Menerapkan prinsip Zero Trust untuk mendapatkan visibilitas ke dalam lalu lintas jaringan

Artikel ini menyediakan panduan untuk menerapkan prinsip Zero Trust untuk mensegmentasi jaringan di lingkungan Azure. Berikut adalah prinsip Zero Trust.

Prinsip Zero Trust Definisi
Memverifikasi secara eksplisit Selalu autentikasi dan otorisasi berdasarkan semua titik data yang tersedia.
Gunakan akses dengan hak istimewa paling rendah Batasi akses pengguna dengan Just-In-Time dan Just-Enough-Access (JIT/JEA), kebijakan adaptif berbasis risiko, dan perlindungan data.
Mengasumsikan pembobolan Minimalkan radius ledakan dan akses segmen. Verifikasi enkripsi menyeluruh dan gunakan analitik untuk mendapatkan visibilitas, mendorong deteksi ancaman, dan meningkatkan pertahanan.

Prinsip ini dipenuhi dengan menggunakan analitik untuk mendapatkan visibilitas ke dalam lalu lintas jaringan di infrastruktur Azure Anda.

Artikel ini adalah bagian dari serangkaian artikel yang menunjukkan cara menerapkan prinsip Zero Trust ke jaringan Azure.

Jenis lalu lintas jaringan yang tercakup dalam artikel ini adalah:

  • Terpusat
  • Lalu lintas timur-barat, yang merupakan arus lalu lintas antara jaringan virtual (VNet) Azure Anda dan layanan Azure dan jaringan lokal Anda
  • Utara-selatan, yang merupakan arus lalu lintas antara lingkungan Azure Anda dan Internet

Arsitektur referensi

Diagram berikut menunjukkan arsitektur referensi untuk panduan Zero Trust ini untuk inspeksi lalu lintas antara VNet lokal dan Azure, antara Azure VNets dan layanan Azure, dan antara lingkungan Azure Anda dan Internet.

Diagram memperlihatkan arsitektur referensi dan arus lalu lintas timur-barat dan utara-selatan.

Arsitektur referensi ini meliputi:

Apa yang ada di artikel ini?

Prinsip Zero Trust diterapkan di seluruh arsitektur referensi. Tabel berikut menjelaskan rekomendasi untuk memastikan visibilitas lalu lintas jaringan di seluruh arsitektur ini untuk asumsikan pelanggaran prinsip Zero Trust.

Langkah Tugas
1 Menerapkan titik inspeksi lalu lintas terpusat.
2 Menerapkan inspeksi lalu lintas timur-barat.
3 Menerapkan inspeksi lalu lintas utara-selatan.

Langkah 1: Menerapkan titik inspeksi lalu lintas terpusat

Inspeksi lalu lintas terpusat memberi Anda kemampuan untuk mengontrol dan memvisualisasikan lalu lintas yang masuk dan keluar dari jaringan Anda. Hub dan spoke VNet dan Azure Virtual WAN adalah dua topologi jaringan paling umum di Azure. Mereka memiliki kemampuan dan fitur yang berbeda dalam cara mereka menyambungkan jaringan. Dalam kedua desain, VNet hub adalah jaringan pusat dan digunakan untuk membagi beban kerja menjadi aplikasi dan beban kerja dari VNet hub ke VNet spoke. Inspeksi terpusat mencakup lalu lintas yang mengalir ke utara-selatan, timur-barat, atau keduanya.

Topologi hub dan spoke

Salah satu karakteristik model hub dan spoke adalah bahwa VNet semuanya dikelola oleh Anda. VNet yang dikelola oleh hub pelanggan berfungsi sebagai VNet bersama di mana VNet spoke lainnya terhubung. VNet terpusat ini biasanya digunakan:

  • Untuk membangun konektivitas hibrid ke jaringan lokal.
  • Untuk inspeksi lalu lintas dan segmentasi menggunakan Azure Firewall atau perangkat virtual jaringan (NVAs) pihak ketiga.
  • Untuk mempusatkan inspeksi layanan pengiriman aplikasi seperti Azure Application Gateway dengan WAF.

Dalam topologi ini, Anda menempatkan Azure Firewall atau NVA di VNet hub dan mengonfigurasi user defined routes (UDR) untuk mengarahkan lalu lintas dari VNet spoke serta dari jaringan on-premises Anda ke VNet hub. Azure Firewall atau NVA juga dapat berfungsi sebagai mesin rute untuk merutekan lalu lintas antara jaringan virtual spoke. Salah satu fitur terpenting dari model "hub and spoke VNet" yang dikelola oleh pelanggan adalah kontrol keseluruhan yang lebih terperinci atas lalu lintas menggunakan UDR (Rute yang Didefinisikan Pengguna) dan kemampuan untuk memodifikasi perutean, segmentasi, serta penyebaran rute-rute tersebut secara manual.

Azure Virtual WAN

Azure Virtual WAN adalah VNet hub yang dikelola Azure yang berisi instans Route Service di bawah kap yang mengawasi penyebaran rute dari dan ke semua cabang dan semua spoke. Ini secara efektif memungkinkan konektivitas apa pun.

Salah satu perbedaan besar dengan VNet yang dikelola (disebut hub virtual terkelola) adalah bahwa tingkat rincian kontrol perutean diabstraksi untuk pengguna. Beberapa manfaat utamanya meliputi:

  • Manajemen rute yang disederhanakan menggunakan konektivitas asli tipe any-to-any. Jika Anda memerlukan isolasi lalu lintas, Anda dapat mengonfigurasi tabel rute kustom atau rute statis secara manual dalam tabel rute default.
  • Hanya Virtual Network Gateway, Azure Firewall, dan perangkat Network Virtual Appliances (NVA) yang disetujui atau perangkat WAN yang didefinisikan perangkat lunak (SD-WAN) yang dapat disebarkan dalam hub. Layanan terpusat seperti DNS dan Application Gateway harus berada di VNet spoke reguler. Spoke perlu dilampirkan ke hub virtual menggunakan peering VNet.

VNet terkelola paling cocok untuk:

  • Penyebaran skala besar di seluruh wilayah yang memerlukan konektivitas transit yang menyediakan inspeksi lalu lintas ke dan dari lokasi mana pun.
  • Lebih dari 30 situs cabang atau lebih dari 100 terowongan keamanan Protokol Internet (IPsec).

Beberapa fitur terbaik dari Virtual WAN adalah infrastruktur perutean yang dapat diskalakan dan interkonektivitas. Contoh skalabilitas termasuk throughput 50 Gbps per hub dan 1.000 situs cabang. Untuk menskalakan lebih lanjut, beberapa hub virtual dapat saling terhubung untuk membuat jaringan jala Virtual WAN yang lebih besar. Manfaat lain dari Virtual WAN adalah kemampuan untuk menyederhanakan perutean untuk inspeksi lalu lintas dengan menyuntikkan awalan hanya dengan sekali klik.

Setiap desain membawa kelebihan dan kekurangannya sendiri. Pilihan yang sesuai harus ditentukan berdasarkan persyaratan overhead pertumbuhan dan manajemen di masa mendatang yang diantisipasi.

Langkah 2: Menerapkan inspeksi lalu lintas timur-barat

Arus lalu lintas timur-barat termasuk VNet-ke-VNet dan VNet-ke-lokal. Untuk memeriksa lalu lintas antara timur-barat, Anda dapat menyebarkan Azure Firewall atau NVA di jaringan virtual hub. Ini mengharuskan UDR untuk mengarahkan lalu lintas privat ke Azure Firewall atau NVA untuk diperiksa. Dalam VNet yang sama, Anda dapat menggunakan grup keamanan jaringan untuk kontrol akses, tetapi jika Anda memerlukan kontrol yang lebih dalam dengan inspeksi, Anda dapat menggunakan firewall lokal atau firewall terpusat di jaringan virtual hub dengan penggunaan UDR.

Dengan Azure Virtual WAN, Anda dapat menggunakan Azure Firewall atau NVA di dalam hub virtual untuk keperluan perutean terpusat. Anda dapat menggunakan Azure Firewall Manager atau niat perutean untuk memeriksa semua lalu lintas privat. Jika Anda ingin menyesuaikan inspeksi, Anda dapat memiliki Azure Firewall atau NVA di hub virtual untuk memeriksa lalu lintas yang diinginkan. Cara termudah untuk mengarahkan lalu lintas di lingkungan Virtual WAN adalah dengan mengaktifkan niatan perutean untuk lalu lintas privat. Fitur ini mengirimkan prefiks alamat pribadi (RFC 1918) ke semua spoke yang terhubung ke hub. Setiap lalu lintas yang ditujukan ke alamat IP privat akan diarahkan ke hub virtual untuk diperiksa.

Setiap metode memiliki kelebihan dan kekurangannya. Keuntungan menggunakan niat routing adalah penyederhanaan pengelolaan UDR, namun Anda tidak dapat menyesuaikan pemeriksaan per koneksi. Keuntungan dari tidak menggunakan tujuan perutean atau Firewall Manager adalah Anda dapat menyesuaikan pemeriksaan. Kerugiannya adalah Anda tidak dapat melakukan inspeksi lalu lintas antar-wilayah.

Diagram berikut menunjukkan lalu lintas timur-barat di dalam lingkungan Azure.

Diagram memperlihatkan arsitektur referensi dengan lalu lintas timur-barat di dalam lingkungan Azure.

Untuk visibilitas ke lalu lintas jaringan Anda dalam Azure, Microsoft merekomendasikan implementasi Azure Firewall atau NVA di VNet Anda. Azure Firewall dapat memeriksa lalu lintas lapisan jaringan dan lapisan aplikasi. Selain itu, Azure Firewall menyediakan fitur tambahan seperti Intrusion Detection and Prevention System (IDPS), pemeriksaan Transport Layer Security (TLS), pemfilteran URL, dan pemfilteran Kategori Web.

Penyertaan Azure Firewall atau NVA di jaringan Azure Anda sangat penting untuk mematuhi prinsip Asumsikan pelanggaran Zero Trust untuk jaringan. Mengingat bahwa pelanggaran dapat terjadi setiap kali data melintasi jaringan, penting untuk memahami dan mengendalikan lalu lintas mana yang diizinkan mencapai tujuannya. Azure Firewall, UDR, dan kelompok keamanan jaringan memainkan peran penting dalam mengaktifkan model lalu lintas yang aman dengan mengizinkan atau menolak lalu lintas di seluruh beban kerja.

Untuk melihat detail selengkapnya tentang arus lalu lintas VNet, Anda dapat mengaktifkan log alur VNet atau log alur NSG. Data log alur disimpan di akun Azure Storage tempat Anda dapat mengakses dan mengekspornya ke alat visualisasi, seperti Azure Traffic Analytics. Dengan Azure Traffic Analytics, Anda dapat menemukan lalu lintas yang tidak diketahui atau tidak diinginkan, memantau tingkat lalu lintas dan penggunaan bandwidth, atau memfilter lalu lintas tertentu untuk memahami perilaku aplikasi Anda.

Langkah 3: Menerapkan inspeksi lalu lintas utara-selatan

Lalu lintas utara-selatan biasanya mencakup lalu lintas antara jaringan privat dan Internet. Untuk memeriksa lalu lintas utara-selatan di topologi hub dan spoke, Anda dapat menggunakan UDR untuk mengarahkan lalu lintas ke instans Azure Firewall atau NVA. Untuk iklan dinamis, Anda dapat menggunakan Azure Route Server dengan NVA yang mendukung BGP untuk mengarahkan semua lalu lintas yang terikat Internet dari VNet ke NVA.

Di Azure Virtual WAN, untuk mengarahkan lalu lintas utara-selatan dari VNet ke Azure Firewall atau NVA yang didukung di hub virtual, Anda dapat menggunakan skenario umum ini:

  • Gunakan NVA atau Azure Firewall di hub virtual yang dikontrol dengan Routing-Intent atau dengan Azure Firewall Manager untuk mengarahkan lalu lintas utara-selatan.
  • Jika NVA Anda tidak didukung di dalam hub virtual, Anda dapat menyebarkannya di VNet spoke dan mengarahkan lalu lintas dengan UDR untuk diperiksa. Hal yang sama berlaku untuk Azure Firewall. Atau, Anda juga dapat melakukan peering BGP pada NVA dalam spoke dengan hub virtual untuk mengiklankan rute default (0.0.0.0/0).

Diagram berikut menunjukkan lalu lintas utara-selatan antara lingkungan Azure dan Internet.

Diagram memperlihatkan arsitektur referensi dan lalu lintas utara-selatan antara lingkungan Azure dan Internet.

Azure menyediakan layanan jaringan berikut yang dirancang untuk menawarkan visibilitas ke dalam lalu lintas jaringan yang memasuki dan keluar dari lingkungan Azure Anda.

Azure DDoS Protection

Azure DDoS Protection dapat diaktifkan pada VNet apa pun yang memiliki sumber daya IP publik untuk memantau dan mengurangi kemungkinan serangan Penolakan Layanan Terdistribusi (DDoS). Proses mitigasi ini melibatkan analisis pemanfaatan lalu lintas terhadap ambang yang telah ditentukan sebelumnya dalam kebijakan DDoS, diikuti dengan mencatat informasi ini untuk pemeriksaan lebih lanjut. Agar lebih siap untuk insiden di masa mendatang, Azure DDoS Protections menawarkan kemampuan untuk melakukan simulasi terhadap alamat dan layanan IP publik Anda, memberikan wawasan berharga tentang ketahanan dan respons aplikasi Anda selama serangan DDoS.

Azure Firewall

Azure Firewall menyediakan kumpulan alat untuk memantau, mengaudit, dan menganalisis lalu lintas jaringan.

  • Log dan metrik

    Azure Firewall mengumpulkan log terperinci dengan mengintegrasikan dengan ruang kerja Azure Log Analytics. Anda dapat menggunakan kueri Bahasa Kueri Kusto (KQL) untuk mengekstrak informasi tambahan tentang kategori aturan utama, seperti aturan aplikasi dan jaringan. Anda juga dapat mengambil log yang khusus untuk sumber daya yang memperluas skema dan struktur dari tingkat jaringan ke inteligensi ancaman dan log IDPS. Untuk informasi selengkapnya, lihat Log terstruktur Azure Firewall.

  • Buku kerja

    Azure Firewall menyediakan buku kerja yang menyajikan data yang dikumpulkan menggunakan grafik aktivitas dari waktu ke waktu. Alat ini juga membantu Anda memvisualisasikan beberapa sumber daya Azure Firewall dengan menggabungkannya ke dalam antarmuka terpadu. Untuk informasi selengkapnya, lihat Menggunakan Buku Kerja Azure Firewall.

  • Analitik kebijakan

    Azure Firewall Policy Analytics memberikan gambaran umum tentang kebijakan yang Anda terapkan dan berdasarkan wawasan kebijakan, analitik aturan, dan analitik arus lalu lintas, kebijakan tersebut menyetel dan memodifikasi kebijakan yang diterapkan untuk menyesuaikan dengan pola dan ancaman lalu lintas. Untuk informasi selengkapnya, lihat Azure Firewall Policy Analytics.

Kemampuan ini memastikan bahwa Azure Firewall tetap menjadi solusi yang kuat untuk mengamankan lalu lintas jaringan dengan menyediakan alat yang diperlukan administrator untuk manajemen jaringan yang efektif.

Application Gateway

Application Gateway menyediakan kemampuan penting untuk memantau, mengaudit, dan menganalisis lalu lintas untuk tujuan keamanan. Dengan mengaktifkan analitik log dan menggunakan kueri KQL yang telah ditentukan atau kustom, Anda dapat melihat kode kesalahan HTTP, termasuk yang berada dalam rentang 4xx dan 5xx yang penting untuk mengidentifikasi masalah.

Log akses Application Gateway juga memberikan wawasan penting tentang parameter terkait keamanan utama seperti alamat IP klien, URI permintaan, versi HTTP, dan nilai konfigurasi khusus SSL/TLS seperti protokol, suite cipher TLS, dan kapan enkripsi SSL diaktifkan.

Azure Front Door

Azure Front Door menggunakan Anycast TCP untuk merutekan lalu lintas ke titik kehadiran pusat data (PoP) terdekat. Seperti load balancer konvensional, Anda dapat menempatkan Azure Firewall atau NVA di pool back-end Azure Front Door, yang juga dikenal sebagai asalnya. Satu-satunya persyaratan adalah bahwa alamat IP di asalnya bersifat publik.

Setelah Anda mengonfigurasi Azure Front Door untuk menerima permintaan, azure Front Door menghasilkan laporan lalu lintas untuk menunjukkan bagaimana profil Azure Front Door berperilaku. Saat Anda menggunakan tingkat Azure Front Door Premium, laporan keamanan juga tersedia untuk menampilkan kecocokan dengan aturan WAF, termasuk aturan Open Worldwide Application Security Project (OWASP), aturan perlindungan bot, dan aturan kustom.

Azure WAF

Azure WAF adalah fitur keamanan tambahan yang memeriksa lalu lintas lapisan 7 dan dapat diaktifkan untuk Application Gateway dan Azure Front Door dengan tingkat tertentu. Ini menyediakan lapisan keamanan tambahan untuk lalu lintas yang tidak berasal dari Azure. Anda dapat mengonfigurasi WAF dalam mode pencegahan dan deteksi menggunakan definisi aturan inti OWASP.

Alat pemantauan

Untuk pemantauan komprehensif arus lalu lintas utara-selatan, Anda dapat menggunakan alat seperti log alur NSG, Azure Traffic Analytics, dan log alur VNet untuk meningkatkan visibilitas ke dalam jaringan.

Langkah berikutnya

Untuk informasi tambahan tentang menerapkan Zero Trust ke jaringan Azure, lihat:

Referensi

Lihat tautan ini untuk mempelajari tentang berbagai layanan dan teknologi yang disebutkan dalam artikel ini.

  • Last updated on