Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
La rete virtuale di Azure è il blocco predefinito fondamentale per la rete privata in Azure. Rete virtuale di Azure aiuta le risorse Azure a comunicare in modo sicuro tra loro, con internet e con le reti on-premises. Le implementazioni sicure di reti virtuali utilizzano segmentazione di rete, ispezione del traffico, controlli di identità, monitoraggio e progettazione resiliente per proteggere l'infrastruttura di rete e prevenire accessi non autorizzati alle risorse.
Questo articolo fornisce raccomandazioni di sicurezza per Rete virtuale di Azure. Quando implementi queste raccomandazioni, aiuti a adempiere ai tuoi obblighi di sicurezza e a migliorare la postura generale di sicurezza della tua implementazione. Per una panoramica dei servizi di sicurezza di rete di Azure e di come lavorano insieme, consulta Cos'è la sicurezza di rete di Azure?
Le raccomandazioni sulla sicurezza in questo articolo implementano i principi Zero Trust: "Verificare in modo esplicito", "Usare l'accesso con privilegi minimi" e "Presupporre violazione". Per indicazioni complete su Zero Trust, vedere Zero Trust Guidance Center.
Sicurezza della rete
La sicurezza di rete per le reti virtuali si concentra sul controllo del flusso del traffico, sull'implementazione della segmentazione e sulla protezione da minacce esterne. Controlli di rete appropriati aiutano a isolare i carichi di lavoro, prevenire movimenti laterali e difendersi da attacchi di denial-of-service distribuiti.
Segmentare i carichi di lavoro utilizzando gruppi di sicurezza di rete e gruppi di sicurezza applicativo: applicare i gruppi di sicurezza di rete (NSG) a sottoreti e interfacce di rete per controllare il traffico in entrata e in uscita in base a IP sorgente, IP di destinazione, porta e protocollo. Utilizzare i gruppi di sicurezza applicativa per raggruppare logicamente le macchine virtuali e definire politiche di sicurezza di rete basate sulla struttura applicativa. Utilizzare un approccio di negazione per default, permesso per eccezione per ridurre la superficie di attacco. Per altre informazioni, vedere Gruppi di sicurezza di rete.
Applica regole di rete di base utilizzando regole di amministrazione della sicurezza: Usa le regole di amministrazione della sicurezza in gestione rete virtuale di Azure per applicare centralmente le regole di permesso, sempre permesso e negazione tra reti virtuali gestite. Utilizzali per bloccare porte ad alto rischio, imporre la segmentazione e ridurre il rischio che la cattiva configurazione NSG a livello di carico di lavoro aggiri le policy a livello di organizzazione. Per ulteriori informazioni, consulta le regole di amministrazione della sicurezza in gestione rete virtuale di Azure.
Implementa Firewall di Azure per una protezione centralizzata e con stato: Usa Firewall di Azure per controllare sia il traffico in entrata che quello in uscita attraverso le tue reti virtuali tramite un'ispezione completa dei pacchetti con stato. Utilizza una Politica Firewall centralizzata per definire e gestire le regole di applicazione e rete su larga scala. Abilita il filtraggio basato su intelligence sulle minacce. Usa Firewall di Azure Premium con il sistema di rilevamento e prevenzione delle intrusioni (IDPS) per monitorare e bloccare il traffico di rete dannoso. Per altre informazioni, vedere Firewall di Azure.
Abilita la protezione di rete Azure DDoS: Attiva la protezione di rete DDoS Azure su reti virtuali con risorse IP pubbliche per difendersi da attacchi di negazione di servizio distribuiti. Usa la protezione di rete DDoS per la protezione a livello di rete virtuale, o DDoS IP Protection quando hai bisogno di una copertura pay-per-protected-IP per singole risorse IP pubbliche. Per altre informazioni, vedere Panoramica di Protezione DDoS di Azure Standard.
Usare i tag del servizio per semplificare le regole di sicurezza: sostituire indirizzi IP specifici con tag di servizio nelle regole del gruppo di sicurezza di rete per consentire la comunicazione con i servizi di Azure mantenendo al contempo la sicurezza. Microsoft aggiorna automaticamente i tag del servizio quando cambiano gli intervalli IP. Per altre informazioni, vedere Tag del servizio.
Implementa Azure Bastion per un accesso sicuro a RDP e SSH: Usa Azure Bastion per connetterti in modo sicuro alle macchine virtuali tramite RDP o SSH senza esporle a internet pubblico. Bastion elimina la necessità di indirizzi IP pubblici nelle VM e riduce la superficie di attacco. Per altre informazioni, vedere Azure Bastion.
Implementa Gateway NAT di Azure per il traffico in uscita: Usa Gateway NAT di Azure per fornire indirizzi IP in uscita statici per risorse di rete virtuali e traffico in uscita sicuro e scalabile. NAT Gateway aiuta anche a proteggere dall'esaurimento delle porte. Per altre informazioni, vedere Gateway NAT di Azure.
Usa endpoint privati e servizi collegamento privato for Azure: Usa collegamento privato di Azure per accedere ai servizi PaaS Azure tramite un endpoint privato all'interno della tua rete virtuale. collegamento privato mantiene il traffico dei punti finali privati sulla rete backbone di Microsoft. Quando il servizio target lo supporta, disabilita anche l'accesso pubblico alla rete o configura il firewall del servizio per impedire l'accesso pubblico. Per altre informazioni, vedere collegamento privato di Azure.
Preferisci endpoint privati rispetto a quelli di servizio per l'accesso privato: Usa endpoint privati quando supportati, così che il servizio sia rappresentato da un indirizzo IP privato nella tua rete virtuale e possa utilizzare DNS privato e politiche di rete. Usa i punti di riferimento del servizio solo quando collegamento privato non è disponibile o quando un requisito specifico del servizio li richiede. Per un accesso IaaS-to-PaaS su larga scala che utilizza endpoint di servizio, valuta gli endpoint standard di servizio (preview) con integrazione del perimetro di sicurezza di rete, ma non trattarli come equivalenti a collegamento privato perché non offrono connettività privata o protezione contro l'esfiltrazione dei dati. Per maggiori informazioni, vedi Cos'è un endpoint privato?, Gestire le policy di rete per endpoint privati, Endpoint di servizio di rete virtuale e endpoint di servizio standard Azure.
Peering virtuale sicuro in modo deliberato: Tratta il peering come una connessione diretta e non transitiva tra due reti virtuali. Creare peering espliciti per ogni percorso richiesto, definire le regole NSG e di routing per gli spazi di indirizzamento peered e abilitare gateway transit o gateway remoti solo quando il design a hub e spoke richiede connettività condivisa on-premise. Per maggiori informazioni, consulta peering di rete virtuale e Crea, modifica o elimina un peering di rete virtuale.
Configurare le subnet come private per impostazione predefinita: per le subnet che non richiedono l'accesso a Internet pubblico, configurarle come subnet private. Usa Firewall di Azure o NAT Gateway per un accesso in uscita controllato quando necessario. Per altre informazioni, vedere Accesso in uscita predefinita in Azure.
Limitare l'uso degli indirizzi IP pubblici: Minimizzare il numero di indirizzi IP pubblici utilizzando indirizzi IP pubblici condivisi provenienti da servizi come Frontdoor di Azure o Application Gateway. Quando sono necessari indirizzi IP pubblici, implementa una corretta gestione delle porte, filtraggio del traffico e validazione delle richieste. Per altre informazioni, vedere Indirizzi IP pubblici.
Pianifica esplicitamente i controlli di sicurezza dual-stack IPv6: se abiliti IPv6, definisci spazi di indirizzi dual-stack IPv4 e IPv6 e subnet, configura regole NSG per il traffico IPv6 e convalida limitazioni di funzionalità come VM solo IPv6 e supporto Firewall di Azure. Per maggiori informazioni, vedi IPv6 for Rete virtuale di Azure.
Delegare le subreti solo per integrazioni di servizi supportati: Utilizzare la delegazione di subnet quando un servizio Azure deve essere iniettato in una subnet di rete virtuale. Esamina le politiche di intento di rete del servizio, il supporto NSG, il supporto alle tabelle di instradamento e i vincoli degli endpoint privati prima di delegare la subrete. Per maggiori informazioni, vedi delega della subnet.
Configurare l'acquisizione di pacchetti per l'analisi forense: abilitare l'acquisizione di pacchetti nelle macchine virtuali o usare l'acquisizione di pacchetti del gateway VPN per registrare il traffico di rete per l'analisi della sicurezza e l'analisi degli eventi imprevisti. Per ulteriori informazioni, consulta Network Watcher acquisizione pacchetti e Configura la cattura dei pacchetti per Gateway VPN.
Gestione delle identità e dell'accesso
La gestione dell'identità e degli accessi per reti virtuali controlla chi può creare, modificare ed eliminare risorse di rete e come le operazioni di rete privilegiate sono protette. Controlli di identità rigorosi impediscono modifiche non autorizzate alla rete e mantengono la postura di sicurezza della tua infrastruttura di rete.
Usa Azure RBAC per l'accesso alle risorse di rete: assegna ruoli integrati appropriati, come Network Contributor, o ruoli personalizzati con permessi specifici per controllare chi può creare, modificare o eliminare reti virtuali e risorse correlate. Seguire il principio dei privilegi minimi. Per maggiori informazioni, consulta i ruoli integrati di Azure RBAC per il networking.
Applicare il privilegio minimo per i ruoli di rete: Configurare il controllo degli accessi basato sui ruoli con una mentalità di no-access per i ruoli legati alla rete. Assicurarsi che gli utenti possano modificare solo le impostazioni di rete richieste dalla loro funzione di lavoro. Per altre informazioni, vedere Procedure consigliate per il controllo degli accessi in base al ruolo di Azure.
Usa Microsoft Entra ID per l'identità centralizzata: Usa Microsoft Entra ID come fornitore di identità centralizzato per gestire l'accesso alle risorse di rete e ai servizi Azure correlati. Implementare il single sign-on invece di credenziali autonome per ogni servizio, per ridurre i requisiti di superficie di attacco e password. Per altre informazioni, vedere Single Sign-On alle applicazioni.
Implementare l'Accesso Condizionato per gli amministratori di rete: Configurare le politiche di Accesso Condizionato per richiedere l'autenticazione multifattore e limitare l'accesso alle operazioni di gestione della rete in base alla posizione dell'utente, alla conformità del dispositivo e al livello di rischio. Per altre informazioni, vedere Accesso condizionale.
Imporre l'autenticazione multifattore per gli amministratori di rete: richiedere l'autenticazione multifattore per tutti gli utenti con privilegi di amministrazione di rete per aggiungere un livello di sicurezza oltre le password e ridurre il rischio di attacchi basati su credenziali. Per altre informazioni, vedere Autenticazione a più fattori di Microsoft Entra.
Usare l'accesso JIT per le operazioni di rete: implementare Microsoft Entra Privileged Identity Management per fornire accesso limitato al tempo ai ruoli di amministrazione della rete. L'accesso just-in-time riduce la finestra di esposizione per le credenziali privilegiate. Per altre informazioni, vedere Privileged Identity Management.
Usa le identità gestite per carichi di lavoro integrati in rete: abilita le identità gestite per le risorse Azure nelle tue reti virtuali che devono accedere ad altri servizi Azure. Le identità gestite eliminano le credenziali memorizzate nel codice e nella configurazione del carico di lavoro, riducendo l'esposizione delle credenziali per servizi che dipendono dalla connettività di rete. Per altre informazioni, vedere Identità gestite.
Utilizza account amministrativi dedicati con dispositivi di accesso privilegiato: crea procedure operative standard per account amministrativi dedicati. Utilizzare dispositivi di accesso privilegiato con autenticazione multifattore per gli amministratori di rete che svolgono compiti amministrativi. Per maggiori informazioni, vedi Sicurezza dei dispositivi di accesso privilegiato.
Revisionare e riconciliare regolarmente l'accesso degli utenti: effettuare revisioni regolari degli accessi per gestire le iscrizioni ai gruppi, l'accesso alle applicazioni aziendali e l'assegnazione dei ruoli. Assicurati che solo gli utenti attivi continuino ad accedere alle funzioni di gestione della rete. Per altre informazioni, vedere Revisioni di accesso di Microsoft Entra.
Protezione dei dati
La protezione dei dati per reti virtuali si concentra sulla sicurezza dei dati in transito attraverso la tua infrastruttura di rete e sulla protezione delle comunicazioni di rete da intercettazioni o manomissioni.
Abilita la crittografia durante il transito: Richiedere che tutto il traffico di rete utilizzi protocolli di crittografia come TLS 1.2 o superiore, IPsec per le connessioni VPN e protocolli criptati per le comunicazioni applicative. Azure fornisce la crittografia per impostazione predefinita per il traffico tra i data center di Azure. Per altre informazioni, vedere Crittografia in transito.
Abilita la crittografia di Rete virtuale di Azure per il traffico VM supportato: Usa la crittografia di Rete virtuale di Azure per criptare i dati in transito tra macchine virtuali supportate all'interno della stessa rete virtuale e tra reti virtuali peered regionali e globali. Verifica le dimensioni delle VM supportate, i requisiti di Accelerated Networking e le limitazioni topologiche prima di abilitare la crittografia, specialmente per le reti virtuali che utilizzano Firewall di Azure, gateway ExpressRoute, servizio collegamento privato o SKU VM non supportati. Per altre informazioni, vedere Crittografia della rete virtuale di Azure.
Abilita MACsec sulle porte ExpressRoute Direct: Per le connessioni ExpressRoute Direct, abilita MACsec per fornire la crittografia di Livello 2 tra i tuoi router edge e quelli di Microsoft, aiutando a garantire la riservatezza e l'integrità dei dati durante il transito. Per ulteriori informazioni, consulta MACsec per le porte ExpressRoute Direct.
Registrazione e monitoraggio
La registrazione e il monitoraggio per le reti virtuali forniscono visibilità sui modelli di traffico, modifiche alla configurazione, eventi di sicurezza e potenziali minacce. Il monitoraggio centralizzato supporta la risposta agli incidenti, il rilevamento delle minacce e la segnalazione della conformità.
Abilita i log di flusso di rete virtuale per il monitoraggio del traffico: Configura i log di flusso di rete virtuale, successori dei log di flusso NSG, per catturare informazioni sul traffico IP che scorre attraverso le tue reti virtuali. Invia i log di flusso a un account Archiviazione di Azure e usa un'identità gestita assegnata dall'utente per un accesso sicuro all'account storage. Abilita Traffic Analytics per elaborare i log e memorizzare i risultati in uno spazio di lavoro Log Analytics per visualizzazione e rilevamento delle minacce. I log di flusso NSG verranno ritirati il 30 settembre 2027. Dopo il 30 giugno 2025, non puoi creare nuovi log di flusso NSG. Migra le implementazioni esistenti dei log di flusso NSG ai log di flusso di rete virtuali. Per ulteriori informazioni, consulta i registri di flusso di rete virtuale, Identità gestita per i log di flusso di rete virtuale e Migra dai log di flusso NSG ai log di flusso di rete virtuale.
Centralizza la raccolta dei log utilizzando Monitoraggio di Azure: Configura le impostazioni diagnostiche su reti virtuali e gruppi di sicurezza di rete per inviare i log delle risorse a uno spazio di lavoro Log Analytics per un'analisi e correlazione centralizzate. Invia i log virtuali del flusso di rete a Log Analytics tramite Traffic Analytics, e archivia i log su un account Archiviazione di Azure per una conservazione a lungo termine. Per maggiori informazioni, vedi Monitoraggio reti virtuali e logging diagnostico per un gruppo di sicurezza di rete.
Abilitare Microsoft Defender per il cloud: usare Microsoft Defender per il cloud per monitorare le risorse di rete virtuale per individuare errori di configurazione e minacce per la sicurezza. Abilita i piani Defender per il cloud che coprono i tuoi carichi di lavoro connessi alla rete (ad esempio, Defender for Servers, Defender for Storage, Defender for Databases) per una protezione completa. Per maggiori informazioni, consultare la sezione Microsoft Defender per il cloud.
Configura avvisi e notifiche di sicurezza: Imposta allerte Monitoraggio di Azure per eventi critici di sicurezza di rete come cambiamenti delle regole NSG, schemi di traffico insoliti, blocchi firewall e indicatori di attacco DDoS. Configura gruppi di azioni per notificare automaticamente i team di sicurezza. Per altre informazioni, vedere Avvisi di Monitoraggio di Azure.
Utilizzare la diagnostica di Network Watcher per l'indagine della connettività: Utilizzare Monitoraggio connessione per il monitoraggio continuo degli endpoint, la verifica del flusso IP e la diagnostica NSG per validare le decisioni sulle regole di sicurezza, il prossimo salto per confermare il routing e la cattura dei pacchetti per l'indagine sugli incidenti su macchine virtuali supportate e scale set. Per ulteriori informazioni, consulta Network Watcher, Monitoraggio connessione e Packet capture.
Usa Microsoft Sentinel per il rilevamento avanzato delle minacce: trasmetti i log virtuali del flusso di rete e i dati di Analisi del Traffico a Microsoft Sentinel per analisi avanzate di sicurezza, caccia alle minacce e risposta automatizzata. Per ulteriori informazioni, consulta Collega i dati di Traffic Analytics a Microsoft Sentinel.
Monitorare le attività di rete privilegiata: abilitare la registrazione e il monitoraggio delle operazioni di rete privilegiate, inclusi cambiamenti NSG, modifiche alla tabella di instradamento e aggiornamenti delle regole del firewall. Usare il log attività di Azure e Monitoraggio di Azure per tenere traccia delle azioni amministrative. Per altre informazioni, vedere Log attività di Azure.
Conformità e governance
La conformità e la governance delle reti virtuali aiutano a garantire controlli coerenti della sicurezza della rete, inventario delle risorse, applicazione delle politiche, test di sicurezza e risposta agli incidenti in tutta la tua organizzazione.
Usare Criteri di Azure per restrizioni relative alla governance e alle risorse: distribuire le definizioni di Criteri di Azure per applicare gli standard di sicurezza per le reti virtuali. Queste definizioni possono richiedere NSG sulle subnet, imporre regole di sicurezza specifiche o impedire la creazione di indirizzi IP pubblici. Usa definizioni di policy integrate come Tipi di risorse Non permessi e Tipi di risorse consentiti per limitare la creazione di risorse. Per altre informazioni, vedere Criteri di Azure per le reti virtuali.
Etichetta le risorse della rete per l'organizzazione: applica tag coerenti a reti virtuali, subnet, NSG e risorse correlate per supportare l'organizzazione e la gestione dei costi e l'applicazione delle politiche di sicurezza. Usa tag e descrizioni delle regole NSG per documentare le esigenze aziendali, la durata e altre informazioni per audit di sicurezza e gestione delle regole. Per altre informazioni, vedere Assegnazione di tag alle risorse.
Monitora i cambiamenti nella configurazione delle risorse: Usa Azure Resource Graph per interrogare e scoprire risorse di rete tra le sottoscrizioni. Configurare avvisi per modifiche non autorizzate alle configurazioni di rete critiche. Per altre informazioni, vedere Azure Resource Graph.
Implementare la gestione della configurazione standardizzata: usare i modelli di Azure Resource Manager o Bicep per definire e distribuire le configurazioni di rete in modo coerente. Memorizza i modelli nel controllo versione e implementa processi di gestione delle modifiche per le modifiche di rete. Per ulteriori informazioni, vedi Comprendere la struttura e la sintassi dei file Bicep.
Effettuare regolarmente test di penetrazione all'interno delle regole di ingaggio di Azure: Far eseguire periodicamente test di penetrazione da esperti esterni al team di carico di lavoro. Segui le regole di ingaggio del Microsoft Cloud Penetration Testing. Utilizzare partner di simulazione DDoS approvati per i test di resilienza DDoS. Per ulteriori informazioni, vedi Test di penetrazione.
Validare la segmentazione di rete: Testare regolarmente i controlli di segmentazione di rete per garantire che le risorse di un segmento non possano accedere a risorse di altri segmenti a meno che l'accesso non sia intenzionale. Usa Rete virtuale Verifier in gestione rete virtuale di Azure negli ambienti di pre-produzione per testare la connettività tra le risorse e assicurarti che siano raggiungibili e non bloccate dalle policy. Per altre informazioni, vedere Rete virtuale Verifier.
Usa Azure Chaos Studio per i test di resilienza: Usa Azure Chaos Studio per simulare interruzioni della connettività di rete e validare che i controlli di sicurezza rimangano efficaci durante gli scenari di guasto. Per altre informazioni, vedere Errore e libreria di azioni di Azure Chaos Studio.
Integra gli avvisi Microsoft Defender per il cloud nella risposta agli incidenti: Usa Microsoft Defender per il cloud alert per dare priorità agli incidenti di sicurezza di rete. Esporta avvisi e raccomandazioni utilizzando l'esportazione continua e trasmetti gli avvisi a Microsoft Sentinel per una gestione centralizzata degli incidenti. Per ulteriori informazioni, vedi Esportazione continua dei dati di Defender per il cloud.
Automatizza la risposta agli incidenti: Utilizza la funzione di automazione dei flussi di lavoro in Microsoft Defender per il cloud per attivare risposte tramite Logic Apps per avvisi di sicurezza e raccomandazioni che influenzano le risorse di rete di Azure. Per maggiori informazioni, vedi Automazione dei flussi di lavoro in Defender per il cloud.
Backup e ripristino
Il backup e il recupero per le reti virtuali si concentrano sulla preservazione delle configurazioni di rete e sull'assicurazione di un rapido ripristino della connettività dopo cancellazioni accidentali, errori di configurazione, attacchi o interruzioni regionali. Le reti virtuali non richiedono il backup tradizionale dei dati, ma la preservazione della configurazione e le procedure di recupero testate sono fondamentali.
Gestire le configurazioni di rete come infrastruttura come codice: definire reti virtuali, subnet, NSG, tabelle di route, peering e configurazioni di rete correlate in template Bicep o ARM memorizzati nel controllo di versione. Considera quel repository come la fonte della verità per il recupero. Usa l'esportazione del portale solo come snapshot visionato o bootstrap, non come fonte continua di verità. Per maggiori informazioni, consulta Export template dal portale Azure ed Export Bicep from existing Azure resources.
Usa il peering VNet-to-VNet per pattern di resilienza: progetta pattern di connettività a raggio hub o multiregione con peering virtuale di rete dove appropriato. Il peering può supportare comunicazioni di servizio resilienti e progetti di disaster recovery se abbinato a isolamento regionale, controlli di routing e procedure di failover testate. Per ulteriori informazioni, vedere Peering di rete virtuale.
Allega piani di protezione DDoS per la resilienza contro interruzioni indotte da attacchi: abilita la protezione di rete DDoS Azure su reti virtuali con risorse IP pubbliche, così da mitigare gli attacchi volumetrici prima che causino interruzioni di servizio. Garantire che le reti secondarie o virtuali di failover abbiano una protezione DDoS equivalente. Per altre informazioni, vedere Panoramica di Protezione DDoS di Azure Standard.
Fai il backup delle risorse connesse e delle chiavi gestite dal cliente: anche se le reti virtuali non richiedono il backup tradizionale, assicurati che le macchine virtuali e le altre risorse connesse alle tue reti siano protette con Backup di Azure quando appropriato. Se usi chiavi gestite dal cliente per la crittografia nell'ambiente di rete, fai il backup delle chiavi in Azure Key Vault e abilita la protezione contro cancellazione e purga. Per maggiori informazioni, consulta Backup di Azure e Azure Key Vault backup.