Secure your Azure Virtual Network deployment

Azure Virtual Network is de fundamentele bouwsteen voor uw privénetwerk in Azure. Azure Virtual Network helpt Azure-bronnen veilig met elkaar, het internet en on-premises netwerken te communiceren. Veilige virtuele netwerkimplementaties maken gebruik van netwerksegmentatie, verkeersinspectie, identiteitscontrole, monitoring en veerkrachtig ontwerp om netwerkinfrastructuur te beschermen en ongeautoriseerde toegang tot middelen te voorkomen.

Dit artikel geeft beveiligingsaanbevelingen voor het Azure Virtual Network. Wanneer je deze aanbevelingen uitvoert, help je je beveiligingsverplichtingen na te komen en verbeter je de algehele beveiligingspositie van je implementatie. Voor een overzicht van Azure's netwerkbeveiligingsdiensten en hoe ze samenwerken, zie Wat is Azure netwerkbeveiliging?

In de aanbevelingen voor beveiliging in dit artikel worden zero Trust-principes geïmplementeerd: 'Expliciet verifiëren', 'Minimale toegang tot bevoegdheden gebruiken' en 'Inbreuk aannemen'. Zie het Zero Trust Guidance Center voor uitgebreide richtlijnen voor Zero Trust.

Netwerkbeveiliging

Netwerkbeveiliging voor virtuele netwerken richt zich op het beheersen van de verkeersstromen, het implementeren van segmentatie en het beschermen tegen externe bedreigingen. Passende netwerkcontroles helpen workloads te isoleren, laterale beweging te voorkomen en te verdedigen tegen verspreide denial-of-service-aanvallen.

  • Segmenteer workloads door gebruik te maken van netwerkbeveiligingsgroepen en applicatiebeveiligingsgroepen: Pas netwerkbeveiligingsgroepen (NSG's) toe op subnetten en netwerkinterfaces om inkomend en uitgaand verkeer te beheren op basis van bron-IP, bestemmings-IP, poort en protocol. Gebruik applicatiebeveiligingsgroepen om virtuele machines logisch te groeperen en netwerkbeveiligingsbeleid te definiëren op basis van applicatiestructuur. Gebruik een deny-by-default, permit-by-exception-aanpak om het aanvalsoppervlak te verkleinen. Zie Netwerkbeveiligingsgroepen voor meer informatie.

  • Handhav basisnetwerkregels door beveiligingsbeheerders te gebruiken: Gebruik beveiligingsbeheerregels in Azure Virtual Network Manager om regels centraal toe te passen op beheerde virtuele netwerken. Gebruik ze om hoogrisicopoorten te blokkeren, segmentatie af te dwingen en het risico te verminderen dat een verkeerde configuratie van NSG op workloadniveau het organisatiebrede beleid omzeilt. Voor meer informatie, zie de beveiligingsbeheerdersregels in Azure Virtual Network Manager.

  • Zet Azure Firewall in voor gecentraliseerde, stateful protection: Gebruik Azure Firewall om zowel inkomend als uitgaand verkeer over je virtuele netwerken te beheren via volledig stateful packet inspection. Gebruik gecentraliseerd firewallbeleid om applicatie- en netwerkregels op grote schaal te definiëren en te beheren. Schakel dreigingsintelligentie-gebaseerde filtering in. Gebruik Azure Firewall Premium met intrusion detection and prevention system (IDPS) om kwaadaardig netwerkverkeer te monitoren en te blokkeren. Zie Azure Firewall voor meer informatie.

  • Activeer Azure DDoS Network Protection: Activeer Azure DDoS Network Protection op virtuele netwerken met publieke IP-bronnen om te beschermen tegen distributed denial-of-service aanvallen. Gebruik DDoS Network Protection voor virtuele netwerkbrede bescherming, of DDoS IP Protection wanneer u pay-per-protected-IP-dekking nodig heeft voor individuele publieke IP-bronnen. Zie het Overzicht van Azure DDoS Protection voor meer informatie.

  • Gebruik servicetags om beveiligingsregels te vereenvoudigen: vervang specifieke IP-adressen door servicetags in uw NSG-regels om communicatie met Azure-services mogelijk te maken terwijl de beveiliging behouden blijft. Microsoft werkt servicetags automatisch bij wanneer IP-bereiken veranderen. Zie Servicetags voor meer informatie.

  • Implementeer Azure Bastion voor veilige RDP- en SSH-toegang: Gebruik Azure Bastion om veilig verbinding te maken met virtuele machines via RDP of SSH zonder ze bloot te stellen aan het publieke internet. Bastion elimineert de noodzaak van publieke IP-adressen op VM's en verkleint het aanvalsoppervlak. Zie Azure Bastion voor meer informatie.

  • Implementeer Azure NAT Gateway voor uitgaand verkeer: Gebruik Azure NAT Gateway om statische uitgaande IP-adressen te bieden voor virtuele netwerkbronnen en veilig, schaalbaar uitgaand verkeer. NAT Gateway helpt ook om poortuitputting te voorkomen. Zie Azure NAT Gateway voor meer informatie.

  • Gebruik Private Endpoints en Private Link voor Azure-diensten: Gebruik Azure Private Link om toegang te krijgen tot Azure PaaS-diensten via een privé-endpoint binnen je virtuele netwerk. Private Link houdt het privé-endpointverkeer op het Microsoft-backbonenetwerk. Waar de doeldienst dit ondersteunt, schakel dan ook de toegang tot het publieke netwerk uit of configureer de servicefirewall om publieke toegang te voorkomen. Voor meer informatie, zie Azure Privé koppelen.

  • Vergeef privé-endpoints boven service-endpoints voor private service-access: gebruik private endpoints wanneer ondersteund, zodat de service wordt weergegeven door een privé-IP-adres in je virtuele netwerk en je kunt gebruik maken van private DNS en netwerkbeleid. Gebruik service-endpoints alleen wanneer Private Link niet beschikbaar is of wanneer een service-specifieke vereiste erom vraagt. Voor grootschalige IaaS-naar-PaaS-toegang die gebruikmaakt van service-endpoints, evalueer standaard service-endpoints (preview) met netwerkbeveiligingsperimeterintegratie, maar behandel ze niet als gelijk aan Private Link omdat ze geen private connectiviteit of data-exfiltratiebescherming bieden. Voor meer informatie, zie Wat is een privé-endpoint?, Beheer netwerkbeleid voor private endpoints, Virtual network service endpoints en Azure standaard service-endpoints.

  • Beveilig virtueel netwerkpeering bewust: Behandel peering als een directe, niet-transitieve verbinding tussen twee virtuele netwerken. Creëer expliciete peerings voor elk vereist pad, scope NSG- en routeregels voor de gepeerde adresruimtes, en schakel gateway-transit of externe gateways alleen in waar het hub-and-spoke-ontwerp gedeelde on-premises connectiviteit vereist. Voor meer informatie, zie Virtuele netwerkpeering en Peering aanmaken, wijzigen of verwijderen van een virtueel netwerk.

  • Configureer subnetten standaard als privé: voor subnetten waarvoor geen openbare internettoegang is vereist, configureert u deze als privésubnetten. Gebruik Azure Firewall of NAT Gateway voor gecontroleerde uitgaande toegang wanneer dat nodig is. Zie De standaard uitgaande toegang in Azure voor meer informatie.

  • Beperk het gebruik van publieke IP-adressen: Minimaliseer het aantal publieke IP-adressen door gebruik te maken van gedeelde publieke IP-adressen van diensten zoals Azure Front Door of Application Gateway. Wanneer publieke IP-adressen nodig zijn, implementeer dan goed portbeheer, verkeersfiltering en verzoekvalidatie. Zie Openbare IP-adressen voor meer informatie.

  • Plan IPv6 dual-stack beveiligingscontroles expliciet: Als je IPv6 inschakelt, definieer dual-stack IPv4- en IPv6-adresruimtes en subnetten, configureer NSG-regels voor IPv6-verkeer en valideer functiebeperkingen zoals IPv6-only VM en ondersteuning voor Azure Firewall. Voor meer informatie, zie IPv6 voor Azure Virtual Network.

  • Delegeer subnetten alleen voor ondersteunde service-integraties: Gebruik subnetdelegatie wanneer een Azure-service in een virtueel netwerksubnet moet worden geïnjecteerd. Bekijk de netwerkintentiebeleid, NSG-ondersteuning, routetabelle-ondersteuning en private endpoint-beperkingen van de service voordat je het subnet delegeert. Voor meer informatie, zie Subnet-delegatie.

  • Pakketopname configureren voor forensische analyse: pakketopname op virtuele machines inschakelen of VPN Gateway-pakketopname gebruiken om netwerkverkeer vast te leggen voor beveiligingsanalyse en incidentonderzoek. Voor meer informatie, zie Network Watcher packet capture en Configure packet capture for VPN Gateway.

Identiteits- en toegangsbeheer

Identiteits- en toegangsbeheer voor virtuele netwerken bepaalt wie netwerkbronnen kan aanmaken, wijzigen en verwijderen en hoe bevoorrechte netwerkoperaties worden beschermd. Sterke identiteitscontroles voorkomen ongeautoriseerde netwerkwijzigingen en behouden de beveiligingspositie van je netwerkinfrastructuur.

  • Gebruik Azure RBAC voor toegang tot netwerkbronnen: Wijs passende ingebouwde rollen toe, zoals Network Contributor, of aangepaste rollen met specifieke rechten om te bepalen wie virtuele netwerken en gerelateerde resources kan aanmaken, aanpassen of verwijderen. Volg het principe van minimale bevoegdheden. Voor meer informatie, zie Azure RBAC ingebouwde rollen voor netwerken.

  • Pas least privilege toe voor netwerkrollen: Configureer rolgebaseerde toegangscontrole met een geen-toegang mindset voor netwerkgerelateerde rollen. Zorg ervoor dat gebruikers alleen de netwerkinstellingen kunnen aanpassen die door hun taakfunctie worden vereist. Zie best practices voor Azure RBAC voor meer informatie.

  • Gebruik Microsoft Entra ID voor gecentraliseerde identiteit: Gebruik Microsoft Entra ID als gecentraliseerde identiteitsprovider voor het beheren van toegang tot netwerkbronnen en gerelateerde Azure-diensten. Implementeer single sign-on in plaats van standalone inloggegevens voor elke dienst om het aanvalsoppervlak en de wachtwoordvereisten te verkleinen. Zie Eenmalige aanmelding voor toepassingen voor meer informatie.

  • Voer Conditional Access uit voor netwerkbeheerders: Configureer Conditional Access-beleid zodat ze multifactorauthenticatie vereisen en beperk toegang tot netwerkbeheeroperaties op basis van gebruikerslocatie, apparaatnaleving en risiconiveau. Zie Voorwaardelijke toegang voor meer informatie.

  • Dwing multifactorauthenticatie af voor netwerkbeheerders: Vereis multifactorauthenticatie voor alle gebruikers met netwerkbeheerdersrechten om een beveiligingslaag toe te voegen naast wachtwoorden en het risico op credential-gebaseerde aanvallen te verminderen. Zie Microsoft Entra multifactor authentication voor meer informatie.

  • Just-In-Time-toegang gebruiken voor netwerkbewerkingen: Implementeer Microsoft Entra Privileged Identity Management om tijdgebonden toegang te bieden tot netwerkbeheerrollen. Just-in-time toegang verkleint het blootstellingsvenster voor bevoorrechte inloggegevens. Zie Privileged Identity Management voor meer informatie.

  • Gebruik beheerde identiteiten voor netwerkgeïntegreerde workloads: Schakel beheerde identiteiten in voor Azure-bronnen in je virtuele netwerken die toegang moeten hebben tot andere Azure-diensten. Beheerde identiteiten elimineren opgeslagen inloggegevens in workloadcode en configuratie, waardoor de blootstelling aan inloggegevens voor diensten die afhankelijk zijn van netwerkconnectiviteit afneemt. Zie Beheerde identiteiten voor meer informatie.

  • Gebruik speciale beheerdersaccounts met bevoorrechte toegangsapparaten: Maak standaard bedrijfsprocedures voor speciale beheerdersaccounts. Gebruik apparaten met bevoorrechte toegang met multifactorauthenticatie voor netwerkbeheerders die administratieve taken uitvoeren. Voor meer informatie, zie Beveiliging van bevoorrechte toegangsapparaten.

  • Regelmatig gebruikerstoegang controleren en afstemmen: Voer regelmatig toegangsbeoordelingen uit om groepslidmaatschappen, toegang tot bedrijfsapplicaties en roltoewijzingen te beheren. Zorg ervoor dat alleen actieve gebruikers toegang blijven krijgen tot netwerkbeheerfuncties. Zie Microsoft Entra-toegangsbeoordelingen voor meer informatie.

Gegevensbescherming

Gegevensbescherming voor virtuele netwerken richt zich op het beveiligen van data die tijdens transport is binnen uw netwerkinfrastructuur en het beschermen van netwerkcommunicatie tegen onderschepping of manipulatie.

  • Schakel versleuteling tijdens transport in: Vereis dat al het netwerkverkeer encryptieprotocollen gebruikt zoals TLS 1.2 of hoger, IPsec voor VPN-verbindingen en versleutelde protocollen voor applicatiecommunicatie. Azure biedt standaard versleuteling voor verkeer tussen Azure-datacenters. Zie Versleuteling tijdens overdracht voor meer informatie.

  • Schakel Azure Virtual Network-encryptie in voor ondersteund VM-verkeer: Gebruik Azure Virtual Network-encryptie om data te versleutelen die overgedragen worden tussen ondersteunde virtuele machines binnen hetzelfde virtuele netwerk en tussen regionaal en wereldwijd gepeerde virtuele netwerken. Controleer de ondersteunde VM-groottes, versnelde netwerkvereisten en topologiebeperkingen voordat je encryptie inschakelt, vooral voor virtuele netwerken die Azure Firewall, ExpressRoute-gateways, Private Link-service of niet-ondersteunde VM-SKU's gebruiken. Zie Azure Virtual Network-versleuteling voor meer informatie.

  • Schakel MACsec in op ExpressRoute Direct-poorten: Voor ExpressRoute Direct-verbindingen schakel MACsec in om Layer 2-encryptie te bieden tussen je edgerouters en de edgerouters van Microsoft, zodat de vertrouwelijkheid en integriteit van data tijdens transport wordt gewaarborgd. Voor meer informatie, zie MACsec voor ExpressRoute Direct-poorten.

Logboekregistratie en bewaking

Logging en monitoring van virtuele netwerken bieden inzicht in verkeerspatronen, configuratiewijzigingen, beveiligingsgebeurtenissen en potentiële bedreigingen. Gecentraliseerde monitoring ondersteunt incidentrespons, dreigingsdetectie en rapportage van naleving.

  • Schakel virtuele netwerkstroomlogs in voor verkeersmonitoring: Configureer virtuele netwerkstroomlogs, de opvolger van NSG-stroomlogs, om informatie vast te leggen over IP-verkeer dat door je virtuele netwerken stroomt. Stuur flowlogs naar een Azure Storage-account en gebruik een door de gebruiker toegewezen beheerde identiteit voor veilige toegang tot het storage-account. Schakel Traffic Analytics in om de logs te verwerken en de resultaten op te slaan in een Log Analytics-werkruimte voor visualisatie en dreigingsdetectie. NSG-stroomlogboeken worden op 30 september 2027 buiten gebruik gesteld. Na 30 juni 2025 kun je geen nieuwe NSG-stroomlogs meer aanmaken. Migreer bestaande NSG-flowlog-implementaties naar virtuele netwerkflowlogs. Voor meer informatie, zie Virtuele netwerkstroomlogs, Beheerde identiteit voor virtuele netwerkstroomlogs, en Migreren van NSG-stroomlogs naar virtuele netwerkstroomlogs.

  • Centraliseer de verzameling van logs door gebruik te maken van Azure Monitor: Configureer diagnostische instellingen op virtuele netwerken en netwerkbeveiligingsgroepen om resourcelogs naar een Log Analytics-werkruimte te sturen voor gecentraliseerde analyse en correlatie. Stuur virtuele netwerkstroomlogs naar Log Analytics via Traffic Analytics, en archiveer logs naar een Azure Storage-account voor langdurige retentie. Voor meer informatie, zie Monitor virtuele netwerken en Diagnostische logging voor een netwerkbeveiligingsgroep.

  • Microsoft Defender voor Cloud inschakelen: Gebruik Microsoft Defender voor Cloud om uw virtuele netwerkresources te controleren op onjuiste beveiligingsconfiguraties en bedreigingen. Schakel de Defender voor Cloud-plannen in die je netwerkverbonden workloads dekken (bijvoorbeeld Defender for Servers, Defender for Storage, Defender for Databases) voor uitgebreide bescherming. Zie Microsoft Defender voor Cloud voor meer informatie.

  • Configureer beveiligingswaarschuwingen en meldingen: Stel Azure Monitor-waarschuwingen in voor kritieke netwerkbeveiligingsgebeurtenissen zoals NSG-regelwijzigingen, ongebruikelijke verkeerspatronen, firewallblokkades en DDoS-aanvalsindicatoren. Configure actiegroepen om beveiligingsteams automatisch te informeren. Zie Azure Monitor-waarschuwingen voor meer informatie.

  • Gebruik Network Watcher-diagnostiek voor connectiviteitsonderzoek: Gebruik Verbindingsmonitor voor continue endpointmonitoring, IP-flowverificatie en NSG-diagnostiek om beveiligingsregelbeslissingen te valideren, next hop om routing te bevestigen, en packet capture voor incidentonderzoek op ondersteunde virtuele machines en schaalsets. Voor meer informatie, zie Network Watcher, Verbindingsmonitor en Packet capture.

  • Gebruik Microsoft Sentinel voor geavanceerde dreigingsdetectie: Stream virtuele netwerkstroomlogs en Traffic Analytics-gegevens naar Microsoft Sentinel voor geavanceerde beveiligingsanalyse, dreigingsopsporing en geautomatiseerde respons. Voor meer informatie, zie Connect Traffic Analytics data to Microsoft Sentinel.

  • Monitor bevoorrechte netwerkactiviteiten: Schakel logging en monitoring in voor bevoorrechte netwerkoperaties, inclusief NSG-wijzigingen, aanpassingen van routetabellen en updates van firewallregels. Gebruik azure-activiteitenlogboek en Azure Monitor om beheeracties bij te houden. Zie Het Azure-activiteitenlogboek voor meer informatie.

Naleving en bestuur

Compliance en governance voor virtuele netwerken helpen consistente netwerkbeveiligingscontroles, resource-inventaris, beleidshandhaving, beveiligingstesten en incidentrespons binnen uw organisatie te waarborgen.

  • Azure Policy gebruiken voor governance- en resourcebeperkingen: Azure Policy-definities implementeren om beveiligingsstandaarden voor virtuele netwerken af te dwingen. Deze definities kunnen NSG's op subnetten vereisen, specifieke beveiligingsregels verplichten of het creëren van publieke IP-adressen voorkomen. Gebruik ingebouwde beleidsdefinities zoals Niet toegestane resourcetypes en Toegestane resourcetypes om resourcecreatie te beperken. Zie Azure Policy voor virtuele netwerken voor meer informatie.

  • Tagnetwerkbronnen voor organisatie: Pas consistente tags toe op virtuele netwerken, subnetten, NSG's en gerelateerde bronnen ter ondersteuning van organisatie, kostenbeheer en handhaving van beveiligingsbeleid. Gebruik tags en NSG-regelbeschrijvingen om bedrijfsbehoefte, duur en andere informatie te documenteren voor beveiligingsaudits en regelbeheer. Zie Resourcetags voor meer informatie.

  • Monitor wijzigingen in resourceconfiguratie: Gebruik Azure Resource Graph om netwerkbronnen te bevragen en te ontdekken tussen abonnementen. Waarschuwingen instellen voor niet-geautoriseerde wijzigingen in kritieke netwerkconfiguraties. Zie Azure Resource Graph voor meer informatie.

  • Gestandaardiseerd configuratiebeheer implementeren: Gebruik Azure Resource Manager-sjablonen of Bicep om netwerkconfiguraties consistent te definiëren en te implementeren. Sla sjablonen op in versiebeheer en implementeer change management-processen voor netwerkaanpassingen. Voor meer informatie, zie Understand the structure and syntax of Bicep-bestanden.

  • Voer regelmatig penetratietests uit binnen Azure rules of engagement: Laat experts buiten het workloadteam periodiek penetratietests uitvoeren. Volg de Microsoft Cloud Penetration Testing Rules of Engagement. Gebruik goedgekeurde DDoS-simulatiepartners voor DDoS-veerkrachttests. Voor meer informatie, zie Penetratietesten.

  • Valideer netwerksegmentatie: Test regelmatig netwerksegmentatiecontroles om ervoor te zorgen dat middelen in één segment geen toegang krijgen tot bronnen in andere segmenten, tenzij toegang is bedoeld. Gebruik Virtual Network Verifier in Azure Virtual Network Manager in preproductieomgevingen om de connectiviteit tussen resources te testen en ervoor te zorgen dat ze bereikbaar zijn en niet geblokkeerd door beleidsregels. Zie Virtual Network Verifier voor meer informatie.

  • Gebruik Azure Chaos Studio voor resilience tests: Gebruik Azure Chaos Studio om netwerkonderbrekingen te simuleren en te valideren dat beveiligingsmaatregelen effectief blijven tijdens storingsscenario's. Zie de fout- en actiebibliotheek van Azure Chaos Studio voor meer informatie.

  • Integreer Microsoft Defender voor Cloud-waarschuwingen in incidentrespons: Gebruik Microsoft Defender voor Cloud-waarschuwingen om netwerkbeveiligingsincidenten te prioriteren. Exporteer waarschuwingen en aanbevelingen door continue export te gebruiken en stream alerts naar Microsoft Sentinel voor gecentraliseerd incidentbeheer. Voor meer informatie, zie Continu exporteren van Defender voor Cloud-gegevens.

  • Automatiseer incidentrespons: Gebruik de workflow-automatiseringsfunctie in Microsoft Defender voor Cloud om reacties via Logic Apps te triggeren voor beveiligingswaarschuwingen en aanbevelingen die Azure-netwerkbronnen beïnvloeden. Voor meer informatie, zie Workflow-automatisering in Defender voor Cloud.

Back-up en herstel

Back-up en herstel voor virtuele netwerken richten zich op het behouden van netwerkconfiguraties en het zorgen voor snel herstel van de connectiviteit na per ongeluk verwijdering, configuratiefouten, aanvallen of regionale verstoringen. Virtuele netwerken vereisen geen traditionele data-back-up, maar configuratiebehoud en geteste herstelprocedures zijn cruciaal.

  • Beheer netwerkconfiguraties als infrastructuur als code: Definieer virtuele netwerken, subnetten, NSG's, routetabellen, peerings en gerelateerde netwerkconfiguraties in Bicep- of ARM-sjablonen die zijn opgeslagen in bronbeheer. Behandel die repository als de bron van waarheid voor herstel. Gebruik portaalexport als een beoordeeld moment-in-moment snapshot of alleen als bootstrap, niet als de voortdurende bron van waarheid. Voor meer informatie, zie Exporttemplate vanuit het Azure-portaal en Export Bicep uit bestaande Azure-bronnen.

  • Gebruik VNet-to-VNet peering voor veerkrachtpatronen: Ontwerp hub-and-spoke of multiregio connectiviteitspatronen met virtueel netwerkpeering waar passend. Peering kan veerkrachtige servicecommunicatie en disaster recovery-ontwerpen ondersteunen wanneer het wordt gecombineerd met regionale isolatie, routeringscontroles en geteste failoverprocedures. Voor meer informatie, zie Virtuele netwerkpeering.

  • Voeg DDoS-beschermingsplannen toe voor veerkracht tegen door aanvallen veroorzaakte storingen: Schakel Azure DDoS Network Protection in op virtuele netwerken met publieke IP-bronnen, zodat volumetrische aanvallen worden beperkt voordat ze dienstuitval veroorzaken. Zorg ervoor dat secundaire of failover virtuele netwerken een gelijkwaardige DDoS-bescherming hebben. Zie het Overzicht van Azure DDoS Protection voor meer informatie.

  • Maak een back-up van verbonden resources en door klanten beheerde sleutels: Hoewel virtuele netwerken geen traditionele back-up vereisen, zorg ervoor dat virtuele machines en andere bronnen die met je netwerken zijn verbonden zijn beschermd met Azure Backup waar nodig. Als je klantbeheerde sleutels gebruikt voor encryptie in de netwerkomgeving, maak dan een back-up van sleutels in Azure Key Vault en schakel soft-delete en purge protection in. Voor meer informatie, zie Azure Backup en Azure Key Vault backup.

Volgende stappen 

  • Last updated on