Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Azure Virtual Network ist der grundlegende Baustein für Ihr privates Netzwerk in Azure. Das Azure Virtual Network hilft Azure-Ressourcen, untereinander sicher zu kommunizieren, mit dem Internet und mit lokalen Netzwerken. Sichere virtuelle Netzwerkbereitstellungen nutzen Netzwerksegmentierung, Verkehrskontrolle, Identitätskontrollen, Überwachung und robustes Design, um die Netzwerkinfrastruktur zu schützen und unbefugten Zugriff auf Ressourcen zu verhindern.
Dieser Artikel gibt Sicherheitsempfehlungen für das Azure Virtual Network. Wenn Sie diese Empfehlungen umsetzen, helfen Sie, Ihre Sicherheitsverpflichtungen zu erfüllen und die gesamte Sicherheitslage Ihrer Implementierung zu verbessern. Für einen Überblick über die Netzwerksicherheitsdienste von Azure und wie sie zusammenarbeiten, siehe Was ist Azure-Netzwerksicherheit?
Die Sicherheitsempfehlungen in diesem Artikel implementieren Zero Trust-Prinzipien: "Explizit überprüfen", "Minimalen Berechtigungszugriff verwenden" und "Verletzung als gegeben ansehen". Umfassende Anleitungen zu Zero Trust finden Sie im Zero Trust Guidance Center.
Netzwerksicherheit
Netzwerksicherheit für virtuelle Netzwerke konzentriert sich auf die Steuerung des Verkehrsflusses, die Implementierung von Segmentierung und den Schutz vor externen Bedrohungen. Geeignete Netzwerkkontrollen helfen, Arbeitslasten zu isolieren, laterale Verschiebungen zu verhindern und sich gegen verteilte Denial-of-Service-Angriffe zu schützen.
Segmentieren Sie Workloads mithilfe von Netzwerksicherheitsgruppen und Anwendungssicherheitsgruppen: Wenden Sie Netzwerksicherheitsgruppen (NSGs) auf Subnetze und Netzwerkschnittstellen an, um eingehenden und ausgehenden Verkehr basierend auf Quell-IP, Ziel-IP, Port und Protokoll zu steuern. Verwenden Sie Anwendungssicherheitsgruppen, um virtuelle Maschinen logisch zu gruppieren und Netzwerksicherheitsrichtlinien basierend auf der Anwendungsstruktur zu definieren. Verwenden Sie eine Deny-by-Default- und Permit-by-Exception-Methode, um die Angriffsfläche zu verringern. Weitere Informationen finden Sie unter Netzwerksicherheitsgruppen.
Erzwingen Sie Basis-Netzwerkregeln durch Sicherheits-Admin-Regeln: Verwenden Sie Sicherheits-Admin-Regeln im Azure Virtual Network Manager, um Regeln zentral in verwalteten virtuellen Netzwerken anzuwenden, die Regeln immer zulassen und ablehnen. Nutzen Sie sie, um Hochrisiko-Ports zu blockieren, Segmentierung durchzusetzen und das Risiko zu verringern, dass eine NSG-Fehlkonfiguration auf Workload-Ebene die unternehmensweite Richtlinie umgeht. Weitere Informationen finden Sie unter Sicherheits-Admin-Regeln im Azure Virtual Network Manager.
Setzen Sie die Azure Firewall für zentralisierten, zustandsvollen Schutz ein: Verwenden Sie die Azure Firewall, um sowohl eingehenden als auch ausgehenden Verkehr über Ihre virtuellen Netzwerke durch eine vollständige stateful Packet Inspection zu steuern. Verwenden Sie eine zentralisierte Firewall-Richtlinie, um Anwendungs- und Netzwerkregeln in großem Umfang zu definieren und zu verwalten. Aktivieren Sie Bedrohungsintelligenz-basierte Filterung. Verwenden Sie Azure Firewall Premium mit einem Intrusion Detection and Prevention System (IDPS), um bösartigen Netzwerkverkehr zu überwachen und zu blockieren. Weitere Informationen finden Sie unter Azure Firewall.
Aktivieren Sie Azure DDoS Network Protection: Aktivieren Sie Azure DDoS Network Protection auf virtuellen Netzwerken mit öffentlichen IP-Ressourcen, um sich gegen verteilte Denial-of-Service-Angriffe zu schützen. Verwenden Sie DDoS Network Protection für den virtuellen netzwerkweiten Schutz oder DDoS IP Protection, wenn Sie eine Pay-per-Protected-IP-Abdeckung für einzelne öffentliche IP-Ressourcen benötigen. Weitere Informationen finden Sie in der Übersicht über Azure DDoS Protection.
Verwenden Sie Diensttags, um Sicherheitsregeln zu vereinfachen: Ersetzen Sie bestimmte IP-Adressen durch Diensttags in Ihren NSG-Regeln, um die Kommunikation mit Azure-Diensten zu ermöglichen und gleichzeitig die Sicherheit zu gewährleisten. Microsoft aktualisiert Diensttags automatisch, wenn sich IP-Bereiche ändern. Weitere Informationen finden Sie in Servicetags.
Implementiere Azure Bastion für sicheren RDP- und SSH-Zugriff: Nutze Azure Bastion, um sich sicher mit virtuellen Maschinen über RDP oder SSH zu verbinden, ohne sie dem öffentlichen Internet zu öffnen. Bastion eliminiert die Notwendigkeit öffentlicher IP-Adressen auf VMs und verringert die Angriffsfläche. Weitere Informationen finden Sie unter Azure Bastion.
Implementiere Azure NAT Gateway für ausgehenden Datenverkehr: Nutze Azure NAT Gateway, um statische ausgehende IP-Adressen für virtuelle Netzwerkressourcen und sicheren, skalierbaren Ausgangsverkehr bereitzustellen. NAT Gateway schützt außerdem vor Port-Erschöpfung. Weitere Informationen finden Sie unter Azure NAT-Gateway.
Verwenden Sie private Endpunkte und Private Link für Azure-Dienste: Verwenden Sie Azure Private Link, um über einen privaten Endpunkt in Ihrem virtuellen Netzwerk auf Azure PaaS-Dienste zuzugreifen. Private Link speichert den privaten Endpunkt-Datenverkehr im Microsoft-Backbone-Netzwerk. Wenn der Zieldienst dies unterstützt, deaktivieren Sie auch den öffentlichen Netzwerkzugang oder konfigurieren Sie die Service-Firewall so, dass öffentlicher Zugriff verhindert wird. Weitere Informationen hierzu finden Sie unter Azure Private Link.
Bevorzugen Sie private Endpunkte gegenüber Service-Endpunkten für den privaten Service-Zugriff: Verwenden Sie private Endpunkte, wenn dies unterstützt wird, damit der Dienst durch eine private IP-Adresse in Ihrem virtuellen Netzwerk dargestellt wird und private DNS- und Netzwerkrichtlinien verwenden kann. Nutze Service-Endpunkte nur, wenn Private Link nicht verfügbar ist oder wenn eine servicespezifische Anforderung sie verlangt. Für groß angelegte IaaS-zu-PaaS-Zugriffe, die Service-Endpunkte nutzen, sollten Standard-Service-Endpunkte (Vorschau) mit Netzwerksicherheits-Perimeterintegration bewertet werden, aber diese nicht als gleichwertig mit Private Link behandelt werden, da sie keine private Verbindung oder Schutz vor Datenexfiltration bieten. Weitere Informationen finden Sie unter Was ist ein privater Endpunkt?, Netzwerkrichtlinien verwalten für private Endpunkte, virtuelle Netzwerk-Service-Endpunkte und Azure-Standard-Service-Endpunkte.
Absichtlich sicheres virtuelles Netzwerk-Peering: Behandeln Sie Peering als direkte, nicht-transitive Verbindung zwischen zwei virtuellen Netzwerken. Erstellen Sie explizite Peers für jeden erforderlichen Pfad, scopen Sie NSG- und Routenregeln für die gepeerten Adressräume und aktivieren Sie Gateway-Transit oder entfernte Gateways nur, wenn das Hub-and-Spoke-Design eine gemeinsame lokale Konnektivität erfordert. Weitere Informationen finden Sie unter Virtuelles Netzwerk-Peering und Erstellen Sie, ändern oder löschen Sie ein virtuelles Netzwerk-Peering.
Konfigurieren Sie Subnetze standardmäßig als privat: Für Subnetze, die keinen öffentlichen Internetzugriff erfordern, konfigurieren Sie sie als private Subnetze. Verwenden Sie Azure Firewall oder NAT Gateway für kontrollierten ausgehenden Zugriff bei Bedarf. Weitere Informationen finden Sie unter Default Outbound Access in Azure.
Begrenze die Nutzung öffentlicher IP-Adressen: Minimiere die Anzahl öffentlicher IP-Adressen durch Nutzung gemeinsamer öffentlicher IP-Adressen von Diensten wie Azure Front Door oder Application Gateway. Wenn öffentliche IP-Adressen erforderlich sind, implementieren Sie ein ordnungsgemäßes Portmanagement, Verkehrsfilterung und Anfragevalidierung. Weitere Informationen finden Sie unter öffentliche IP-Adressen.
Planen Sie IPv6 Dual-Stack-Sicherheitskontrollen explizit: Wenn Sie IPv6 aktivieren, definieren Sie Dual-Stack-Adressräume und -Subnetze für IPv4 und IPv6, konfigurieren Sie NSG-Regeln für IPv6-Verkehr und validieren Sie Funktionseinschränkungen wie IPv6-only VM- und Azure Firewall-Unterstützung. Weitere Informationen finden Sie unter IPv6 für Azure Virtual Network.
Delegiere Subnetze nur für unterstützte Serviceintegrationen: Verwenden Sie Subnetzdelegierung, wenn ein Azure-Dienst in ein virtuelles Netzwerksubnetz eingeschleust werden muss. Überprüfen Sie die Netzwerkabsichtsrichtlinien, NSG-Unterstützung, Routetabellenunterstützung und private Endpunktsbeschränkungen des Services, bevor Sie das Subnetz delegieren. Weitere Informationen finden Sie unter Subnet-Delegation.
Konfigurieren sie die Paketerfassung für forensische Analysen: Aktivieren Sie die Paketerfassung auf virtuellen Computern, oder verwenden Sie die VPN-Gateway-Paketerfassung, um Netzwerkdatenverkehr für die Sicherheitsanalyse und Vorfalluntersuchung aufzuzeichnen. Weitere Informationen finden Sie unter Network Watcher Packet Capture und Configure Packet Capture for VPN Gateway.
Identitäts- und Zugriffsverwaltung
Identitäts- und Zugriffsmanagement für virtuelle Netzwerke steuert, wer Netzwerkressourcen erstellen, ändern und löschen kann und wie privilegierte Netzwerkoperationen geschützt werden. Starke Identitätskontrollen verhindern unautorisierte Netzwerkänderungen und erhalten die Sicherheitslage Ihrer Netzwerkinfrastruktur aufrecht.
Verwenden Sie Azure RBAC für den Zugriff auf Netzwerkressourcen: Weisen Sie geeignete eingebaute Rollen wie Netzwerkbeitragender oder benutzerdefinierte Rollen mit spezifischen Berechtigungen zu, um zu steuern, wer virtuelle Netzwerke und zugehörige Ressourcen erstellen, verändern oder löschen kann. Befolgen Sie das Prinzip der geringsten Rechte. Weitere Informationen finden Sie unter Azure RBAC integrierte Rollen für Netzwerke.
Wenden Sie das Mindestrecht für Netzwerkrollen an: Konfigurieren Sie rollenbasierte Zugriffskontrolle mit einer No-Access-Mentalität für netzwerkbezogene Rollen. Stellen Sie sicher, dass Benutzer nur die Netzwerkeinstellungen ändern können, die für ihre Jobfunktion erforderlich sind. Weitere Informationen finden Sie unter bewährte Methoden für Azure RBAC.
Verwenden Sie Microsoft Entra ID für zentrale Identität: Verwenden Sie Microsoft Entra ID als zentralen Identitätsanbieter zur Verwaltung des Zugriffs auf Netzwerkressourcen und zugehörige Azure-Dienste. Implementieren Sie Single Sign-on statt eigenständige Zugangsdaten für jeden Dienst, um die Angriffsfläche und Passwortanforderungen zu reduzieren. Weitere Informationen finden Sie unter Einmaliges Anmelden bei Anwendungen.
Setzen Sie Conditional Access für Netzwerkadministratoren ein: Konfigurieren Sie Conditional Access Policies so, dass sie eine Multifaktor-Authentifizierung erfordern, und beschränken Sie den Zugriff auf Netzwerkverwaltungsoperationen basierend auf Benutzerstandort, Gerätekonformität und Risikoniveau. Weitere Informationen finden Sie unter Bedingter Zugriff.
Erzwingen Sie die Multifaktor-Authentifizierung für Netzwerkadministratoren: Fordern Sie Multifaktor-Authentifizierung für alle Benutzer mit Netzwerkadministratoren, um eine Sicherheitsschicht über Passwörter hinaus hinzuzufügen und das Risiko von Angriffen auf Basis von Zugangsdaten zu verringern. Weitere Informationen finden Sie unter Microsoft Entra-Multi-Faktor-Authentifizierung.
Verwenden Sie just-in-time-Zugriff für Netzwerkvorgänge: Implementieren Sie Microsoft Entra Privileged Identity Management, um zeitlich begrenzten Zugriff auf Netzwerkverwaltungsrollen zu ermöglichen. Just-in-Time-Zugriff verringert das Zeitfenster für privilegierte Zugangsdaten. Weitere Informationen finden Sie unter Privileged Identity Management.
Verwenden Sie verwaltete Identitäten für netzwerkintegrierte Workloads: Aktivieren Sie verwaltete Identitäten für Azure-Ressourcen in Ihren virtuellen Netzwerken, die auf andere Azure-Dienste zugreifen müssen. Verwaltete Identitäten eliminieren gespeicherte Zugangsdaten im Workload-Code und in der Konfiguration, wodurch die Ausgangsdaten für Dienste, die auf Netzwerkverbindung angewiesen sind, reduziert werden. Weitere Informationen finden Sie unter verwaltete Identitäten.
Verwenden Sie dedizierte Administratorkonten mit privilegierten Zugriffsgeräten: Erstellen Sie Standardbetriebsverfahren für dedizierte Administratorkonten. Verwenden Sie privilegierte Zugriffsgeräte mit Multifaktor-Authentifizierung für Netzwerkadministratoren, die administrative Aufgaben ausführen. Weitere Informationen finden Sie unter Sicherung privilegierter Zugriffsgeräte.
Regelmäßige Überprüfung und Abgleich des Benutzerzugangs: Führen Sie regelmäßige Zugriffsüberprüfungen durch, um Gruppenmitgliedschaften, den Zugriff auf Unternehmensanwendungen und Rollenzuweisungen zu verwalten. Stellen Sie sicher, dass nur aktive Benutzer weiterhin auf Netzwerkmanagementfunktionen zugreifen. Weitere Informationen finden Sie unter Microsoft Entra-Zugriffsüberprüfungen.
Datenschutz
Der Datenschutz für virtuelle Netzwerke konzentriert sich darauf, Daten während der Übertragung Ihrer Netzwerkinfrastruktur zu sichern und die Netzwerkkommunikation vor Abhörmaßnahmen oder Manipulationen zu schützen.
Verschlüsselung während des Transits aktivieren: Der gesamte Netzwerkverkehr muss Verschlüsselungsprotokolle wie TLS 1.2 oder höher, IPsec für VPN-Verbindungen und verschlüsselte Protokolle für Anwendungskommunikation verwenden. Azure stellt standardmäßig Verschlüsselung für den Datenverkehr zwischen Azure-Rechenzentren bereit. Weitere Informationen finden Sie unter Verschlüsselung während der Übertragung.
Aktivieren Sie die Verschlüsselung des Azure Virtual Network für unterstützten VM-Verkehr: Verwenden Sie Azure Virtual Network-Verschlüsselung, um Daten während der Übertragung zwischen unterstützten virtuellen Maschinen innerhalb desselben virtuellen Netzwerks sowie zwischen regional und global peered virtuellen Netzwerken zu verschlüsseln. Überprüfen Sie die unterstützten VM-Größen, die Anforderungen an beschleunigte Netzwerke und die Topologiebeschränkungen, bevor Sie die Verschlüsselung aktivieren, insbesondere für virtuelle Netzwerke, die Azure Firewall, ExpressRoute-Gateways, Private Link-Dienste oder nicht unterstützte VM-SKUs verwenden. Weitere Informationen finden Sie unter Azure Virtual Network-Verschlüsselung.
MACsec auf ExpressRoute Direct-Ports aktivieren: Für ExpressRoute Direct-Verbindungen aktivieren Sie MACsec, um eine Layer-2-Verschlüsselung zwischen Ihren Edge-Routern und Microsoft-Edge-Routern bereitzustellen, um die Vertraulichkeit und Integrität der Daten während der Übertragung zu gewährleisten. Weitere Informationen finden Sie unter MACsec für ExpressRoute Direct Ports.
Protokollierung und Überwachung
Logging und Überwachung virtueller Netzwerke bieten Einblick in Verkehrsmuster, Konfigurationsänderungen, Sicherheitsereignisse und potenzielle Bedrohungen. Zentrale Überwachung unterstützt die Reaktion auf Vorfälle, Bedrohungserkennung und Compliance-Berichterstattung.
Aktivieren Sie virtuelle Netzwerkflussprotokolle zur Verkehrsüberwachung: Konfigurieren Sie virtuelle Netzwerkflussprotokolle, den Nachfolger von NSG-Flussprotokollen, um Informationen über den IP-Verkehr durch Ihre virtuellen Netzwerke zu erfassen. Senden Sie Flow-Logs an ein Azure Storage-Konto und verwenden Sie eine benutzerdefinierte verwaltete Identität für sicheren Zugriff auf das Speicherkonto. Aktivieren Sie Traffic Analytics, um die Logs zu verarbeiten und die Ergebnisse in einem Log Analytics-Arbeitsbereich für Visualisierung und Bedrohungserkennung zu speichern. NSG-Ablaufprotokolle werden am 30. September 2027 eingestellt. Nach dem 30. Juni 2025 können Sie keine neuen NSG-Flussprotokolle mehr erstellen. Migriere bestehende NSG-Flow-Log-Deployments zu virtuellen Netzwerk-Flow-Logs. Weitere Informationen finden Sie unter Virtuelle Netzwerkflussprotokolle, Verwaltete Identität für virtuelle Netzwerkflussprotokolle und Migration von NSG-Flussprotokollen zu virtuellen Netzwerkflussprotokollen.
Zentralisieren Sie die Logsammlung durch Azure Monitor: Konfigurieren Sie Diagnoseeinstellungen in virtuellen Netzwerken und Netzwerksicherheitsgruppen, um Ressourcenprotokolle an einen Log Analytics-Arbeitsbereich für zentrale Analyse und Korrelation zu senden. Senden Sie virtuelle Netzwerk-Flow-Logs über Traffic Analytics an Log Analytics und archivieren Sie die Logs auf ein Azure Storage-Konto zur langfristigen Aufbewahrung. Weitere Informationen finden Sie unter Monitor virtual networks and Diagnostic logging für eine Netzwerksicherheitsgruppe.
Aktivieren Sie Microsoft Defender für Cloud: Verwenden Sie Microsoft Defender für Cloud, um Ihre virtuellen Netzwerkressourcen auf Sicherheitsfehler und Bedrohungen zu überwachen. Aktivieren Sie die Defender for Cloud-Pläne, die Ihre netzwerkverbundenen Arbeitslasten abdecken (zum Beispiel Defender for Servers, Defender for Storage, Defender for Databases) für umfassenden Schutz. Weitere Informationen finden Sie unter Microsoft Defender für Cloud.
Konfigurieren Sie Sicherheitswarnungen und Benachrichtigungen: Richten Sie Azure Monitor-Warnungen für kritische Netzwerksicherheitsereignisse wie NSG-Regeländerungen, ungewöhnliche Verkehrsmuster, Firewall-Blockierungen und DDoS-Angriffsindikatoren ein. Konfigurieren Sie Aktionsgruppen, die Sicherheitsteams automatisch benachrichtigen. Weitere Informationen finden Sie unter Azure Monitor-Warnungen.
Verwenden Sie Network Watcher-Diagnosen zur Konnektivitätsuntersuchung: Verwenden Sie Verbindungsmonitor für kontinuierliche Endpunktüberwachung, IP-Flow-Verifizierung und NSG-Diagnosen zur Validierung von Sicherheitsregelentscheidungen, Next Hop zur Bestätigung des Routings und Paketerfassung für die Vorfalluntersuchung auf unterstützten virtuellen Maschinen und Skalierungssätzen. Weitere Informationen finden Sie unter Network Watcher, Verbindungsmonitor und Packet Capture.
Nutzen Sie Microsoft Sentinel für eine fortgeschrittene Bedrohungserkennung: Streamen Sie virtuelle Netzwerkflussprotokolle und Verkehrsanalysedaten zu Microsoft Sentinel für fortschrittliche Sicherheitsanalysen, Bedrohungsjagd und automatisierte Reaktionen. Weitere Informationen finden Sie unter Connect Traffic Analytics Data to Microsoft Sentinel.
Überwachen Sie privilegierte Netzwerkaktivitäten: Aktivieren Sie Logging und Überwachung für privilegierte Netzwerkoperationen, einschließlich NSG-Änderungen, Änderungen an Routentabellen und Aktualisierungen der Firewall-Regeln. Verwenden Sie azure Activity Log und Azure Monitor, um administrative Aktionen nachzuverfolgen. Weitere Informationen finden Sie im Azure-Aktivitätsprotokoll.
Compliance und Governance
Compliance und Governance für virtuelle Netzwerke tragen dazu bei, einheitliche Netzwerksicherheitskontrollen, Ressourceninventarisierung, Durchsetzung von Richtlinien, Sicherheitstests und Vorfallreaktionen in Ihrer Organisation sicherzustellen.
Verwenden Sie Azure-Richtlinie für Governance- und Ressourceneinschränkungen: Stellen Sie Azure-Richtliniendefinitionen bereit, um Sicherheitsstandards für virtuelle Netzwerke zu erzwingen. Diese Definitionen können NSGs in Subnetzen verlangen, spezifische Sicherheitsregeln vorschreiben oder die Erstellung öffentlicher IP-Adressen verhindern. Verwenden Sie integrierte Richtliniendefinitionen wie Nicht erlaubte Ressourcentypen und Erlaubte Ressourcentypen , um die Ressourcenerstellung einzuschränken. Weitere Informationen finden Sie unter Azure-Richtlinie für virtuelle Netzwerke.
Tag-Netzwerkressourcen für Organisationen: Wenden Sie konsistente Tags auf virtuelle Netzwerke, Subnetze, NSGs und verwandte Ressourcen an, um Organisation, Kostenmanagement und Durchsetzung von Sicherheitsrichtlinien zu unterstützen. Verwenden Sie Tags und NSG-Regelbeschreibungen, um Geschäftsbedarf, Dauer und andere Informationen für Sicherheitsaudits und Regelverwaltung zu dokumentieren. Weitere Informationen finden Sie unter Resource Tagging.
Überwachen Sie Ressourcenkonfigurationsänderungen: Verwenden Sie Azure Resource Graph, um Netzwerkressourcen über Abonnements hinweg abzufragen und zu entdecken. Richten Sie Warnungen für nicht autorisierte Änderungen an kritischen Netzwerkkonfigurationen ein. Weitere Informationen finden Sie unter Azure Resource Graph.
Implementieren Sie standardisierte Konfigurationsverwaltung: Verwenden Sie Azure Resource Manager-Vorlagen oder Bicep, um Netzwerkkonfigurationen konsistent zu definieren und bereitzustellen. Speichere Vorlagen in der Versionskontrolle und implementiere Änderungsmanagement-Prozesse für Netzwerkänderungen. Weitere Informationen finden Sie unter Verstehen der Struktur und Syntax von Bicep-Dateien.
Führen Sie regelmäßige Penetrationstests im Rahmen der Azure-Regeln durch: Lassen Sie Experten außerhalb des Arbeitslastteams periodische Penetrationstests durchführen. Befolgen Sie die Microsoft Cloud Penetration Testing Rules of Engagement. Nutzen Sie zugelassene DDoS-Simulationspartner für DDoS-Resilienztests. Weitere Informationen finden Sie unter Penetrationstests.
Netzwerksegmentierung validieren: Regelmäßig Netzwerksegmentierungskontrollen testen, um sicherzustellen, dass Ressourcen in einem Segment nicht auf Ressourcen in anderen Segmenten zugriffen können, es sei denn, der Zugriff ist beabsichtigt. Verwenden Sie Virtual Network Verifier im Azure Virtual Network Manager in Preproduktionsumgebungen, um die Verbindung zwischen Ressourcen zu testen und sicherzustellen, dass sie erreichbar sind und nicht durch Richtlinien blockiert werden. Weitere Informationen finden Sie unter Virtual Network Verifier.
Nutzen Sie Azure Chaos Studio für Resilienztests: Nutzen Sie Azure Chaos Studio, um Netzwerkverbindungsstörungen zu simulieren und zu überprüfen, ob Sicherheitskontrollen auch in Ausfallszenarien wirksam bleiben. Weitere Informationen finden Sie in der Fehler- und Aktionsbibliothek von Azure Chaos Studio.
Integrieren Sie Microsoft Defender for Cloud-Warnungen in die Incident Response: Nutzen Sie Microsoft Defender for Cloud-Warnungen, um Netzwerksicherheitsvorfälle zu priorisieren. Exportieren Sie Warnungen und Empfehlungen durch kontinuierlichen Export und streamen Sie Warnungen zu Microsoft Sentinel für zentralisiertes Vorfallmanagement. Weitere Informationen finden Sie unter Kontinuierlicher Export von Defender for Cloud-Daten.
Automatisieren Sie die Reaktion auf Vorfälle: Nutzen Sie die Workflow-Automatisierungsfunktion in Microsoft Defender for Cloud, um Antworten über Logic Apps auf Sicherheitswarnungen und Empfehlungen auszulösen, die Azure-Netzwerkressourcen betreffen. Weitere Informationen finden Sie unter Workflow-Automatisierung in Defender for Cloud.
Sicherung und Wiederherstellung
Backup und Wiederherstellung für virtuelle Netzwerke konzentrieren sich darauf, Netzwerkkonfigurationen zu erhalten und eine schnelle Wiederherstellung der Konnektivität nach versehentlichen Löschungen, Konfigurationsfehlern, Angriffen oder regionalen Störungen sicherzustellen. Virtuelle Netzwerke benötigen keine herkömmliche Datensicherung, aber die Erhaltung der Konfiguration und getestete Wiederherstellungsverfahren sind entscheidend.
Netzwerkkonfigurationen als Infrastruktur als Code verwalten: Virtuelle Netzwerke, Subnetze, NSGs, Routetabellen, Peerings und zugehörige Netzwerkkonfigurationen in Bicep- oder ARM-Vorlagen definieren, die in der Versionskontrolle gespeichert sind. Behandle dieses Repository als Wahrheitsquelle für die Wiederherstellung. Nutzen Sie den Portal-Export nur als überprüfte Momentaufnahme oder Bootstrap, nicht als fortlaufende Wahrheitsquelle. Weitere Informationen finden Sie unter Vorlage exportieren aus dem Azure-Portal und Bicep exportieren aus bestehenden Azure-Ressourcen.
Verwenden Sie VNet-zu-VNet-Peering für Widerstandsmuster: Entwerfen Sie Hub-and-Spoke- oder Multiregion-Konnektivitätsmuster mit virtuellem Netzwerk-Peering, wo angebracht. Peering kann resiliente Servicekommunikation und Disaster Recovery-Designs unterstützen, wenn es mit regionaler Isolation, Routing-Kontrollen und getesteten Failover-Verfahren kombiniert wird. Weitere Informationen finden Sie unter Virtual Network Peering.
Fügen Sie DDoS-Schutzpläne zur Widerstandsfähigkeit gegen angriffsbedingte Ausfälle an: Aktivieren Sie den Azure DDoS-Netzwerkschutz in virtuellen Netzwerken mit öffentlichen IP-Ressourcen, damit volumetrische Angriffe gemindert werden, bevor sie Serviceausfälle verursachen. Stellen Sie sicher, dass sekundäre oder Failover-virtuelle Netzwerke über einen entsprechenden DDoS-Schutz verfügen. Weitere Informationen finden Sie in der Übersicht über Azure DDoS Protection.
Sichern Sie verbundene Ressourcen und kundenverwaltete Schlüssel: Obwohl virtuelle Netzwerke kein traditionelles Backup benötigen, stellen Sie sicher, dass virtuelle Maschinen und andere mit Ihren Netzwerken verbundene Ressourcen gegebenenfalls mit Azure Backup geschützt sind. Wenn Sie kundenverwaltete Schlüssel für die Verschlüsselung in der Netzwerkumgebung verwenden, sichern Sie die Schlüssel in Azure Key Vault und aktivieren Sie Soft-Delete- und Purge-Schutz. Weitere Informationen finden Sie unter Azure Backup und Azure Key Vault Backup.