Penegakan jaringan virtual dengan aturan admin keamanan di Azure Virtual Network Manager
Dalam artikel ini, Anda akan mempelajari bagaimana aturan admin keamanan memberikan penegakan kebijakan keamanan yang fleksibel dan dapat diskalakan melalui alat seperti kelompok keamanan jaringan. Pertama, Anda mempelajari berbagai model penegakan jaringan virtual. Kemudian, Anda mempelajari langkah-langkah umum untuk memberlakukan keamanan dengan aturan admin keamanan.
Penegakan jaringan virtual
Dengan kelompok keamanan jaringan (NSG) saja, penegakan luas pada jaringan virtual di beberapa aplikasi, tim, atau bahkan seluruh organisasi bisa rumit. Seringkali ada tindakan penyeimbangan antara upaya penegakan terpusat di seluruh organisasi dan menyerahkan kontrol yang terperinci dan fleksibel kepada tim.
Aturan admin keamanan bertujuan untuk menghilangkan skala geser ini antara penegakan dan fleksibilitas sama sekali dengan mengonsolidasikan pro masing-masing model ini sekaligus mengurangi kontra masing-masing. Tim tata kelola pusat membangun rel penjaga melalui aturan admin keamanan, sambil tetap memberikan ruang bagi tim individu untuk secara fleksibel menentukan keamanan sesuai kebutuhan melalui aturan NSG. Aturan admin keamanan tidak dimaksudkan untuk mengambil alih aturan NSG. Sebaliknya, mereka bekerja dengan aturan NSG untuk memberikan penegakan dan fleksibilitas di seluruh organisasi Anda.
Model Penegakan
Mari kita lihat beberapa model umum manajemen keamanan tanpa aturan admin keamanan, dan pro dan kontra mereka:
Model 1 - Manajemen tim tata kelola pusat dengan NSG
Dalam model ini, tim tata kelola pusat dalam organisasi mengelola semua NSG.
| Pro | Kontra |
|---|---|
| Tim tata kelola pusat dapat menegakkan aturan keamanan penting. | Overhead operasional tinggi karena admin perlu mengelola setiap NSG, karena jumlah NSG meningkat, beban meningkat. |
Model 2 - Manajemen tim individu dengan NSG
Dalam model ini, tim individu dalam organisasi tanpa tim tata kelola terpusat mengelola NSG mereka sendiri.
| Pro | Kontra |
|---|---|
| Tim individu memiliki kontrol yang fleksibel dalam menyesuaikan aturan keamanan berdasarkan persyaratan layanan mereka. | Tim tata kelola pusat tidak dapat menerapkan aturan keamanan penting, seperti memblokir port berisiko. Tim individu mungkin juga salah mengonfigurasi atau lupa melampirkan NSG, yang mengarah ke eksposur kerentanan. |
Model 3 - NSG dibuat melalui Azure Policy dan dikelola oleh tim individual.
Dalam model ini, tim individu masih mengelola NSG mereka. Perbedaannya adalah NSG dibuat menggunakan Azure Policy untuk menetapkan aturan standar. Memodifikasi aturan ini akan memicu pemberitahuan audit.
| Pro | Kontra |
|---|---|
| Tim individu memiliki kontrol yang fleksibel dalam menyesuaikan aturan keamanan. Tim tata kelola pusat dapat membuat aturan keamanan standar dan menerima pemberitahuan jika aturan dimodifikasi. |
Tim tata kelola pusat masih tidak dapat memberlakukan aturan keamanan standar, karena pemilik NSG dalam tim masih dapat memodifikasinya. Pemberitahuan juga akan sangat luar biasa untuk dikelola. |
Penegakan lalu lintas jaringan dan pengecualian dengan aturan admin keamanan
Mari kita terapkan konsep yang dibahas sejauh ini ke skenario contoh. Administrator jaringan perusahaan ingin menerapkan aturan keamanan untuk memblokir lalu lintas SSH masuk untuk seluruh perusahaan. Penegakan jenis aturan keamanan ini sulit tanpa aturan admin keamanan. Jika administrator mengelola semua NSG, overhead manajemen tinggi, dan administrator tidak dapat dengan cepat menanggapi kebutuhan tim produk untuk memodifikasi aturan NSG. Di sisi lain, jika tim produk mengelola NSG mereka sendiri tanpa aturan admin keamanan, maka administrator tidak dapat menerapkan aturan keamanan penting, sehingga risiko keamanan potensial terbuka. Menggunakan aturan admin keamanan dan NSG dapat menyelesaikan dilema ini.
Dalam hal ini, Administrator dapat membuat aturan admin keamanan untuk memblokir lalu lintas SSH masuk untuk semua jaringan virtual di perusahaan. Administrator juga dapat membuat aturan admin keamanan untuk mengizinkan lalu lintas SSH masuk untuk jaringan virtual tertentu yang memerlukan pengecualian. Aturan admin keamanan diberlakukan di seluruh perusahaan, dan administrator masih dapat mengizinkan pengecualian untuk jaringan virtual tertentu. Ini dilakukan melalui penggunaan urutan prioritas untuk setiap aturan.
Diagram menunjukkan bagaimana administrator dapat mencapai tujuan berikut:
- Menerapkan aturan admin keamanan di seluruh organisasi.
- Izinkan pengecualian bagi tim aplikasi untuk menangani lalu lintas SSH.
Langkah 1: Membuat instans manajer jaringan
Administrator perusahaan dapat membuat manajer jaringan dengan grup manajemen akar perusahaan sebagai cakupan instans manajer jaringan ini.
Langkah 2: Membuat grup jaringan untuk jaringan virtual
Administrator membuat dua grup jaringan – SEMUA grup jaringan yang terdiri dari semua jaringan virtual dalam organisasi, dan Grup jaringan aplikasi yang terdiri dari jaringan virtual untuk aplikasi yang memerlukan pengecualian. SEMUA grup jaringan dalam diagram di atas terdiri dari VNet 1 hingga VNet 5, dan Grup jaringan aplikasi memiliki VNet 4 dan VNet 5. Pengguna dapat dengan mudah menentukan kedua grup jaringan menggunakan keanggotaan dinamis.
Langkah 3: Membuat konfigurasi admin keamanan
Dalam langkah ini, dua aturan admin keamanan didefinisikan dengan konfigurasi admin keamanan berikut:
- aturan admin keamanan untuk memblokir lalu lintas SSH masuk untuk SEMUA grup jaringan dengan prioritas lebih rendah 100.
- aturan admin keamanan untuk mengizinkan lalu lintas SSH masuk untuk grup jaringan Aplikasi dengan prioritas lebih tinggi 10.
Langkah 4: Menyebarkan konfigurasi admin keamanan
Setelah penyebaran konfigurasi admin keamanan, semua jaringan virtual di perusahaan memiliki aturan lalu lintas SSH masuk yang diberlakukan oleh aturan admin keamanan. Tidak ada tim individu yang dapat mengubah aturan tolak, hanya administrator perusahaan yang ditentukan yang dapat. Jaringan virtual Aplikasi memiliki aturan lalu lintas SSH masuk yang diizinkan dan aturan lalu lintas SSH masuk yang ditolak (diwarisi dari Semua aturan grup jaringan). Dengan nomor prioritas yang lebih kecil pada aturan lalu lintas SSH masuk yang diizinkan untuk grup jaringan Aplikasi, aturan dievaluasi terlebih dahulu. Ketika lalu lintas SSH masuk masuk ke VNet Aplikasi, aturan admin keamanan prioritas yang lebih tinggi memungkinkan lalu lintas. Dengan asumsi ada NSG pada subnet jaringan virtual Aplikasi, lalu lintas SSH masuk ini selanjutnya dievaluasi berdasarkan NSG yang ditetapkan oleh tim aplikasi. Metodologi aturan admin keamanan yang dijelaskan di sini memungkinkan administrator perusahaan untuk secara efektif menegakkan kebijakan perusahaan dan membuat rel penjaga keamanan yang fleksibel di seluruh organisasi yang bekerja dengan NSG.