Azure Güvenlik Duvarı 'nın Azure Well-Architected Framework incelemesi

Bu makalede, Azure Güvenlik Duvarı için en iyi mimari uygulamalar sağlanmaktadır. Bu kılavuz, mimarinin en üstün beş boyutunu temel alır: maliyet iyileştirme, işlemsel üstün, performans verimliliği, güvenilirlik ve güvenlik.

Maliyet iyileştirmesi

Daha az kullanılan Azure Güvenlik Duvarı örneklerini gözden geçirin ve kullanımda olan Azure Güvenlik Duvarı dağıtımlarını belirleyip silin. Kullanımda olmayan Azure Güvenlik Duvarı dağıtımlarını belirlemek için, güvenlik duvarının özel IP 'sini işaret eden alt ağlarla ilişkili Izleme ölçümlerini ve Kullanıcı tanımlı yolları (UDRs) çözümlemeye başlayın. Daha sonra, Azure Güvenlik Duvarı 'nın NAT veya ağ ve uygulama için herhangi bir kurala (klasik) sahip olması veya DNS proxy ayarı devre dışıolarak yapılandırılmış olsa bile, ortamınız ve dağıtımlarınızla ilgili dahili belgelerde olduğu gibi ek doğrulamalarla birleştirin. Azure Güvenlik Duvarı günlüklerini ve ölçümlerini ve SNAT bağlantı noktası kullanımınıizlemek için günlükleri ve ölçümleri izleme hakkındaki ayrıntılara bakın.

Aynı Azure Güvenlik duvarını birden çok iş yükü ve Azure sanal ağı üzerinde paylaşabilirsiniz. Hub sanal ağında merkezi bir Azure Güvenlik Duvarı dağıtın ve aynı hub 'a bağlı olan çok sayıda bağlı olan sanal ağ genelinde aynı güvenlik duvarını aynı bölgeden paylaşabilirsiniz. Hub-ışınsal topolojisi kapsamında beklenmeyen çapraz bölge trafiği bulunmadığından emin olun.

24 saat boyunca çalıştırılması gerekmeyen Azure Güvenlik Duvarı dağıtımlarını durdurun. Bu durum, yalnızca iş saatlerinde kullanılan geliştirme ortamları için de olabilir. Serbest bırakma ve Azure Güvenlik Duvarı ayırmahakkında daha fazla ayrıntı görüntüleyin.

Güvenlik duvarınızın ihtiyaç duyacağı genel IP sayısını doğru şekilde boyutlandırın. İlişkili genel IP 'Lerin tümünün kullanımda olup olmadığını doğrulayın. Bunlar kullanımda değilse, ilişkiyi kaldırın ve silin. Yönetim yükünüzü azaltmak için IP gruplarını kullanın. Herhangi bir IP adresini kaldırmadan önce SNAT bağlantı noktası kullanımını değerlendirin. Azure Güvenlik Duvarı günlüklerini ve ölçümlerini ve SNAT bağlantı noktası kullanımınıizlemek için günlükleri ve ölçümleri izleme hakkındaki ayrıntılara bakın.

Verimlilik arttırarak ve yönetim yükünüzü azaltarak, işletimsel maliyetlerinizi azaltmak için Azure Güvenlik Duvarı Yöneticisi 'Ni ve ilkelerini kullanın. Güvenlik Duvarı Yöneticisi ilkelerinizi, ilişkilendirmelerinizi ve devralmayı dikkatle gözden geçirin. İlkeler, güvenlik duvarı ilişkilerine göre faturalandırılır. Sıfır veya bir güvenlik duvarı ilişkilendirmesine sahip bir ilke ücretsizdir. Birden çok güvenlik duvarı ilişkilendirmesi olan bir ilke sabit bir fiyat üzerinden faturalandırılır. Daha fazla ayrıntı için bkz. fiyatlandırma-güvenlik duvarı Yöneticisi.

İki Azure Güvenlik Duvarı SKU 'su arasındaki farkları gözden geçirin. standart seçenek genellikle, Premium kuzey-güney trafiği için gerekli ek özelliklerle, zorunlu tünel özelliğinin ve diğer birçok özelliğin geldiği doğu batı trafiği için yeterlidir. Azure güvenlik duvarı Premium önizleme özelliklerihakkında daha fazla bilgi görüntüleyin. gereksinimlerinize göre standart ve Premium seçeneklerini kullanarak karışık senaryolar dağıtın.

Operasyonel Mükemmellik

Genel yönetim ve idare

• Aşağıdakileri yönetmek için Azure Güvenlik Duvarı 'nı kullanın:
  • İnternet giden trafiği (internet 'e erişen VM 'Ler ve hizmetler)
  • HTTP olmayan/S gelen trafik
  • Doğu-Batı trafik filtreleme
• aşağıdaki yeteneklerden herhangi biri gerekliyse Azure güvenlik duvarı Premium kullanın:
  • TLS incelemesi-giden trafiğin şifresini çözer, verileri işler, verileri şifreler ve ardından hedefe gönderir.
  • IDPS-ağ izinsiz giriş algılama ve önleme sistemi (ıDPS), kötü amaçlı etkinlik için ağ etkinliklerini izlemenize, bu etkinlikle ilgili bilgileri günlüğe almanıza, raporlamayla ve isteğe bağlı olarak engellemeyi denemenize olanak tanır.
  • URL Filtresi-Azure Güvenlik duvarının FQDN filtreleme özelliğini genişleterek tüm URL 'YI düşünün. Örneğin, filtrelenmiş URL, www.contoso.comyerine www.contoso.com/a/c olabilir.
  • Web kategorileri-Yöneticiler, kumar web siteleri, sosyal medya web siteleri ve diğerleri gibi web sitesi kategorilerine Kullanıcı erişimine izin verebilir veya erişimi reddedebilir.
  • daha fazla ayrıntı için bkz. Azure güvenlik duvarı Premium önizleme özellikleri.
• Azure sanal WAN hub 'ları ve hub-ışınsal tabanlı dağıtımlar genelinde birden çok Azure Güvenlik Duvarı dağıtmak ve yönetmek için güvenlik duvarı yöneticisini kullanın.
• Küresel ağ ortamında güvenlik duruşunu yönetmek için genel bir Azure Güvenlik duvarı ilkesi oluşturun ve sonra tüm Azure Güvenlik Duvarı örneklerine atayın. Bu, ayrıntılı ilkelerin, yerel güvenlik ekiplerine RBAC aracılığıyla artımlı Azure Güvenlik Duvarı ilkelerinin yetkisini alarak belirli bölgelerin gereksinimlerini karşılamasına olanak sağlar.
• Giden bağlantıları korumak için bu tür çözümleri kullanmak istiyorsanız güvenlik duvarı Yöneticisi içinde desteklenen 3. taraf SaaS güvenlik sağlayıcılarını yapılandırın.
• Mevcut dağıtımlar için Azure Güvenlik duvarı kurallarını Azure Güvenlik Duvarı Yöneticisi ilkelerine geçirin ve Azure Güvenlik Duvarı Yöneticisi 'ni kullanarak güvenlik duvarlarını ve ilkelerinizi merkezi olarak yönetin.

Altyapı sağlama ve değişiklikler

• Azure Güvenlik duvarının hub VNet 'te dağıtılmasını öneririz. Çok özel senaryolar, bağlı olan sanal ağlarda ek Azure Güvenlik Duvarı dağıtımları gerektirebilir, ancak bu yaygın değildir.
• IP öneklerini kullanmayı tercih edin.
• Özellikle SNAT bağlantı noktalarıyla limitler ve sınırlamalar hakkında bilgi sahibi olun. Sınırları aşmayın ve sınırlamalara dikkat edin. Azure abonelik limitleri ve kotaları-Azure Resource ManagerAzure Güvenlik Duvarı sınırlarına bakın. Ayrıca, Azure Güvenlik Duvarı hakkında SSS bölümündemevcut kullanılabilirlik sınırlamaları hakkında daha fazla bilgi edinin.
• Eşzamanlı dağıtımlar için, aralarında eşzamanlı yerleştirme işlemlerine sahip olmayan IP gruplarını, ilkeleri ve güvenlik duvarlarını kullandığınızdan emin olun. IP grupları ve ilkelerine yönelik tüm güncelleştirmelerin, daha sonra çalışan bir örtük güvenlik duvarı güncelleştirmesine sahip olduğundan emin olun.
• Güvenlik Duvarı değişikliklerini doğrulamak için bir geliştiricinin ve test ortamının olduğundan emin olun.
• İyi tasarlanmış bir çözüm Ayrıca, tüm işlevsel ve işlevsel olmayan gereksinimlere uyum sağlamak için kaynaklarınızın yerleşimini göz önünde bulundurmayı de kapsar. Azure Güvenlik Duvarı, Application Gateway ve yük dengeleyiciler farklı hedeflere ulaşmak için birden çok şekilde birleştirilebilir. Güvenlik duvarındaki ve sanal ağlar için Application Gatewayayrıntılı önerilere sahip senaryolar bulabilirsiniz.

Ağ

Azure Güvenlik Duvarı, sanal ağınızdaki adanmış bir dağıtımdır. Sanal ağınızda, Azure Güvenlik Duvarı için adanmış bir alt ağ gerekir. Azure Güvenlik Duvarı, ölçeklendirilirken daha fazla kapasite sağlayacak. Alt ağları için bir/26 adres alanı, güvenlik duvarının, ölçeklendirmeye uyum sağlayacak yeterli IP adresine sahip olmasını sağlar. Azure Güvenlik Duvarı/26 ' dan büyük bir alt ağa gerek kalmaz ve Azure Güvenlik Duvarı alt ağ adı AzureFirewallSubnetolmalıdır.

• Zorlamalı tünel özelliğini kullanmayı düşünüyorsanız, Azure Güvenlik Duvarı Yönetim alt ağı için ek bir/26 adres alanı gerekir ve bunu AzureFirewallManagementSubnet olarak vermelisiniz (Bu da bir gereksinimdir).
• Azure Güvenlik duvarı her zaman iki örnek ile başlatılır, 20 örneğe kadar ölçeklendirebilir ve bu tek örnekleri göremezsiniz. Her VNet 'te yalnızca tek bir Azure Güvenlik Duvarı örneği dağıtabilirsiniz.
• Azure Güvenlik Duvarı internete bağlı olmalıdır. AzureFirewallSubnet 'niz BGP aracılığıyla şirket içi ağınıza varsayılan bir yol öğrenirse, Azure Güvenlik duvarını Zorlamalı tünel modunda yapılandırmanız gerekir. Bu, Zorlamalı tünel modunda yeniden yapılandırılamayan mevcut bir Azure Güvenlik Duvarı örneğidir, bu durumda, Nexthoptype değeri Internetolarak ayarlanmış şekilde 0.0.0.0/0 rotası ile bir UDR oluşturmanız önerilir. İnternet bağlantısını sürdürmek için AzureFirewallSubnet ile ilişkilendirin.
• Yeni bir Azure Güvenlik Duvarı örneği dağıtırken, Zorlamalı tünel modunu etkinleştirirseniz, tamamen özel bir veri düzlemi dağıtmak için genel IP adresini hiçbiri olarak ayarlayabilirsiniz. Bununla birlikte, yönetim düzlemi yalnızca yönetim amacıyla genel IP 'yi de gerektirir. Sanal ağlardan ve/veya şirket içinde iç trafik, bu genel IP 'yi kullanmaz. Azure Güvenlik Duvarı zorlamalı tüneldeZorlamalı tünel oluşturma hakkında daha fazla bilgi.
• Çok bölgeli Azure ortamlarınız olduğunda Azure Güvenlik duvarının bölgesel bir hizmet olduğunu unutmayın. Bu nedenle, bölgesel hub 'a göre muhtemelen bir örnek olacaktır.

İzleme

Kapasite ölçümlerini izleme

Aşağıdaki ölçümler, sağlanan Azure Güvenlik Duvarı kapasitesinin kullanım göstergeleri olarak müşteri tarafından kullanılabilir. Uyarılar, her türlü ölçüm için eşiğe ulaşıldığında bildirim almak için müşteriler tarafından gerektiği şekilde ayarlanabilir.

Azure Güvenlik Duvarı Workbook kullanarak günlükleri izleme

Azure Güvenlik Duvarı sorun gidermeye ilişkin birkaç günlük ve ölçüm daha ortaya çıkarır ve bu da sorunların göstergesi olarak kullanılabilir. Aşağıdaki tabloya göre uyarıları değerlendirmenizi öneririz. Günlükler ve Azure Güvenlik Duvarı izleme'ye bakın.

Tanılama günlükleri ve ilke analizi

• Tanılama günlükleri günlüklerini, performans Azure Güvenlik Duvarı günlüklerini ve erişim günlüklerini görüntülemeye olanak sağlar. Bu günlükleri Azure'da kullanarak örnek örneğinizi yönetebilir ve Azure Güvenlik Duvarı giderebilirsiniz.

• İlke analizi Azure Güvenlik Duvarı Yöneticisi kurallarla ve bu kurallar için isabet sayısıyla eşleşmeye başlamanızı sağlar. Hangi kuralın kullanımda olduğunu ve eşleni trafikle eşlenerek, trafiğin tam görünürlüğüne sahip olabilirsiniz.

Performans verimliliği

SNAT bağlantı noktalarının tükenmesi

• 512.000'den fazla bağlantı noktası gerekiyorsa, nat ağ geçidini Azure Güvenlik Duvarı. Bu sınırın ölçeğini yukarıya ölçeklendirmek için, bir NAT ağ geçidini ağ geçidi alt ağıyla Azure Güvenlik Duvarı olabilir. Daha fazla bilgi için bkz. SNAT bağlantı noktalarını Azure NAT Gateway.

Otomatik ölçeklendirme ve performans

• Azure Güvenlik Duvarı otomatik ölçeklendirme kullanır. 30 Gbps'ye kadar çıkılır.
• Azure Güvenlik Duvarı her zaman 2 örnekle başlar. CPU ve ağ aktarım hızına göre ölçeği artırır ve azaltır. Otomatik ölçeklendirmeden sonra Azure Güvenlik Duvarı n-1 veya n+1 örnekleriyle biter.
• ÖLÇEĞI artırmak, CPU veya aktarım hızı eşiğinin %60'ın üzerinde, beş dakikadan uzun bir süre boyunca devam ediyorsa gerçekleşir.
• CPU veya aktarım hızı eşiği %60'ın altında olduğunda, 30 dakikadan uzun süre ölçeğin ölçeğini azaltır. Ölçeği aşağı ölçeklendirme işlemi tam olarak gerçekleşir (örnekleri silme). Onaysız örneklerde etkin bağlantıların bağlantısı kesilir ve diğer örneklere devrediliyor. Uygulamaların çoğu için bu işlem kapalı kalma süresine neden olmaz, ancak uygulamaların bir tür otomatik yeniden bağlanma özelliğine sahip olması gerekir. (Çoğunluğun zaten bu özelliği var.)
• Yük testleri yapıyorsanız, testten 20 dakika önce yük testlerinin parçası olan ilk trafiği 20 dakika içinde oluşturun. Bu, Azure Güvenlik Duvarı örneğinin örneklerinin ölçeğini en yüksek değere kadar ölçeklendirmesini sağlar. Ölçek ölçeğini ve ölçeğini aşağı ölçeklendirme olaylarını yakalamak için tanılama ayarlarını kullanın.
• 10.000 ağ kurallarını aşmayın ve IP Gruplarını kullanmaya emin olun. Ağ kuralları oluştururken, Her kural için Azure'ın Aslında Bağlantı Noktası x IPAdreslerini katsıyor olduğunu unutmayın. Bu nedenle, dört IP adresi aralığı ve beş bağlantı noktası içeren bir kuralınız varsa aslında 20 ağ kuralı kullanırsanız. Her zaman IP aralıklarını özetlemeyi deneyin.
• Uygulama Kuralları için herhangi bir kısıtlama yoktur.
• Önce İzin Ver kurallarını ekleyin ve ardından Reddetme kurallarını en düşük öncelik düzeylerine ekleyin.

Güvenilirlik

• Azure Güvenlik Duvarı tek bir Kullanılabilirlik Alanı'nde dağıtıldığında ve birden çok bölgede dağıtıldığında için farklı SLA'lar sağlar. Daha fazla bilgi için bkz. Azure Güvenlik Duvarı. Tüm Azure SLA'ları hakkında bilgi için bkz. Azure hizmet düzeyi anlaşmaları sayfası.

• Hatalara karşı dayanıklı ve hataya dayanıklı olacak şekilde tasarlanmış iş yükleri için, Azure Güvenlik Duvarları ve Sanal Ağlar'ın bölgesel kaynaklar olduğunu göz önünde bulundurmalısınız.

• Ölçümleri, özellikle de SNAT bağlantı noktası kullanımını, güvenlik duvarı sistem durumunu ve aktarım hızını yakından izleyin.

• Ağ kurallarınıza birden çok ip adresi veya IP adresi aralığı eklemekten kaçının. Bunun yerine süper ağları veya mümkün olduğunda IP Gruplarını kullanın. Azure Güvenlik Duvarı sayıda X kuralı vardırve bu da 10.000 önerilen kural sınırına ulaşmanı sağlar.

Güvenlik

• Kural işleme mantığını anlama:
  • Azure Güvenlik Duvarı NAT kuralları, ağ kuralları ve uygulama kuralları vardır. Kurallar kural türüne göre işlenir. Kural işleme mantığı Azure Güvenlik Duvarı daha fazla bilgi için bkz. Azure Güvenlik Duvarı Yöneticisi işleme mantığı.
• Ağ kurallarında FQDN filtrelemesini kullanın.
  • FQDN'leri Ağ Kuralları ve Güvenlik Duvarı ilkesinde DNS çözümlemesi Azure Güvenlik Duvarı ağ kurallarında kullanabilirsiniz. Bu özellik, giden trafiği herhangi bir TCP/UDP protokolüyle (NTP, SSH, RDP ve daha fazlası dahil) filtreleme olanağı sağlar. Ağ kurallarında FQDN'leri kullanmak için DNS ara sunucusunu etkinleştirmeniz gerekir. Ağ kurallarında FQDN Azure Güvenlik Duvarı nasıl çalıştığını görmek için bkz..
• Azure Güvenlik Duvarı ilkesi DNAT ile gelen İnternet trafiğini filtrelediğinize göre güvenlik nedenleriyle belirli bir İnternet kaynağı eklemek, DNAT'nin ağa erişmesine izin vermek ve joker karakterlerin kullanılmasından kaçınmak önerilir.
• Özel Azure Güvenlik Duvarı (sanal WAN senaryosu) güvenli hale almak için özel uç noktaları kullanın. Daha fazla bilgi için bkz. Azure Sanal WAN'deözel uç noktalara yol Azure Sanal WAN.
• Tehdit zekası yapılandırma:
  • Tehdit zekası tabanlı filtreleme, bilinen kötü amaçlı IP adresleri Azure Güvenlik Duvarı etki alanlarından gelen ve gelen trafiği uyarıp reddetmek üzere Azure Güvenlik Duvarı ilkeniz için yalıtabilirsiniz. Tehdit zekası yapılandırması Azure Güvenlik Duvarı daha fazla bilgi için bkz..
• Şu Azure Güvenlik Duvarı Yöneticisi:
  • Azure Güvenlik Duvarı Yöneticisi, bulut tabanlı güvenlik çevreleri için merkezi bir güvenlik ilkesi ve yol yönetimi sağlayan bir güvenlik yönetimi hizmetidir. Aşağıdaki özellikleri içerir:
    • Merkezi Azure Güvenlik Duvarı dağıtım ve yapılandırma.
    • Hiyerarşik ilkeler (genel ve yerel).
    • Gelişmiş güvenlik için üçüncü taraf hizmet olarak güvenlikle tümleştirilmiştir.
    • Merkezi yol yönetimi.
  • İlkelerin nasıl uygulandığını anlamak için bkz. Azure Güvenlik Duvarı Yöneticisi genel bakış.
  • Bir Azure Güvenlik Duvarı hiyerarşisi tanımlamak için bir ilke kullanın. Bkz. Azure Güvenlik Duvarı hiyerarşisi tanımlamak için bir ilke kullanma.
• Azure Güvenlik Duvarı Premium kullanın:
  • Azure güvenlik duvarı Premium, yüksek düzeyde hassas ve düzenlenmiş ortamlar için gereken özellikleri içeren yeni nesil bir güvenlik duvarıdır. Aşağıdaki özellikleri içerir:
    • TLS incelemesi-giden trafiğin şifresini çözer, verileri işler, verileri şifreler ve ardından hedefe gönderir.
    • IDPS-ağ izinsiz giriş algılama ve önleme sistemi (ıDPS), kötü amaçlı etkinlik için ağ etkinliklerini izlemenize, bu etkinlikle ilgili bilgileri günlüğe almanıza, raporlamayla ve isteğe bağlı olarak engellemeyi denemenize olanak tanır.
    • URL Filtresi-Azure Güvenlik duvarının FQDN filtreleme özelliğini genişleterek tüm URL 'YI düşünün. Örneğin, filtrelenmiş URL, www.contoso.comyerine www.contoso.com/a/c olabilir.
    • Web kategorileri-Yöneticiler, kumar web siteleri, sosyal medya web siteleri ve diğerleri gibi web sitesi kategorilerine Kullanıcı erişimine izin verebilir veya erişimi reddedebilir.
  • daha fazla bilgi için bkz. Azure güvenlik duvarı Premium önizleme özellikleri.
• Bir güvenlik iş ortağı sağlayıcısı dağıtın:
  • Güvenlik iş ortağı sağlayıcıları, Azure Güvenlik Duvarı Yöneticisi 'nde, kullanıcılarınız için Internet erişimini korumak üzere tanıdık, en uygun, kümelenen, üçüncü taraf güvenlik (SECaaS) teklifini kullanmanıza olanak sağlar.
  • Hızlı yapılandırmayla, desteklenen bir güvenlik ortağıyla bir hub 'ı güvenli hale getirebilirsiniz. Internet trafiğini sanal ağlarınızdan (VNet) veya bölge içindeki dal konumlarından yönlendirebilir ve filtreleyebilirsiniz. Bunu otomatik yönlendirme yönetimi ile, Kullanıcı tanımlı yollar (UDRs) ayarlamadan ve yönetmeden yapabilirsiniz.
  • Desteklenen geçerli güvenlik iş ortakları Zscaler, Check Point ve ıpatron.
  • Bkz. Azure Güvenlik Duvarı Yöneticisi güvenlik iş ortağı sağlayıcısı dağıtma.

Sonraki adımlar

• Microsoft Azure Well-Architected çerçevesinebakın.
• Azure Güvenlik Duvarı nedir?

İlgili kaynaklar

• Azure Güvenlik Duvarı mimarisine genel bakış
• Azure Well-Architected Framework 'te Azure Application Gateway incelemesi
• Sanal ağlar için Güvenlik Duvarı ve Uygulama Ağ Geçidi
• Sanal ağ eşlemesi ve VPN ağ geçitleri arasında seçim yapma
• Azure'da merkez-uç ağ topolojisi
• Azure’daki son derece hassas olan IaaS uygulamalarına yönelik güvenlik konuları