Visão geral da segurança de rede do Azure

A segurança da rede protege os recursos contra acesso não autorizado ou ataques, controlando o tráfego da rede. O Azure fornece uma infraestrutura de rede robusta para suportar os requisitos de conectividade das suas aplicações e serviços, com controlos de segurança em todas as camadas.

Este artigo aborda os principais recursos de segurança de rede no Azure:

  • Controlo de acesso à rede
  • Azure Firewall
  • Acesso remoto seguro e conectividade entre locais
  • Disponibilidade e balanceamento de carga
  • Resolução de nomes
  • proteção contra DDoS
  • Azure Front Door
  • Monitorização e deteção de ameaças

Nota

Para cargas de trabalho web, use o Azure DDoS Protection e um firewall de aplicações web para proteger contra ataques DDoS. O Azure Front Door com um firewall de aplicativo Web fornece proteção no nível da plataforma contra ataques DDoS no nível da rede.

Rede Virtual do Azure

A Rede Virtual do Azure é o bloco de construção fundamental para a sua rede privada no Azure. Cada rede virtual é isolada de outras redes virtuais, ajudando a garantir que o tráfego de rede em suas implantações não esteja acessível a outros clientes do Azure. As redes virtuais permitem que os recursos do Azure se comuniquem com segurança entre si, com a Internet e com as redes locais.

Saiba mais:

Controlo de acesso à rede

O controle de acesso à rede limita a conectividade de e para dispositivos ou sub-redes específicos dentro de uma rede virtual. O objetivo é restringir o acesso às suas máquinas virtuais e serviços a usuários e dispositivos aprovados.

Grupos de segurança de rede

Os grupos de segurança de rede (NSGs) fornecem filtragem básica de pacotes com estado baseado no endereço IP e nos protocolos TCP/UDP. Os NSGs controlam o acesso usando um quinteto (IP de origem, porta de origem, IP de destino, porta de destino, protocolo).

Os NSGs incluem recursos para simplificar o gerenciamento:

  • Regras de segurança aumentadas: Crie regras complexas em vez de múltiplas regras simples para alcançar o mesmo resultado.
  • Etiquetas de serviço: Etiquetas geridas pela Microsoft que representam grupos de endereços IP que se atualizam dinamicamente.
  • Grupos de segurança de aplicações: Organizar os recursos em grupos de aplicações e controlar o acesso com base nesses grupos.

Saiba mais:

Pontos finais de serviço

Os pontos de extremidade do serviço de Rede Virtual (Rede Virtual) estendem o espaço de endereços privados da sua rede virtual para os serviços da Azure por meio de uma conexão direta. Os pontos de extremidade de serviço mantêm o tráfego na rede de backbone do Azure e restringem a comunicação com os serviços suportados apenas às suas redes virtuais.

Saiba mais:

O Azure Private Link fornece conectividade privada de uma rede virtual para serviços PaaS do Azure, serviços de propriedade do cliente ou serviços de parceiros da Microsoft. O tráfego de Link Privado permanece na rede de backbone do Microsoft Azure, eliminando a exposição à Internet pública.

Saiba mais:

Azure Firewall

O Firewall do Azure é um serviço de segurança de firewall de rede inteligente nativo da nuvem que fornece proteção contra ameaças para cargas de trabalho na nuvem. É uma firewall com estado integralmente mantido como um serviço, com elevada disponibilidade incorporada e escalabilidade em nuvem sem restrições.

O Firewall do Azure está disponível em três SKUs:

  • Azure Firewall Basic: Segurança simplificada para pequenas e médias empresas.
  • Azure Firewall Standard: filtragem L3-L7 e filtragem baseada em inteligência contra ameaças.
  • Azure Firewall Premium: Capacidades avançadas, incluindo IDPS baseado em assinaturas para deteção rápida de ataques.

Saiba mais:

Acesso remoto seguro e conectividade entre locais

O Azure dá suporte a vários cenários de acesso remoto seguro para gerenciar recursos do Azure e implantar soluções de TI híbridas.

VPN de ponto para site

As conexões VPN ponto a site permitem que usuários individuais estabeleçam conexões privadas e seguras com uma rede virtual. Os usuários podem acessar máquinas virtuais e serviços no Azure após a autenticação. VPN ponto a site suporta:

  • Secure Socket Tunneling Protocol (SSTP): protocolo VPN proprietário baseado em SSL (dispositivos Windows)
  • IKEv2 VPN: Solução VPN IPsec baseada em padrões (dispositivos Mac)
  • Protocolo OpenVPN: protocolo VPN baseado em SSL/TLS (dispositivos Android, iOS, Windows, Linux e Mac)

Saiba mais:

VPN site-a-site

As conexões de gateway VPN de site para site estabelecem conectividade segura entre a sua rede on-premises e as redes virtuais no Azure. As VPNs site-a-site usam o protocolo VPN IPsec altamente seguro em modo túnel.

O Gateway VPN é essencial para cenários de TI híbridos em que partes de um serviço são hospedadas no Azure e no local.

Saiba mais:

ExpressRoute

O ExpressRoute fornece links WAN dedicados entre sua rede local e os serviços de nuvem da Microsoft. As ligações ExpressRoute não atravessam a Internet pública, oferecendo maior segurança, fiabilidade, velocidade e latência mais baixa em comparação com as ligações à Internet.

O ExpressRoute suporta:

  • ExpressRoute Direct: Conectividade direta à rede global da Microsoft.
  • ExpressRoute Global Reach: Conectividade entre as suas localizações no local por circuitos ExpressRoute.

Saiba mais:

Peering de VNet (conexão de redes virtuais)

O emparelhamento de Rede Virtual conecta duas redes virtuais do Azure, permitindo que os recursos em ambas as redes se comuniquem entre si. O emparelhamento VNet usa a infraestrutura de backbone da Microsoft, ignorando a Internet pública. O emparelhamento dá suporte a conexões dentro da mesma região do Azure ou entre regiões diferentes (emparelhamento VNet global).

Saiba mais:

Disponibilidade e balanceamento de carga

O balanceamento de carga distribui conexões entre vários dispositivos para aumentar a disponibilidade e o desempenho. O Azure fornece várias opções de balanceamento de carga.

Balanceador de Carga do Azure

O Balanceador de Carga do Azure fornece balanceamento de carga de Camada 4 de alto desempenho e baixa latência para todos os protocolos UDP e TCP. O Balanceador de Carga distribui o tráfego de entrada para instâncias de back-end de acordo com regras configuradas e testes de integridade.

Os recursos do Balanceador de Carga incluem:

  • Suporte para cenários de balanceamento de carga internos e externos
  • Redundância de zona e implantações zonais
  • Suporte a aplicativos TCP e UDP
  • Testes de integridade para determinar a disponibilidade da instância de back-end

Saiba mais:

Gateway de Aplicação do Azure

O Gateway de Aplicativo do Azure é um balanceador de carga de tráfego da Web (Camada 7) que gerencia o tráfego para seus aplicativos Web. O Application Gateway toma decisões de roteamento com base em atributos de solicitação HTTP, como caminho de URI ou cabeçalhos de host.

Os recursos do Application Gateway incluem:

  • Firewall de Aplicações Web (WAF) para proteção centralizada
  • Terminação TLS para reduzir a sobrecarga de criptografia em servidores Web
  • Afinidade de sessão baseada em cookies
  • Roteamento de conteúdo baseado em URL
  • Dimensionamento automático e redundância de zona

Saiba mais:

Gestor de Tráfego do Azure

O Gestor de Tráfego do Azure é um balanceador de carga de tráfego baseado em DNS que distribui o tráfego de forma otimizada para serviços em regiões globais do Azure. O Traffic Manager fornece alta disponibilidade e capacidade de resposta roteando solicitações de clientes para o ponto de extremidade de serviço mais apropriado com base no método de roteamento de tráfego e na integridade do ponto de extremidade.

O Traffic Manager suporta múltiplos métodos de encaminhamento, incluindo prioridade, ponderado, de desempenho, geográfico, multivalor e encaminhamento de sub-rede.

Saiba mais:

Resolução de nomes

A resolução segura de nomes é crucial para todos os serviços hospedados na nuvem. As funções de resolução de nomes comprometidas podem redirecionar solicitações para sites mal-intencionados.

DNS do Azure

O DNS do Azure fornece resolução de nomes altamente disponível e de alto desempenho usando a infraestrutura do Microsoft Azure. O DNS do Azure suporta:

  • Domínios DNS públicos hospedados na infraestrutura global do Azure
  • Zonas DNS privadas para resolução de nomes dentro e entre redes virtuais
  • Cenários DNS de horizonte dividido em que o mesmo nome de domínio é resolvido de forma diferente para consultas públicas e privadas

Saiba mais:

proteção contra DDoS

Os ataques de negação de serviço distribuída (DDoS) estão entre as maiores preocupações de disponibilidade e segurança para as organizações que migram aplicações para a cloud. A Proteção contra DDoS do Azure protege os recursos do Azure contra ataques DDoS.

SKUs de proteção contra DDoS do Azure:

  • Proteção de Infraestrutura DDoS: Proteção básica ativada por defeito em todas as propriedades do Azure sem custo adicional.
  • DDoS Network Protection: Proteção avançada para recursos em redes virtuais com ajuste adaptativo, políticas de mitigação e monitorização.

Os recursos de Proteção de Rede DDoS incluem:

  • Integração da plataforma nativa com a configuração através do portal do Azure
  • Monitoramento de tráfego sempre ativo e mitigação em tempo real
  • Análise de ataques, incluindo relatórios de mitigação e logs de fluxo
  • Ajuste adaptável com base em padrões de tráfego de aplicativos
  • Garantia de custo, incluindo transferência de dados e créditos de serviço de expansão de aplicativos

Saiba mais:

Azure Front Door

O Azure Front Door é um ponto de entrada global e escalável que usa a rede de borda global da Microsoft para criar aplicativos Web rápidos, seguros e amplamente escaláveis. O Front Door fornece balanceamento de carga de camada 7, terminação TLS, roteamento baseado em URL e segurança integrada.

As capacidades da porta frontal incluem:

  • Balanceamento de carga HTTP global com "failover" instantâneo
  • Terminação TLS na periferia
  • Roteamento baseado em caminho de URL
  • Afinidade de sessão baseada em cookies
  • Proteção por firewall de aplicativos Web
  • Proteção contra DDoS no nível da plataforma
  • Integração de Link Privado para proteger origens de back-end

Saiba mais:

Monitorização e deteção de ameaças

O Azure fornece ferramentas para monitorizar a segurança da rede e detetar ameaças.

Observador de Rede do Azure

O Observador de Rede do Azure fornece ferramentas para monitorizar, diagnosticar e obter informações sobre a sua rede no Azure.

Os recursos do Inspetor de Rede incluem:

  • Monitor de Ligação: Monitoriza a conectividade entre recursos e endpoints do Azure.
  • Registos de fluxo dos NSG: Registam informações sobre o tráfego IP que flui através de grupos de segurança de rede.
  • Captura de pacotes: Captura tráfego de rede para e de máquinas virtuais.
  • Resolução de problemas de VPN: Diagnostica problemas com gateways e ligações VPN.
  • Diagnóstico de rede: Valida a configuração da rede e identifica problemas de segurança.

Saiba mais:

Microsoft Defender para a Cloud

O Microsoft Defender para a Cloud ajuda-o a prevenir, detetar e responder a ameaças com maior visibilidade e controlo sobre a segurança dos seus recursos do Azure. O Defender para a Cloud fornece recomendações de segurança de rede, monitoriza a configuração de segurança de rede e alerta-o para ameaças baseadas na rede.

Saiba mais:

Próximos passos

  • Last updated on