Compartilhar via

Usar o Firewall do Azure para proteger o Microsoft 365

Você pode usar as Marcas de Serviço e marcas de FQDN internas do Firewall do Azure para permitir a comunicação de saída para ospontos de extremidade e endereços IP do Microsoft 365.

Observação

As tags de serviço do Microsoft 365 e as tags FQDN têm suporte somente na política de Firewall do Azure. Eles não têm suporte em regras clássicas.

Criação de etiquetas

Para cada produto e categoria do Microsoft 365, o Firewall do Azure recupera automaticamente os pontos de extremidade e endereços IP necessários, criando as tags correspondentes.

  • Nome da marca: todos os nomes começam com o Microsoft365 e são seguidos por:
    • Produto: Exchange / Skype / SharePoint / Common
    • Categoria:
      • Otimizar & Permitir: os pontos de extremidade de rede com a categoria Otimizar ou Permitir têm tráfego elevado e são sensíveis à latência e ao desempenho da rede. Esses pontos de extremidade têm endereços IP listados com o domínio.
      • Padrão: os pontos de extremidade de rede na categoria Padrão não têm endereços IP associados porque são dinâmicos por natureza e os endereços IP são alterados ao longo do tempo.
    • Obrigatório/Não obrigatório (opcional)
  • Tipo de marca:
    • A marca FQDN representa apenas os FQDNs necessários para o produto e categoria específicos que se comunicam por HTTP/HTTPS (portas 80/443) e podem ser usados em Regras de Aplicativo para proteger o tráfego para esses FQDNs e protocolos.
    • Tag de serviço representa apenas os endereços e intervalos IPv4 necessários para o produto e categoria específicos e pode ser usada em Regras de Rede para proteger o tráfego desses endereços IP e de qualquer porta necessária.

Você deve aceitar uma marca disponível para uma combinação específica de produto, categoria e obrigatório / não obrigatório nos seguintes casos:

  • Para uma Marca de Serviço – essa combinação específica existe e tem endereços IPv4 necessários listados.
  • Para uma Regra de FQDN – essa combinação específica existe e tem os FQDNs necessários listados que se comunicam com as portas 80/443.

As tags são atualizadas automaticamente com quaisquer modificações nos endereços IPv4 e FQDNs exigidos. Novas etiquetas poderiam ser criadas automaticamente no futuro, caso novas combinações de produto e categoria sejam adicionadas.

Coleção de regras de rede: captura de tela mostrando a coleção de regras de rede do Microsoft 365.

Coleção de regras de aplicativo: captura de tela mostrando a coleção de regras de aplicativo do Microsoft 365.

Configuração de regras

Essas tags internas fornecem granularidade para permitir e proteger o tráfego de saída destinado ao Microsoft 365, de acordo com suas preferências e uso. Você pode permitir o tráfego de saída apenas para produtos e categorias específicos para uma fonte específica. Você também pode usar a Inspeção TLS e o IDPS do Azure Firewall Premium para monitorar parte do tráfego. Por exemplo, tráfego para pontos de extremidade na categoria Padrão que pode ser tratado como tráfego de saída da Internet normal. Para obter mais informações sobre as categorias de ponto de extremidade do Microsoft 365, consulte Novas categorias de ponto de extremidade do Microsoft 365.

Ao criar as regras, certifique-se de definir as portas TCP necessárias (para regras de rede) e protocolos (para regras de aplicativo), conforme exigido pelo Microsoft 365. Se uma combinação específica de produto, categoria e obrigatório/não obrigatório tiver uma Marca de Serviço e uma marca FQDN, você deverá criar regras representativas para ambas as marcas para cobrir totalmente a comunicação necessária.

Limitações

Se uma combinação específica de produto, categoria e obrigatório/não obrigatório tiver apenas FQDNs necessários, mas usar portas TCP que não sejam 80/443, uma marca de FQDN não será criada para essa combinação. As Regras de Aplicativo só podem abranger HTTP, HTTPS ou MSSQL. Para permitir a comunicação com esses FQDNs, crie suas próprias regras de rede com esses FQDNs e portas. Para obter mais informações, consulte Usar a filtragem FQDN nas regras de rede.

Próximas etapas