Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Neste artigo, você aprenderá como as regras de administrador de segurança fornecem uma imposição flexível e escalonável de políticas de segurança em ferramentas como os grupos de segurança de rede. Primeiro, você aprenderá os diferentes modelos de aplicação da rede virtual. Depois, você aprende as etapas gerais para impor a segurança com as regras de administrador de segurança.
Imposição de rede virtual
Somente com os NSGs (grupos de segurança de rede), a imposição generalizada em redes virtuais em vários aplicativos, equipes ou até mesmo organizações inteiras pode ser complicada. Muitas vezes há um ato de balanceamento entre tentativas de imposição centralizada em uma organização e entrega de controle granular e flexível às equipes.
As regras de administrador de segurança visam eliminar essa escala deslizante entre a imposição e a flexibilidade, consolidando por completo os prós e reduzindo os contras de cada um desses modelos. As equipes centrais de governança estabelecem diretrizes de proteção por meio de regras administrativas de segurança, ao mesmo tempo em que deixam espaço para que cada equipe ajuste a segurança com precisão e flexibilidade, conforme necessário, por meio de regras de NSG. As regras de administrador de segurança não são destinadas a substituir as regras do NSG. Em vez disso, eles trabalham com regras NSG para fornecer imposição e flexibilidade em toda a sua organização.
Modelos de imposição
Vamos examinar alguns modelos comuns de gerenciamento de segurança sem regras de administrador de segurança e seus prós e contras:
Modelo 1 – Gerenciamento de equipe de governança central com NSGs
Nesse modelo, uma equipe de governança central em uma organização gerencia todos os NSGs.
| Vantagens | Desvantagens |
|---|---|
| A equipe de governança central pode impor regras de segurança importantes. | A sobrecarga operacional é alta, pois os administradores precisam gerenciar cada NSG, à medida que o número de NSGs aumenta, a carga aumenta. |
Modelo 2 – Gerenciamento de equipe individual com NSGs
Nesse modelo, equipes individuais dentro de uma organização sem uma equipe de governança centralizada gerenciam seus próprios NSGs.
| Vantagens | Desvantagens |
|---|---|
| A equipe individual tem controle flexível ao personalizar regras de segurança com base nos requisitos de serviço. | A equipe de governança central não pode impor regras de segurança críticas, como bloquear portas arriscadas.
Uma equipe individual também pode configurar incorretamente ou esquecer de anexar NSGs, o que leva à exposição de vulnerabilidades. |
Modelo 3 – NSGs são criados por meio do Azure Policy e gerenciados por equipes individuais.
Nesse modelo, as equipes individuais ainda gerenciam seus NSGs. A diferença é que os NSGs são criados usando o Azure Policy para definir regras padrão. Modificar essas regras dispararia notificações de auditoria.
| Vantagens | Desvantagens |
|---|---|
| A equipe individual tem controle flexível ao personalizar regras de segurança.
A equipe de governança central pode criar regras de segurança padrão e receber notificações se essas regras forem modificadas. |
A equipe de governança central ainda não pode impor as regras de segurança padrão, já que os proprietários de NSGs das equipes ainda podem modificá-las.
Também seria um grande desafio gerenciar as notificações. |
Imposição de tráfego de rede e exceções com regras de administrador de segurança
Vamos aplicar os conceitos discutidos até agora a um cenário de exemplo. Um administrador de rede da empresa deseja impor uma regra de segurança a fim de bloquear o tráfego SSH de entrada para toda a empresa. A imposição desse tipo de regra de segurança era difícil sem uma regra de administrador de segurança. Se o administrador gerenciar todos os NSGs, a sobrecarga de gerenciamento será alta e o administrador não poderá responder rapidamente às necessidades das equipes de produtos a fim de modificar as regras do NSG. Por outro lado, se as equipes de produtos gerenciarem seus próprios NSGs sem as regras de administrador de segurança, o administrador não poderá impor regras de segurança críticas, deixando em aberto possíveis riscos de segurança. Usar regras de administrador de segurança e NSGs pode resolver esse dilema.
Nesse caso, o administrador pode criar uma regra de administrador de segurança para bloquear o tráfego SSH de entrada para todas as redes virtuais da empresa. O administrador também pode criar uma regra de administrador de segurança para permitir o tráfego SSH de entrada para redes virtuais específicas que precisam de uma exceção. A regra de administrador de segurança é imposta em toda a empresa e o administrador ainda pode permitir exceções para redes virtuais específicas. Isso é feito por meio do uso da ordem de prioridade para cada regra.
O diagrama mostra como o administrador pode atingir as seguintes metas:
- Impor regras de administrador de segurança em toda a organização.
- Permitir exceções para a equipe de aplicativos lidar com o tráfego SSH.
Etapa 1: criar uma instância do gerenciador de rede
O administrador da empresa pode criar um gerenciador de rede tendo o grupo de gerenciamento raiz da empresa como escopo dessa instância de gerenciador de rede.
Etapa 2: Criar grupos de rede para redes virtuais
O administrador cria dois grupos de rede – o grupo de rede ALL, composto por todas as redes virtuais da organização, e o grupo de rede App, composto por redes virtuais para o aplicativo que precisa de uma exceção. Todo o grupo de rede no diagrama acima consiste em VNet 1 a VNet 5, e o grupo de rede de aplicativos tem VNet 4 e VNet 5. Os usuários podem definir facilmente ambos os grupos de rede usando a associação dinâmica.
Etapa 3: criar uma configuração de administrador de segurança
As regras de administrador de segurança são avaliadas em ordem de prioridade, e uma regra com um número de prioridade menor é avaliada primeiro. Nesta etapa, a configuração de administrador de segurança contém duas regras de administrador:
- Uma regra de administrador de segurança que nega o tráfego SSH de entrada para o grupo ALL de rede com prioridade 100.
- Uma regra de administrador de segurança que permite o tráfego SSH de entrada para o grupo de rede de aplicativos com prioridade 10.
Como 10 é menor que 100, a regra de permitir para o grupo de rede de aplicativos é avaliada antes da regra de negação que se aplica a todas as redes virtuais da organização.
Etapa 4: implantar a configuração de administrador de segurança
Depois que você implanta a configuração de administrador de segurança, todas as redes virtuais da empresa têm a regra de negar tráfego SSH de entrada aplicada pela regra de administrador de segurança. Nenhuma equipe individual pode modificar a regra de negação. Apenas o administrador da empresa pode defini-la. As redes virtuais de aplicativos possuem tanto uma regra de permitir tráfego SSH de entrada quanto uma regra de negar tráfego SSH de entrada (herdada da regra de todos os grupos de rede ). A regra de permitir tráfego SSH de entrada para o grupo de rede de aplicativos está na prioridade 10, então ela é avaliada primeiro. Quando o tráfego SSH de entrada chega a uma rede virtual de aplicativos , a regra de prioridade 10 permite o tráfego. Assumindo que existam NSGs nas sub-redes das redes virtuais de aplicativos , esse tráfego SSH de entrada é avaliado em seguida com base nos NSGs definidos pela equipe de aplicação. A metodologia de regras de administrador de segurança descrita aqui permite que o administrador da empresa aplique efetivamente as políticas da empresa e crie salvaguardas de segurança flexíveis em toda a organização que funcionam com NSGs.