Imposição de rede virtual com regras de administração de segurança no Azure Virtual Network Manager

Neste artigo, você aprenderá como as regras de administradores de segurança fornecem uma aplicação flexível e escalável de políticas de segurança em ferramentas como grupos de segurança de rede. Primeiro, aprende os diferentes modelos de aplicação da rede virtual. Em seguida, você aprende as etapas gerais para aplicar a segurança com regras de administração de segurança.

Imposição de rede virtual

Com grupos de segurança de rede (NSGs) sozinhos, a aplicação generalizada em redes virtuais em vários aplicativos, equipes ou até mesmo organizações inteiras pode ser complicada. Muitas vezes, há um equilíbrio entre as tentativas de aplicação centralizada em toda a organização e a entrega do controle granular e flexível às equipes.

As regras de administração de segurança visam eliminar completamente essa escala deslizante entre aplicação e flexibilidade, consolidando os prós de cada um desses modelos e reduzindo os contras de cada um. As equipas centrais de governação estabelecem limites de proteção através de regras administrativas de segurança, deixando ainda margem para que as equipas individuais definam com precisão a segurança, de forma flexível, conforme necessário, através de regras de NSG. As regras de administração de segurança não se destinam a substituir as regras do NSG. Em vez disso, eles trabalham com regras NSG para fornecer aplicação e flexibilidade em toda a sua organização.

Modelos de aplicação

Vejamos alguns modelos comuns de gerenciamento de segurança sem regras de administração de segurança e seus prós e contras:

Modelo 1 - Gestão da equipa de governação central com os NSGs

Nesse modelo, uma equipe de governança central dentro de uma organização gerencia todos os NSGs.

Vantagens Contras
A equipa de governação central pode aplicar regras de segurança importantes. A sobrecarga operacional é alta, pois os administradores precisam gerenciar cada NSG, à medida que o número de NSGs aumenta, a carga aumenta.

Modelo 2 - Gestão de equipas individuais com NSGs

Nesse modelo, equipes individuais dentro de uma organização sem uma equipe de governança centralizada gerenciam seus próprios NSGs.

Vantagens Contras
A equipa individual tem um controlo flexível na adaptação das regras de segurança com base nos seus requisitos de serviço. A equipe de governança central não pode impor regras de segurança críticas, como o bloqueio de portas arriscadas.

Cada equipa também pode configurar incorretamente ou esquecer-se de associar NSGs, o que pode levar à exposição a vulnerabilidades.

Modelo 3 - Os NSGs são criados através da Política do Azure e geridos por equipas individuais.

Neste modelo, as equipas individuais ainda gerem os seus NSGs. A diferença é que os NSGs são criados usando a Política do Azure para definir regras padrão. A alteração destas regras desencadearia notificações de auditoria.

Vantagens Contras
A equipa individual tem um controlo flexível na adaptação das regras de segurança.

A equipe de governança central pode criar regras de segurança padrão e receber notificações se as regras forem modificadas.		 A equipe de governança central ainda não pode aplicar as regras de segurança padrão, uma vez que os proprietários de NSG nas equipes ainda podem modificá-las.

As notificações também seriam difíceis de gerir.

Aplicação de tráfego de rede e exceções com regras de administração de segurança

Vamos aplicar os conceitos discutidos até agora a um cenário de exemplo. Um administrador de rede da empresa deseja impor uma regra de segurança para bloquear o tráfego SSH de entrada para toda a empresa. A aplicação deste tipo de regra de segurança era difícil sem uma regra de administração de segurança. Se o administrador gerencia todos os NSGs, a sobrecarga de gerenciamento é alta e o administrador não pode responder rapidamente às necessidades das equipes de produto para modificar as regras do NSG. Por outro lado, se as equipes de produto gerenciarem seus próprios NSGs sem regras de administração de segurança, o administrador não poderá impor regras de segurança críticas, deixando potenciais riscos de segurança em aberto. Usar regras de administração de segurança e NSGs pode resolver esse dilema.

Neste caso, o administrador pode criar uma regra de administração de segurança para bloquear o tráfego SSH de entrada para todas as redes virtuais da empresa. O administrador também pode criar uma regra de administração de segurança para permitir o tráfego SSH de entrada para redes virtuais específicas que precisam de uma exceção. A regra de administrador de segurança é aplicada em toda a empresa e o administrador ainda pode permitir exceções para redes virtuais específicas. Isso é feito através do uso da ordem de prioridade para cada regra.

O diagrama mostra como o administrador pode atingir os seguintes objetivos:

  • Aplique regras de administração de segurança em toda a organização.
  • Permita exceções para a equipe do aplicativo lidar com o tráfego SSH.

Diagrama de imposição de regras de administração de segurança com grupos de segurança de rede no Gerenciador de Rede Virtual do Azure.

Etapa 1: Criar uma instância do gerenciador de rede

O administrador da empresa pode criar um gestor de rede, tendo o grupo de gestão raiz da empresa como âmbito desta instância do gestor de rede.

Etapa 2: Criar grupos de rede para redes virtuais

O administrador cria dois grupos de rede – grupo de rede ALL que consiste em todas as redes virtuais da organização e Grupo de rede de aplicativos que consiste em redes virtuais para o aplicativo que precisa de uma exceção. O grupo de rede ALL no diagrama acima consiste em VNet 1 a VNet 5, e o grupo de rede App tem VNet 4 e VNet 5. Os usuários podem facilmente definir ambos os grupos de rede usando a associação dinâmica.

Etapa 3: Criar uma configuração de administrador de segurança

As regras de administração de segurança são avaliadas por ordem de prioridade, e uma regra com um número de prioridade menor é avaliada primeiro. Neste passo, a configuração de administrador de segurança contém duas regras de administrador de segurança:

  • Uma regra de administração de segurança que nega o tráfego SSH de entrada para o grupo ALL de rede com prioridade 100.
  • Uma regra de administração de segurança que permite o tráfego SSH de entrada para o grupo de rede de aplicações com prioridade 10.

Como 10 é inferior a 100, a regra de permitir para o grupo de redes de aplicações é avaliada antes da regra de recusa que se aplica a todas as redes virtuais da organização.

Etapa 4: Implantar a configuração do administrador de segurança

Depois de implementares a configuração de administrador de segurança, todas as redes virtuais da empresa têm a regra de negar tráfego SSH de entrada aplicada pela regra de administrador de segurança. Nenhuma equipe individual pode modificar a regra de negação. Só o administrador da empresa pode defini-la. As redes virtuais App têm tanto uma regra de permitir tráfego SSH de entrada como uma regra de negação de tráfego SSH de entrada (herdada da regra de Todos os grupos de rede ). A regra de permitir tráfego SSH de entrada para o grupo de rede de aplicações está na prioridade 10, por isso é avaliada primeiro. Quando o tráfego SSH de entrada chega a uma rede virtual de aplicações , a regra de prioridade 10 permite o tráfego. Assumindo que existem NSGs nas sub-redes das redes virtuais da App , este tráfego SSH de entrada é avaliado de seguida com base nos NSGs definidos pela equipa da aplicação. A metodologia de regras de administração de segurança descrita aqui permite que o administrador da empresa aplique efetivamente as políticas da empresa e crie proteções flexíveis em toda a organização que trabalha com NSGs.

Próximos passos

  • Last updated on