Visão geral de segurança de rede do Azure

A segurança de rede protege os recursos contra acesso ou ataques não autorizados controlando o tráfego de rede. O Azure oferece uma infraestrutura de rede sólida para suportar suas necessidades de conectividade de aplicações e serviços, com controles de segurança em todas as camadas.

Este artigo aborda os principais recursos de segurança de rede no Azure:

  • Controle de acesso à rede
  • Firewall do Azure
  • Acesso remoto seguro e conectividade entre locais
  • Disponibilidade e balanceamento de carga
  • Resolução de nomes
  • proteção contra DDoS
  • Azure Front Door
  • Monitoramento e detecção de ameaças

Anotação

Para cargas de trabalho web, use o Azure DDoS Protection e um firewall de aplicações web para proteger contra ataques DDoS. O Azure Front Door com um firewall de aplicativo Web fornece proteção no nível da plataforma contra ataques DDoS no nível da rede.

Rede Virtual do Azure

A Rede Virtual do Azure é o bloco de construção fundamental para sua rede privada no Azure. Cada rede virtual é isolada de outras redes virtuais, ajudando a garantir que o tráfego de rede em suas implantações não esteja acessível a outros clientes do Azure. As redes virtuais permitem que os recursos do Azure se comuniquem com segurança entre si, com a Internet e com as redes locais.

Saiba mais:

Controle de acesso à rede

O controle de acesso à rede limita a conectividade de e para dispositivos ou sub-redes específicos em uma rede virtual. O objetivo é restringir o acesso a suas máquinas virtuais e serviços a usuários e dispositivos aprovados.

Grupos de segurança de rede

Os NSGs (grupos de segurança de rede) fornecem filtragem básica de pacotes com estado com base em endereços IP e protocolos TCP/UDP. Os NSGs controlam o acesso usando uma tupla de 5 (IP de origem, porta de origem, IP de destino, porta de destino, protocolo).

Os NSGs incluem recursos para simplificar o gerenciamento:

  • Regras de segurança aumentadas: Crie regras complexas em vez de múltiplas regras simples para alcançar o mesmo resultado.
  • Etiquetas de serviço: Etiquetas gerenciadas pela Microsoft que representam grupos de endereços IP que se atualizam dinamicamente.
  • Grupos de segurança de aplicações: Organize os recursos em grupos de aplicações e controle o acesso com base nesses grupos.

Saiba mais:

Pontos de extremidade de serviço

Os pontos de extremidade de serviço de Rede Virtual estendem o espaço de endereço privado da rede virtual para os serviços do Azure por meio de uma conexão direta. Os pontos de extremidade de serviço mantêm o tráfego na rede de backbone do Azure, restringindo a comunicação com serviços suportados apenas para suas redes virtuais.

Saiba mais:

O Link Privado do Azure fornece conectividade privada de uma rede virtual para serviços de PaaS do Azure, serviços de propriedade do cliente ou serviços de parceiros da Microsoft. O tráfego de Link Privado permanece na rede de backbone do Microsoft Azure, eliminando a exposição à Internet pública.

Saiba mais:

Firewall do Azure

O Firewall do Azure é um serviço de segurança de firewall de rede inteligente e nativo de nuvem que fornece proteção contra ameaças para cargas de trabalho na nuvem. É um firewall como serviço totalmente com estado com alta disponibilidade interna e escalabilidade de nuvem irrestrita.

O Firewall do Azure está disponível em três SKUs:

  • Firewall do Azure Basic: Segurança simplificada para pequenas e médias empresas.
  • Firewall do Azure Standard: filtragem L3-L7 e filtragem baseada em inteligência contra ameaças.
  • Firewall do Azure Premium: Capacidades avançadas, incluindo IDPS baseado em assinaturas para detecção rápida de ataques.

Saiba mais:

Acesso remoto seguro e conectividade entre locais

O Azure dá suporte a vários cenários seguros de acesso remoto para gerenciar recursos do Azure e implantar soluções de TI híbridas.

VPN ponto a site

As conexões VPN ponto a site permitem que usuários individuais estabeleçam conexões privadas e seguras com uma rede virtual. Os usuários podem acessar máquinas virtuais e serviços no Azure após a autenticação. A VPN ponto a site dá suporte a:

  • Protocolo SSTP (Secure Socket Tunneling Protocol): protocolo VPN baseado em SSL proprietário (dispositivos Windows)
  • VPN IKEv2: solução VPN IPsec baseada em padrões (dispositivos Mac)
  • Protocolo OpenVPN: protocolo VPN baseado em SSL/TLS (dispositivos Android, iOS, Windows, Linux e Mac)

Saiba mais:

VPN site a site

As conexões de Gateway de VPN site a site estabelecem conectividade segura entre ambientes, entre a rede no local e as redes virtuais do Azure. As VPNs site a site usam o protocolo VPN do modo de túnel IPsec altamente seguro.

O Gateway de VPN é essencial para cenários de TI híbridos em que partes de um serviço são hospedadas no Azure e no local.

Saiba mais:

ExpressRoute

O ExpressRoute fornece links wan dedicados entre sua rede local e os serviços de nuvem da Microsoft. As conexões do ExpressRoute não atravessam a Internet pública, oferecendo segurança, confiabilidade, velocidade e latência mais baixas em comparação com conexões de Internet.

O ExpressRoute dá suporte a:

  • ExpressRoute Direct: Conectividade direta à rede global da Microsoft.
  • ExpressRoute Global Reach: Conectividade entre seus sites locais por meio de circuitos do ExpressRoute.

Saiba mais:

Emparelhamento VNET

O emparelhamento de Rede Virtual conecta duas redes virtuais do Azure, permitindo que os recursos em qualquer rede se comuniquem entre si. O emparelhamento VNet usa a infraestrutura de backbone da Microsoft, ignorando a internet pública. O emparelhamento dá suporte a conexões na mesma região do Azure ou em regiões diferentes (emparelhamento de VNet global).

Saiba mais:

Disponibilidade e balanceamento de carga

O balanceamento de carga distribui conexões em vários dispositivos para aumentar a disponibilidade e o desempenho. O Azure fornece várias opções de balanceamento de carga.

Azure Load Balancer

O Azure Load Balancer fornece balanceamento de carga de camada 4 de alto desempenho e baixa latência para todos os protocolos UDP e TCP. Load Balancer distribui o tráfego de entrada para instâncias de back-end de acordo com as regras e verificações de integridade configuradas.

Os recursos do Load Balancer incluem:

  • Suporte para cenários de balanceamento de carga internos e externos
  • Redundância de zona e implantações zonais
  • Suporte a aplicativos TCP e UDP
  • Verificações de integridade para verificar a disponibilidade da instância de back-end

Saiba mais:

Gateway de Aplicativo do Azure

O Gateway de Aplicativo do Azure é um balanceador de carga de tráfego da Web (Camada 7) que gerencia o tráfego para seus aplicativos Web. O Gateway de Aplicativo toma decisões de roteamento com base em atributos de solicitação HTTP, como caminho de URI ou cabeçalhos de host.

Os recursos do Gateway de Aplicativo incluem:

  • WAF (Firewall de Aplicativo Web) para proteção centralizada
  • Terminação do TLS para reduzir a sobrecarga de criptografia em servidores Web
  • Afinidade de sessão baseada em cookie
  • Roteamento de conteúdo baseado em URL
  • Dimensionamento automático e redundância de zona

Saiba mais:

Gerenciador de Tráfego do Azure

O Gerenciador de Tráfego do Azure é um balanceador de carga de tráfego baseado em DNS que distribui o tráfego de maneira ideal para serviços em regiões globais do Azure. O Gerenciador de Tráfego fornece alta disponibilidade e capacidade de resposta roteando solicitações de cliente para o ponto de extremidade de serviço mais apropriado com base no método de roteamento de tráfego e na integridade do ponto de extremidade.

O Traffic Manager suporta múltiplos métodos de roteamento, incluindo prioridade, ponderado, desempenho, geográfico, multivalor e roteamento de sub-rede.

Saiba mais:

Resolução de nomes

A resolução de nomes seguros é crucial para todos os serviços hospedados na nuvem. Funções de resolução de nomes comprometidas podem redirecionar solicitações para sites mal-intencionados.

DNS do Azure

O DNS do Azure fornece resolução de nomes altamente disponível e de alto desempenho usando a infraestrutura do Microsoft Azure. O DNS do Azure dá suporte a:

  • Domínios DNS públicos hospedados na infraestrutura global do Azure
  • Zonas DNS privadas para resolução de nomes dentro e entre redes virtuais
  • Cenários DNS de horizonte dividido em que o mesmo nome de domínio é resolvido de forma diferente para consultas públicas e privadas

Saiba mais:

proteção contra DDoS

Ataques de negação de serviço distribuída (DDoS) estão entre as maiores preocupações de disponibilidade e segurança para organizações que migram aplicações para a nuvem. A Proteção contra DDoS do Azure protege os recursos do Azure contra ataques de DDoS.

SKUs da Proteção contra DDoS do Azure:

  • Proteção de Infraestrutura DDoS: Proteção básica ativada por padrão em todas as propriedades do Azure sem custo adicional.
  • Proteção de Rede DDoS: Proteção avançada para recursos em redes virtuais com ajuste adaptativo, políticas de mitigação e monitoramento.

Os recursos da Proteção de Rede DDoS incluem:

  • Integração de plataforma nativa com a configuração por meio do portal do Azure
  • Monitoramento de tráfego contínuo e mitigação em tempo real
  • Análise de ataque, incluindo relatórios de mitigação e logs de fluxo
  • Ajuste adaptável com base nos padrões de tráfego do aplicativo
  • Garantia de custo, incluindo transferência de dados e créditos de serviço de expansão de aplicativos

Saiba mais:

Azure Front Door

O Azure Front Door é um ponto de entrada global e escalonável que usa a rede de borda global da Microsoft para criar aplicativos Web rápidos, seguros e amplamente escalonáveis. O Front Door fornece balanceamento de carga da Camada 7, terminação TLS, roteamento baseado em URL e segurança integrada.

Os recursos do Front Door incluem:

  • Balanceamento de carga HTTP global com failover instantâneo
  • Terminação TLS na borda
  • Roteamento baseado em caminho de URL
  • Afinidade de sessão baseada em cookie
  • Proteção do Firewall de Aplicativo Web
  • Proteção contra DDoS no nível da plataforma
  • Integração de Link Privado para proteger origens de back-end

Saiba mais:

Monitoramento e detecção de ameaças

O Azure fornece ferramentas para monitorar a segurança de rede e detectar ameaças.

Observador de Rede do Azure

O Observador de Rede do Azure fornece ferramentas para monitorar, diagnosticar e obter insights sobre sua rede no Azure.

Os recursos do Observador de Rede incluem:

  • Monitor da Conexão: Monitora a conectividade entre recursos e endpoints do Azure.
  • Logs de fluxo do NSG: registra informações sobre o tráfego IP fluindo por meio de grupos de segurança de rede.
  • Captura de pacotes: Captura tráfego de rede de e para máquinas virtuais.
  • Solução de problemas de VPN: Diagnostica problemas com gateways e conexões VPN.
  • Diagnóstico de rede: Valida a configuração da rede e identifica problemas de segurança.

Saiba mais:

Microsoft Defender para Nuvem

O Microsoft Defender para Nuvem ajuda você a prevenir, detectar e responder a ameaças com maior visibilidade e controle sobre a segurança dos recursos do Azure. O Defender para Nuvem fornece recomendações de segurança de rede, monitora a configuração de segurança de rede e alerta você sobre ameaças baseadas em rede.

Saiba mais:

Próximas etapas

  • Last updated on