAF estejam incluídas na arquitetura de referência, como a utilização de uma rede virtual dedicada para alojar componentes que intermediam o acesso à aplicação (rede virtual hub).

Se estiver interessado em saber mais sobre as orientações recomendadas nas zonas de aterragem do Azure do Cloud Adoption Framework, consulte estes recursos:

• Introdução ao Cloud Adoption Framework
• O que é uma zona de destino do Azure?

Arquitetura de referência

A figura a seguir mostra a arquitetura de referência para esta orientação Confiança Zero.

Esta arquitetura contém:

• Vários componentes e elementos IaaS, incluindo diferentes tipos de usuários e consumidores de TI acessando o aplicativo de diferentes sites. como o Azure, Internet, locais físicos e escritórios regionais.
• Um aplicativo comum de três camadas que contém uma camada de front-end, uma camada de aplicativo e uma camada de dados. Todos os níveis correm em máquinas virtuais dentro de uma rede virtual chamada SPOKE. O acesso à aplicação é protegido por outra rede virtual chamada HUB, que contém serviços de segurança adicionais.
• Alguns dos serviços PaaS mais utilizados no Azure que suportam aplicações IaaS, incluindo o controlo de acesso baseado em funções (RBAC) e o Microsoft Entra ID, que contribuem para a abordagem de segurança Confiança Zero.
• Blobs de armazenamento e arquivos de armazenamento que fornecem armazenamento de objetos para os aplicativos e arquivos compartilhados pelos usuários.

Esta série de artigos percorre as recomendações para implementar o Confiança Zero para a arquitetura de referência, abordando cada uma dessas partes maiores hospedadas no Azure, conforme mostrado aqui.

O diagrama descreve as áreas maiores da arquitetura que são abordadas por cada artigo desta série:

1. Serviços de Armazenamento do Azure
2. Máquinas virtuais
3. VNets Spoke
4. Redes virtuais de hub

É importante observar que a orientação nesta série de artigos é mais específica para esse tipo de arquitetura do que a orientação fornecida no Cloud Adoption Framework e nas arquiteturas de zona de aterrissagem do Azure. Se você aplicou as diretrizes em qualquer um desses recursos, não deixe de revisar também esta série de artigos para obter recomendações adicionais.

Noções básicas sobre os componentes do Azure

O diagrama de arquitetura de referência fornece uma visão topológica do ambiente. Também é valioso ver logicamente como cada um dos componentes pode ser organizado no ambiente do Azure. O diagrama a seguir fornece uma maneira de organizar suas assinaturas e grupos de recursos. Suas assinaturas do Azure podem ser organizadas de forma diferente.

Neste diagrama, a infraestrutura do Azure está contida num tenant do Microsoft Entra ID. A tabela a seguir descreve as diferentes seções mostradas no diagrama.

• Subscrições do Azure

  Pode distribuir os recursos em mais do que uma subscrição, onde cada subscrição pode ter funções diferentes, como subscrição de rede ou subscrição de segurança. Isso é descrito na documentação do Cloud Adoption Framework e da Landing Zone do Azure referenciada anteriormente. As diferentes subscrições também podem conter diferentes ambientes, como ambientes de produção, desenvolvimento e testes. Depende de como você deseja separar seu ambiente e do número de recursos que você terá em cada um. Uma ou mais assinaturas podem ser gerenciadas juntas usando um Grupo de Gerenciamento. Isso lhe dá a capacidade de aplicar permissões com controle de acesso baseado em função (RBAC) e políticas do Azure a um grupo de assinaturas, em vez de configurar cada assinatura individualmente.

• Microsoft Defender para a Cloud e Azure Monitor

  Para cada assinatura do Azure, um conjunto de soluções do Azure Monitor e do Defender para a Cloud está disponível. Se gerir estas subscrições através de um Grupo de Gestão, pode consolidar num único portal para funcionalidades do Azure Monitor e Defender para a Cloud. Por exemplo, o Secure Score, fornecido pelo Defender para a Cloud, é consolidado para todas as suas assinaturas, usando um Grupo de Gerenciamento como escopo.

• Grupo de recursos de armazenamento (1)

  A conta de armazenamento está contida em um grupo de recursos dedicado. Você pode isolar cada conta de armazenamento em um grupo de recursos diferente para obter um controle de permissão mais granular. Os serviços de armazenamento do Azure estão contidos em uma conta de armazenamento dedicada. Você pode ter uma conta de armazenamento para cada tipo de carga de trabalho de armazenamento, por exemplo, um Armazenamento de Objetos (também chamado de armazenamento de Blob) e Arquivos do Azure. Isso fornece um controle de acesso mais granular e pode melhorar o desempenho.

• Grupo de recursos de máquinas virtuais (2)

  As máquinas virtuais estão contidas em um grupo de recursos. Você também pode ter cada tipo de máquina virtual para camadas de carga de trabalho, como front-end, aplicativo e dados, em diferentes grupos de recursos para isolar ainda mais o controle de acesso.

• Spoke (3) e hub (4) grupos de recursos virtuais de rede em subscrições separadas

  A rede e outros recursos para cada uma das redes virtuais na arquitetura de referência são isolados dentro de grupos de recursos dedicados para redes virtuais spoke e hub. Esta organização funciona bem quando a responsabilidade por estas é distribuída entre equipas diferentes. Outra opção é organizar esses componentes colocando todos os recursos de rede em um grupo de recursos e recursos de segurança em outro. Depende de como sua organização está configurada para gerenciar esses recursos.

Proteção contra ameaças com o Microsoft Defender para a Cloud

O Microsoft Defender para a Cloud é uma solução estendida de deteção e resposta (XDR) que coleta, correlaciona e analisa automaticamente dados de sinal, ameaça e alerta de todo o seu ambiente. O Defender para a Cloud destina-se a ser usado em conjunto com o Microsoft Defender XDR para fornecer uma maior amplitude de proteção correlacionada do seu ambiente, conforme mostrado no diagrama a seguir.

No diagrama:

• O Defender para a Cloud está habilitado para um grupo de gerenciamento que inclui várias assinaturas do Azure.
• O Microsoft Defender XDR está habilitado para aplicativos e dados do Microsoft 365, aplicativos SaaS integrados ao Microsoft Entra ID e servidores locais dos Serviços de Domínio Ative Directory (AD DS).

Para obter mais informações sobre como configurar grupos de gerenciamento e habilitar o Defender para a Cloud, consulte:

• Organizar subscrições em grupos de gestão e atribuir funções aos utilizadores
• Ativar o Defender para a Cloud em todas as subscrições de um grupo de gestão

Soluções de segurança nesta série de artigos

O Confiança Zero envolve a aplicação conjunta de várias disciplinas de segurança e proteção de informações. Nesta série de artigos, esta abordagem multidisciplinar é aplicada a cada uma das unidades de trabalho para componentes de infraestrutura da seguinte forma:

Aplicar os princípios de Confiança Zero ao armazenamento do Azure

1. Proteja os dados nos três modos: dados em repouso, dados em trânsito e dados em uso
2. Verifique os usuários e controle o acesso aos dados de armazenamento com o mínimo de privilégios
3. Separe logicamente dados críticos usando controlos de rede.
4. Use o Defender for Storage para deteção e proteção automatizadas contra ameaças

Aplicar princípios de Confiança Zero a máquinas virtuais no Azure

1. Configurar isolamento lógico para máquinas virtuais
2. Aproveite o RBAC (Controle de Acesso Baseado em Função)
3. Componentes de inicialização da máquina virtual segura
4. Habilite chaves gerenciadas pelo cliente e criptografia dupla
5. Controle os aplicativos instalados em máquinas virtuais
6. Configurar acesso seguro
7. Configurar a manutenção segura de máquinas virtuais
8. Habilite a deteção e a proteção avançadas contra ameaças

Aplicar os princípios de Confiança Zero a uma VNet falada no Azure

1. Aproveite o Microsoft Entra RBAC ou configure funções personalizadas para recursos de rede
2. Isolar a infraestrutura em seu próprio grupo de recursos
3. Criar um grupo de segurança de rede para cada sub-rede
4. Criar um grupo de segurança de aplicativo para cada função de máquina virtual
5. Tráfego e recursos seguros dentro da rede virtual
6. Acesso seguro à rede virtual e à aplicação
7. Habilite a deteção e a proteção avançadas contra ameaças

Aplicar princípios de Confiança Zero a uma VNet de hub no Azure

1. Proteja o Firewall Premium do Azure
2. Implantar o Azure DDoS Protection Standard
3. Configurar o encaminhamento do gateway de rede até ao firewall
4. Configurar a proteção contra ameaças

Ilustrações técnicas

Estas ilustrações são réplicas das ilustrações de referência nestes artigos. Transfira e personalize estes dados para a sua própria organização e clientes. Substitua o logotipo da Contoso pelo seu.

Iteme	Descrição
Baixar Visio Atualizado em outubro de 2024	Aplicar princípios de Confiança Zero à IaaS do Azure Use estas ilustrações com estes artigos: - Descrição geral - Armazenamento do Azure - Máquinas virtuais - Redes virtuais faladas do Azure - Redes virtuais do hub do Azure
Baixar Visio Atualizado em outubro de 2024	Aplicar princípios de Confiança Zero à IaaS do Azure — Cartaz de uma página Uma visão geral de uma página do processo de aplicação dos princípios do Confiança Zero a ambientes IaaS do Azure.

Para obter ilustrações técnicas adicionais, consulte Ilustrações Confiança Zero para arquitetos e implementadores de TI.

Treinamento recomendado para Confiança Zero

A seguir estão os módulos de treinamento recomendados para Confiança Zero.

Gerenciamento e governança do Azure

Formação

Descrever o gerenciamento e a governança do Azure

A formação Noções Básicas do Microsoft Azure é composta por três percursos de aprendizagem: Noções Básicas do Microsoft Azure: Descrever os conceitos de cloud; Descrever a arquitetura e os serviços do Azure e Descrever a gestão e a governação do Azure. Fundamentos do Microsoft Azure: descrever o gerenciamento e a governança do Azure é o terceiro caminho de aprendizado nos Fundamentos do Microsoft Azure. Este plano de aprendizagem explora os recursos de gestão e governação disponíveis para o ajudar a gerir os seus recursos na nuvem e no local. Este caminho de aprendizagem ajuda a prepará-lo para o Exame AZ-900: Fundamentos do Microsoft Azure.

Configurar a Política do Azure

Formação	Configurar a Política do Azure
	Saiba como configurar a Política do Azure para implementar requisitos de conformidade. Neste módulo, você aprenderá a: Crie grupos de gerenciamento para direcionar políticas e orçamentos de gastos. Implemente a Política do Azure com definições de política e iniciativa. Definir as políticas do Azure e determinar a conformidade.

Gerencie a operação de segurança

Formação	Gerenciar operação de segurança
	Depois de implantar e proteger seu ambiente do Azure, aprenda a monitorar, operar e melhorar continuamente a segurança de suas soluções. Este caminho de aprendizagem ajuda a prepará-lo para o Exame AZ-500: Tecnologias de Segurança do Microsoft Azure.

Configurar a segurança do armazenamento

Formação

Configurar a segurança do armazenamento

Saiba como configurar recursos de segurança comuns do Armazenamento do Azure, como assinaturas de acesso ao armazenamento. Neste módulo, você aprenderá a: Configure uma assinatura de acesso compartilhado (SAS), incluindo o identificador de recurso uniforme (URI) e os parâmetros SAS. Configure a criptografia do Armazenamento do Azure. Implemente chaves gerenciadas pelo cliente. Recomende oportunidades para melhorar a segurança do Armazenamento do Azure.

Configurar o Firewall do Azure

Formação	Configurar o Firewall do Azure
	Você aprenderá como configurar o Firewall do Azure, incluindo regras de firewall. Depois de concluir este módulo, conseguirá: Determine quando usar o Firewall do Azure. Implemente o Firewall do Azure, incluindo regras de firewall.

Para obter mais treinamento sobre segurança no Azure, consulte estes recursos no catálogo da Microsoft:
Segurança no Azure | Microsoft Learn

Passos Seguintes

Consulte estes artigos adicionais para aplicar os princípios de Confiança Zero ao Azure:

• Para IaaS do Azure:
  • Armazenamento do Azure
  • Máquinas virtuais
  • Redes virtuais faladas
  • Redes virtuais de hub
  • Serviços PaaS com redes virtuais Spoke no Azure
• Área de Trabalho Virtual do Azure
• WAN Virtual do Azure
• Aplicativos IaaS na Amazon Web Services
• Microsoft Sentinel e Microsoft Defender XDR

Consulte estes artigos adicionais para aplicar os princípios de Confiança Zero à rede do Azure:

• Encriptação
• Segmentação
• Obtenha visibilidade do seu tráfego de rede
• Descontinuar a tecnologia de segurança de rede herdada

Referências

Consulte os links a seguir para saber mais sobre os vários serviços e tecnologias mencionados neste artigo.

• O que é o Azure - Microsoft Cloud Services
• Infraestrutura como serviço (IaaS) do Azure
• Máquinas virtuais (VMs) para Linux e Windows
• Introdução ao Armazenamento do Azure
• Rede Virtual do Azure
• Introdução à segurança do Azure
• Diretrizes de implementação do Confiança Zero
• Visão geral do benchmark de segurança na nuvem da Microsoft
• Visão geral das linhas de base de segurança para o Azure
• Criando a primeira camada de defesa com os serviços de segurança do Azure
• Arquiteturas de referência de segurança cibernética da Microsoft