Regras de administração de segurança no Azure Virtual Network Manager

Neste artigo, você aprenderá sobre as regras de administração de segurança no Gerenciador de Rede Virtual do Azure. As regras de administração de segurança são usadas para definir regras de segurança de rede global que se aplicam a todas as redes virtuais dentro de um grupo de rede. Você aprende sobre o que são regras de administração de segurança, como elas funcionam e quando usá-las.

O que é uma regra de administrador de segurança?

As regras de administração de segurança são regras de segurança de rede global que impõem políticas de segurança definidas na coleção de regras em redes virtuais. Essas regras podem ser usadas para Permitir, Sempre Permitir ou Negar tráfego em redes virtuais dentro de seus grupos de rede de destino. Esses grupos de rede só podem consistir em redes virtuais dentro do escopo de sua instância do gerenciador de rede virtual. As regras de administração de segurança não podem ser aplicadas a redes virtuais não gerenciadas por um gerenciador de rede virtual.

Aqui estão alguns cenários em que as regras de administração de segurança podem ser usadas:

Com o Azure Virtual Network Manager, você tem um local centralizado para gerenciar regras de administração de segurança. A centralização permite definir políticas de segurança em escala e aplicá-las a várias redes virtuais de uma só vez.

Como funcionam as regras de administração de segurança?

As regras de administração de segurança permitem ou negam tráfego em portas, protocolos e prefixos IP de origem/destino específicos em uma direção especificada. Ao definir uma regra de administrador de segurança, você especifica as seguintes condições:

• A prioridade da regra
• A ação a ser tomada (permitir, negar ou sempre permitir)
• A direção do tráfego (entrada ou saída)
• O protocolo a utilizar

Para aplicar políticas de segurança em várias redes virtuais, crie e implante uma configuração de administrador de segurança. Essa configuração contém um conjunto de coleções de regras e cada coleção de regras contém uma ou mais regras de administração de segurança. Uma vez criada, você associa a coleção de regras aos grupos de rede que exigem regras de administração de segurança. As regras são então aplicadas a todas as redes virtuais contidas nos grupos de rede quando a configuração é implantada. Uma única configuração fornece uma aplicação centralizada e escalável de políticas de segurança em várias redes virtuais.

Como as regras de administração de segurança e os NSGs (grupos de segurança de rede) são avaliados

As regras de administração de segurança e os NSGs (grupos de segurança de rede) podem ser usados para impor políticas de segurança de rede no Azure. No entanto, têm âmbitos e prioridades diferentes. #

As regras de administração de segurança destinam-se a ser usadas por administradores de rede de uma equipe de governança central, delegando assim as regras NSG a equipes individuais de aplicativos ou serviços para especificar melhor a segurança, conforme necessário. As regras de administração de segurança têm uma prioridade maior do que as NSGs e são avaliadas antes das regras NSG.

Os NSGs, por outro lado, são usados para filtrar o tráfego de rede de e para sub-redes individuais ou interfaces de rede. Eles devem ser usados por equipes individuais de aplicativos ou serviços para especificar ainda mais a segurança, conforme necessário. Os NSGs têm uma prioridade menor do que as regras de administração de segurança e são avaliados após as regras de administração de segurança.

Atualmente, as regras de administração de segurança são aplicadas no nível da rede virtual, enquanto os grupos de segurança de rede podem ser associados no nível da sub-rede e da NIC. Esta tabela mostra essas diferenças e semelhanças:

As regras de administração de segurança podem executar três ações no tráfego: Permitir, Sempre Permitir e Negar. Quando criadas, as regras Permitir são avaliadas primeiro, seguidas pelas regras do grupo de segurança de rede. Essa ação permite que as regras do grupo de segurança de rede tratem o tráfego de forma diferente, se necessário.

Se você criar uma regra Sempre Permitir ou Negar , a avaliação do tráfego será encerrada depois que a regra de administrador de segurança for avaliada. Com uma regra Sempre Permitir , o tráfego vai diretamente para o recurso e termina a avaliação adicional (e possivelmente conflitante) pelas regras NSG. Essa ação pode ser útil para impor o tráfego e evitar a negação pelas regras do grupo de segurança de rede. Com uma regra de negação , o tráfego é interrompido sem ser entregue no destino. As regras de administração de segurança não dependem de NSGs, portanto, elas podem ser usadas para criar regras de segurança padrão por conta própria.

Usando regras de administração de segurança e NSGs juntos, você pode aplicar políticas de segurança de rede nos níveis global e individual, garantindo que suas redes virtuais sejam seguras e compatíveis com as políticas de segurança da sua organização.

Benefícios das regras de administração de segurança

As regras de administração de segurança oferecem muitos benefícios para proteger os recursos da sua organização. Usando regras de administração de segurança, você pode impor o tráfego permitido e evitar a negação por meio de regras de grupo de segurança de rede conflitantes. Você também pode criar regras de administração de segurança padrão que não dependem de NSGs para existir. Essas regras padrão podem ser especialmente úteis quando os proprietários de aplicativos configuram incorretamente ou esquecem de estabelecer NSGs. Além disso, as regras de administração de segurança fornecem uma maneira de gerenciar a segurança em escala, o que reduz a sobrecarga operacional que vem com um número crescente de recursos de rede.

Proteja portas de alto risco

Com base no estudo do setor e nas sugestões da Microsoft, recomendamos que os clientes restrinjam o tráfego externo usando regras de administração de segurança para esta lista de portas de alto risco. Estas portas são frequentemente utilizadas para a gestão de recursos ou transmissão de dados não segura/não encriptada e não devem ser expostas à Internet. No entanto, há momentos em que certas redes virtuais e seus recursos precisam permitir tráfego para gerenciamento ou outros processos. Você pode criar exceções onde necessário. Saiba como bloquear portas de alto risco com exceções para esses tipos de cenários.

Gestão à escala

O Azure Virtual Network Manager fornece uma maneira de gerenciar suas políticas de segurança em escala com regras de administração de segurança. Quando você aplica uma configuração de administrador de segurança a um grupo de rede, todas as redes virtuais e seus recursos contidos no escopo dos grupos de rede recebem as regras de administração de segurança na política.

Os novos recursos são protegidos juntamente com os recursos existentes. Por exemplo, se você adicionar novas VMs a uma rede virtual no escopo de uma regra de administração de segurança, as VMs também serão protegidas automaticamente. Logo após a implantação dessas VMs, as regras de administração de segurança serão aplicadas e as protegerão.

Quando novos riscos de segurança são identificados, você pode implantá-los em escala criando uma regra de administração de segurança para proteger contra o novo risco e aplicando-a aos seus grupos de rede. Uma vez implantada essa nova regra, todos os recursos no escopo dos grupos de rede serão protegidos agora e no futuro.

Não aplicação das regras de administração de segurança

Na maioria dos casos, as regras de administração de segurança aplicam-se a todas as redes virtuais e sub-redes dentro do escopo da configuração de segurança aplicada de um grupo de rede. No entanto, existem alguns serviços que não aplicam regras de administração de segurança devido aos requisitos de rede do serviço. A política de intenção de rede do serviço impõe esses requisitos.

Não aplicação de regras de administração de segurança ao nível da rede virtual

Por padrão, as regras de administração de segurança não são aplicadas a uma rede virtual que contenha os seguintes serviços:

• Instâncias gerenciadas SQL do Azure
• Azure Databricks

Quando uma rede virtual contém esses serviços, as regras de administração de segurança ignoram essa rede virtual. Se desejar que as regras Permitir sejam aplicadas a essa rede virtual, crie sua configuração de segurança com o AllowRulesOnly campo definido na classe securityConfiguration.properties.applyOnNetworkIntentPolicyBasedServices .NET. Quando definido, apenas as regras Permitir na sua configuração de segurança são aplicadas a esta rede virtual. As regras de negação não são aplicadas a esta rede virtual. As redes virtuais sem esses serviços podem continuar usando as regras Permitir e Negar .

Você pode criar uma configuração de segurança com Permitir somente regras e implantá-la em suas redes virtuais com o Azure PowerShell e a CLI do Azure.

Não aplicação de regras de administração de segurança ao nível da sub-rede

Da mesma forma, alguns serviços não aplicam regras de administração de segurança no nível da sub-rede quando a rede virtual das sub-redes está dentro do escopo de uma configuração de administrador de segurança. Esses serviços incluem:

• Gateway de Aplicação do Azure
• Azure Bastion
• Azure Firewall
• Azure Route Server
• Gateway de VPN do Azure
• WAN Virtual do Azure
• Gateway do Microsoft Azure ExpressRoute

Nesse caso, as regras de administração de segurança não afetam os recursos na sub-rede com esses serviços. No entanto, outras sub-redes dentro da mesma rede virtual têm regras de administração de segurança aplicadas a elas.

Campos de administração de segurança

Quando você define uma regra de administrador de segurança, há campos obrigatórios e opcionais.

Campos obrigatórios

Prioridade

A prioridade de uma regra de administrador de segurança é um número inteiro entre 1 e 4096. Quanto menor o valor, maior a prioridade da regra. Por exemplo, uma regra de negação com prioridade de 10 substitui uma regra de permissão com prioridade de 20.

Ação

Você pode definir uma das três ações para uma regra de segurança:

Direção

Você pode especificar a direção do tráfego para a qual a regra se aplica. Você pode definir entrada ou saída.

Protocolo

Os protocolos atualmente suportados com regras de administração de segurança são:

• TCP
• UDP
• ICMP
• ESP
• AH
• Quaisquer protocolos

Campos opcionais

Tipos de origem e destino

• Endereços IP: Você pode fornecer endereços IPv4 ou IPv6 ou blocos de endereços na notação CIDR. Para listar vários endereços IP, separe cada endereço IP com uma vírgula.
• Etiqueta de serviço: você pode definir tags de serviço específicas com base em regiões ou em um serviço inteiro. Consulte a documentação pública sobre etiquetas de serviço disponíveis para obter a lista de etiquetas suportadas. Fora desta lista, as regras de administração de segurança atualmente não suportam as tags de serviço AzurePlatformDNS, AzurePlatformIMDS e AzurePlatformLKM.

Portas de origem e de destino

Você pode definir portas comuns específicas para bloquear a partir da origem ou para o destino. Aqui está uma lista de portas TCP comuns:

Próximos passos