Sécuriser votre déploiement Azure Network Watcher

Azure Network Watcher fournit des outils de surveillance, de diagnostic et de journalisation du trafic pour Azure ressources IaaS. Il vous permet de capturer des paquets, d’analyser les journaux de flux, de diagnostiquer les problèmes de connectivité et d’inspecter les règles de groupe de sécurité réseau. Étant donné que Network Watcher a une grande visibilité sur le trafic et la configuration de votre réseau, la sécurisation de son déploiement, ses sorties de données et les identités qui y accèdent est essentielle. Cet article fournit des recommandations de sécurité pour Azure Network Watcher.

Pour obtenir une vue d'ensemble des services de sécurité réseau de Azure et de leur fonctionnement ensemble, consultez Quel est Azure sécurité réseau ?.

Les recommandations de sécurité de cet article implémentent des principes de confiance zéro : « Vérifier explicitement », « Utiliser l’accès au privilège minimum » et « Supposer une violation ». Pour obtenir des conseils complets sur la confiance zéro, consultez le Centre d’aide sur la confiance Zéro.

Sécurité spécifique au service

La plupart des outils de Network Watcher sont uniquement destinés à l’observation, mais des fonctionnalités comme la capture de paquets installent et utilisent l’extension AzureNetworkWatcherExtension sur les machines virtuelles cibles et nécessitent des autorisations sur les ressources de calcul et les extensions. Étant donné que Network Watcher collecte des données sensibles, notamment les charges utiles de paquets, les enregistrements de flux et les informations de topologie, traitez Network Watcher et ses magasins de données comme des composants sensibles à la sécurité :

  • Limiter les régions dans lesquelles Network Watcher est activé : Network Watcher est automatiquement activé dans chaque région où vous disposez de ressources de réseau virtuel. Si vous n'avez pas besoin de diagnostics dans une région particulière, désactivez Network Watcher là pour réduire votre surface d'attaque, mais planifiez attentivement : la suppression d'une instance de Network Watcher régionale supprime toutes les Network Watcher les opérations en cours d'exécution, les données historiques et les alertes sans option de restauration. Pour plus d’informations, consultez Activer ou désactiver Azure Network Watcher.

  • Traitez les comptes de stockage des journaux de flux comme sensibles à la sécurité : les journaux de flux et les captures de paquets contiennent des données détaillées sur le trafic réseau. Limitez l’accès aux comptes de stockage qui contiennent ces données avec la même rigueur que celle que vous appliquez à d’autres magasins de données sensibles à la sécurité. Pour plus d’informations, consultez Configurer Pare-feu et réseaux virtuels dans Stockage Azure.

  • Comprendre l’étendue de Network Watcher : Network Watcher a une portée définie pour chaque abonnement et pour chaque région. Chaque abonnement peut avoir une instance Network Watcher par région. Planifiez vos contrôles d’identité et d’accès en conséquence lors de l’utilisation de plusieurs abonnements. Pour plus d’informations, consultez Qu’est-ce que Azure Network Watcher ?.

Sécurité du réseau

Network Watcher est avant tout un outil permettant d’analyser la sécurité du réseau. Les recommandations suivantes se concentrent sur la sécurisation des chemins d’accès réseau et des ressources de stockage dont dépend Network Watcher. Pour obtenir des recommandations sur la sécurisation de vos réseaux virtuels eux-mêmes, consultez Secure your Réseau virtuel Azure deployment.

  • Utilisez les journaux de flux de réseau virtuel au lieu des journaux de flux NSG : les journaux de flux NSG seront mis hors service le 30 septembre 2027 et aucun nouveau journal de flux NSG ne peut être créé après le 30 juin 2025. Migrez des déploiements existants vers des journaux de flux de réseau virtuel, qui fonctionnent au niveau de l’étendue du réseau virtuel, éliminent la journalisation en double des évaluations de groupe de sécurité réseau imbriquées et fournissent le suivi de l’état du chiffrement. Désactivez les journaux de flux NSG avant d’activer les journaux de flux de réseau virtuel dans la même étendue pour éviter les données redondantes et les coûts. Pour plus d’informations, consultez Migration des journaux de flux NSG vers les journaux de flux de réseau virtuel et vue d’ensemble des journaux de flux de réseau virtuel.

  • Restreindre l’accès réseau aux comptes de stockage des journaux de flux : configurez des pare-feu et des règles de réseau virtuel sur les comptes de stockage qui reçoivent des journaux de flux. Si vous placez le compte de stockage derrière un pare-feu, autorisez les services Microsoft approuvés afin que Network Watcher puisse écrire des données de journal de flux, ou utiliser un point de terminaison privé ou un point de terminaison de service pour le compte de stockage. Pour plus d’informations, consultez la FAQ de Network Watcher.

  • Utiliser des points de terminaison privés pour les comptes de stockage de journaux de flux : si vos journaux de flux contiennent des métadonnées de trafic sensibles, utilisez des points de terminaison privés sur le compte de stockage pour conserver le transfert de données sur le réseau principal Microsoft et hors de l’Internet public. Pour plus d’informations, consultez Utiliser des points de terminaison privés pour stockage Azure.

  • Stockage de capture de paquets sécurisé : les captures de paquets peuvent contenir des données de charge utile complètes et sont stockées sur le disque local de la machine virtuelle ou dans un objet blob de stockage. Appliquez les mêmes restrictions d’accès réseau aux comptes de stockage de capture de paquets que vous appliquez au stockage du journal de flux. Pour obtenir plus d’informations, consultez Présentation de la capture de paquets.

Gestion de l’identité et de l’accès

  • Assigner les rôles de privilège minimum pour les opérations Network Watcher : le rôle intégré Contributeur réseau accorde l’accès aux fonctionnalités Network Watcher, mais exclut intentionnellement les actions Microsoft.Storage/*, Microsoft.Compute/* et Microsoft.OperationalInsights/workspaces/*. Attribuez des autorisations supplémentaires uniquement aux identités qui doivent configurer les journaux de flux, les captures de paquets ou l’analytique du trafic. Pour plus d’informations, consultez les autorisations RBAC requises pour utiliser Network Watcher.

  • Créer des rôles RBAC personnalisés pour les tâches spécialisées : au lieu d’accorder un contributeur ou un propriétaire au niveau de l’abonnement, créez des rôles personnalisés qui incluent uniquement les actions de Network Watcher nécessaires pour chaque équipe. Par exemple, une équipe de surveillance peut avoir besoin d’un accès en lecture aux journaux de flux, mais pas de la possibilité de créer des captures de paquets. Pour plus d’informations, consultez Rôles Azure personnalisés.

  • Utilisez des identités managées pour les journaux de flux de réseau virtuel : configurez une identité managée affectée par l’utilisateur pour autoriser les écritures de journaux de flux dans les comptes de stockage. Cette approche élimine le besoin de clés de compte de stockage ou de jetons SAP et s’aligne sur les principes de Confiance nulle. Affectez le rôle Contributeur aux données Blob du stockage à l'identité managée sur le compte de stockage cible. Pour plus d’informations, consultez Identité managée pour les journaux de flux de réseau virtuel.

  • Limiter les personnes pouvant initier des captures de paquets : la capture de paquets crée une extension de machine virtuelle et peut accéder au trafic réseau brut. Limitez l’autorisation Microsoft.Network/networkWatchers/packetCaptures/write aux équipes de sécurité et d’exploitation qui ont un besoin légitime d’inspection au niveau de la charge utile. Pour plus d’informations, consultez les autorisations RBAC requises pour utiliser Network Watcher.

  • Définissez précisément les autorisations pour l’analyse du trafic : l’analyse du trafic nécessite des autorisations sur les espaces de travail Log Analytics, les règles de collecte de données et les points de terminaison de collecte de données, outre Network Watcher. Les autorisations héritées des groupes d’administration ne sont pas prises en charge pour l’analytique du trafic : affectez-les au niveau de l’abonnement ou du groupe de ressources. Pour plus d’informations, consultez les autorisations RBAC requises pour utiliser Network Watcher.

Protection de données

  • Activer le chiffrement sur les comptes de stockage des journaux de flux : utilisez le chiffrement d’stockage Azure avec des clés gérées par Microsoft ou des clés gérées par le client pour les données des journaux de flux au repos. Si vous utilisez des clés gérées par le client, sachez que la rotation de la clé entraîne l’arrêt des journaux de flux de réseau virtuel. Vous devez désactiver, puis réactiver les journaux de flux après la rotation des clés. Pour plus d’informations, consultez le chiffrement des données au repos dans stockage Azure.

  • Protéger les données de capture de paquets au repos : les captures de paquets stockées dans Stockage Blob Azure sont chiffrées au repos par stockage Azure chiffrement. Lors du stockage des captures sur le disque local d'une machine virtuelle, chiffrez le disque à l'aide de Azure Disk Encryption ou du chiffrement sur l'hôte. Pour obtenir plus d’informations, consultez Présentation de la capture de paquets.

  • Activer l’accès à la clé pour le stockage de capture de paquets : la capture de paquets utilise des jetons SAP pour autoriser les écritures dans des comptes de stockage, et l’accès à la clé doit être activé sur le compte de stockage pour autoriser ces jetons SAP. Si l’accès à la clé n’est pas activé, enregistrez les captures de paquets sur le disque local de la machine virtuelle à la place. Pour obtenir plus d’informations, consultez Présentation de la capture de paquets.

  • Restreindre l’accès à l’espace de travail Log Analytics pour Traffic Analytics : Traffic Analytics envoie des données de flux agrégées et enrichies à un espace de travail Log Analytics. Utilisez le contrôle d’accès au niveau de l’espace de travail ou le RBAC au niveau des ressources pour restreindre les personnes pouvant interroger ces données. Pour plus d’informations, consultez Gérer l’accès aux espaces de travail Log Analytics.

Enregistrement et surveillance

  • Activer la collecte des journaux d’activité pour les opérations Network Watcher : Acheminez le journal d’activité Azure vers un espace de travail Log Analytics ou un compte de stockage afin de pouvoir auditer qui a créé, modifié ou supprimé les ressources Network Watcher, les journaux de flux et les captures de paquets. Pour plus d’informations, consultez le journal d’activité Azure.

  • Intégrez l’analyse du trafic à Microsoft Sentinel : connectez les données d’analyse du trafic à Microsoft Sentinel pour la détection, l’investigation et la corrélation avec d’autres sources de données de sécurité. Sentinel fournit des règles d’analyse pour des détections telles que les attaques par force brute RDP, les balayages de ports, les anomalies de trafic, les scans de ports, un nombre excessif d’échecs de connexion, les anomalies SMB, les communications de balisage et l’utilisation abusive des ports. Pour plus d’informations, consultez Integrate Microsoft Sentinel avec l’analytique du trafic.

  • Utilisez l’analytique du trafic pour détecter les anomalies réseau : activez l’analytique du trafic sur vos journaux de flux pour identifier les ports ouverts sur Internet, les machines virtuelles communiquant avec des adresses IP connues incorrectes et le trafic interrégion inattendu. Utilisez le tableau de bord d’analyse du trafic dans le portail Azure pour une visibilité continue de la sécurité. Pour plus d’informations, consultez Traffic Analytics.

  • Appliquez la segmentation Confiance nulle grâce à l’analyse du trafic : utilisez les données d’analyse du trafic pour passer d’une politique réseau « tout autoriser » à une politique « tout refuser ». Analysez les modèles de trafic observés pour créer des règles d’autorisation sélectives, détecter le trafic provenant de régions à haut risque et identifier les lacunes de segmentation du réseau. Pour plus d’informations, consultez Appliquer les principes Confiance nulle grâce à l’analytique du trafic.

Gouvernance et conformité

  • Appliquer l’activation des journaux de flux avec Azure Policy : utilisez les stratégies Azure intégrées pour auditer et déployer automatiquement les journaux de flux du réseau virtuel dans l’ensemble de vos abonnements. Cette approche garantit que les nouveaux réseaux virtuels ont automatiquement activé la journalisation des flux et signale les ressources non conformes. Pour plus d’informations, consultez Manage des journaux de flux de réseau virtuel à l’aide de Azure Policy.

  • Appliquer l’analyse du trafic avec Azure Policy : utilisez des stratégies intégrées pour vérifier si l’analyse du trafic est activée sur vos journaux de flux. Les stratégies deployIfNotExists intégrées pour l’analyse du trafic configurent les journaux des flux NSG, qui ne peuvent plus être créés après le 30 juin 2025 et seront mis hors service le 30 septembre 2027 ; utilisez les journaux des flux de réseau virtuel pour les nouveaux déploiements. Pour plus d’informations, consultez Gérer Traffic Analytics à l’aide d’Azure Policy et Migrer des journaux de flux NSG vers les journaux de flux du réseau virtuel.

  • Utilisez des diagnostics NSG et des règles de sécurité efficaces pour les audits de conformité : avant et après avoir apporté des modifications réseau, utilisez les diagnostics NSG pour vérifier que des flux de trafic spécifiques sont correctement autorisés ou refusés. Utilisez des règles de sécurité efficaces pour exporter un csv téléchargeable de toutes les règles entrantes et sortantes pour la documentation d’audit. Pour plus d’informations, consultez la vue d’ensemble des diagnostics du groupe de sécurité réseau et la vue d’ensemble des règles de sécurité effectives.

  • Valider les règles de flux IP avant et après les modifications : utilisez la vérification du flux IP pour vérifier que les règles d’autorisation et de refus prévues sont appliquées à des machines virtuelles spécifiques avant de déployer des modifications en production. Cela empêche l’exposition involontaire de règles de groupe de sécurité réseau mal configurées ou de Azure Virtual Network Manager. Pour plus d’informations, consultez la vue d’ensemble de la vérification du flux IP.

Sauvegarde et récupération

  • Configurez les stratégies de rétention des journaux de flux : pour les journaux de flux NSG, définissez des stratégies de rétention pour supprimer automatiquement les anciennes données après une période définie, jusqu’à 365 jours. Pour les journaux de flux du réseau virtuel, utilisez la gestion du cycle de vie d’stockage Azure sur les comptes de stockage v2 à usage général pour automatiser la hiérarchisation et la suppression. Pour plus d’informations, consultez la vue d’ensemble des journaux de flux NSG et Optimisation des coûts par la gestion du cycle de vie des données.

  • Utilisez le stockage géoredondant pour les données de journal de flux : si les journaux de flux sont essentiels à vos enquêtes de conformité ou d’investigation, stockez-les dans un stockage géoredondant (GRS) ou un compte de stockage géoredondant à accès en lecture (RA-GRS) pour vous protéger contre les pannes régionales. Pour plus d’informations, consultez redondance de stockage Azure.

  • Back up traffic analytics configurations : Documentez ou exportez vos configurations d’analyse du trafic, notamment les espaces de travail Log Analytics associés, les règles de collecte de données et les paramètres du journal de flux. Si vous devez recréer votre environnement, avoir un enregistrement de configuration réduit le temps de récupération. Pour plus d’informations, consultez Traffic Analytics.

  • Planifier l’impact de la rotation des clés gérées par le client : si vous utilisez des clés gérées par le client sur vos comptes de stockage de journaux de flux, documentez le processus de désactivation et de réactivation des journaux de flux après la rotation des clés. Incluez cette procédure dans vos runbooks opérationnels pour éviter les lacunes dans la journalisation. Pour plus d’informations, consultez la vue d’ensemble des journaux de flux de réseau virtuel.

Étapes suivantes

  • Dernière mise à jour :