Защита развертывания VPN-шлюза

VPN-шлюз Azure обеспечивает безопасные, зашифрованные подключения между локальными сетями и виртуальными сетями Azure или между виртуальными сетями Azure. Он поддерживает vpn-подключения типа "сеть — сеть" и "точка — сеть" с помощью стандартных протоколов IPsec/IKE. Так как VPN-шлюз выступает в качестве критической точки входа для сетевого трафика, обеспечение правильной защиты необходимо для защиты всей инфраструктуры Azure и поддержания конфиденциальности и целостности передаваемых данных.

В этой статье приводятся рекомендации по обеспечению оптимальной защиты развертывания VPN-шлюза.

Сетевая безопасность

Безопасность сети для VPN-шлюза включает реализацию нескольких уровней защиты, чтобы защитить инфраструктуру шлюза и трафик, проходящий через него. Правильная сегментация сети, управление доступом и фильтрация трафика помогают предотвратить несанкционированный доступ и защититься от внешних угроз.

  • Реализуйте сегментацию сети с виртуальными сетями: разверните VPN-шлюз в хорошо разработанной архитектуре виртуальной сети, которая соответствует принципам сегментации предприятия. Изолируйте системы высокого риска в собственных виртуальных сетях и убедитесь, что соответствующие границы сети соответствуют вашему бизнес-профилю риска. Дополнительные сведения см. в обзоре виртуальной сети Azure.

  • Безопасный трафик с помощью групп безопасности сети: применение групп безопасности сети (NSG) для ограничения и управления трафиком между внутренними ресурсами на основе стратегии сегментации приложения и предприятия. Используйте подход "запретить по умолчанию, разрешение по исключению" для высокозащищенных сред. Дополнительные сведения см. в разделе Группы безопасности сети.

  • Повышение защиты с помощью брандмауэра Azure: разверните брандмауэр Azure вместе с VPN-шлюзом, чтобы обеспечить централизованную защиту сетевого уровня для облачной среды. Брандмауэр Azure помогает фильтровать трафик между подсетями и виртуальными машинами, поддерживая высокий уровень доступности и масштабируемость. Дополнительные сведения см. в обзоре брандмауэра Azure.

  • Включите защиту DDoS: активируйте защиту Azure DDoS Стандартная на ваших виртуальных сетях для защиты от атак типа "отказ в обслуживании". Защита от атак DDoS обеспечивает обнаружение в режиме реального времени и автоматическое устранение рисков для защиты VPN-шлюза и других критически важных ресурсов. Дополнительные сведения см. в обзоре Azure DDoS Protection Standard.

  • Используйте адаптивную защита сети: реализуйте рекомендации по адаптивной защиты сети в Microsoft Defender для облака для оптимизации конфигураций NSG. Эта служба анализирует шаблоны трафика и предоставляет рекомендации по ограничению портов и исходных IP-адресов на основе фактического использования. Дополнительные сведения см. в статье Адаптивная защита сети в Microsoft Defender для облака.

  • Безопасное подключение частных сетей: используйте Azure ExpressRoute в сочетании с VPN-шлюзом для создания частных подключений между центрами обработки данных Azure и локальной инфраструктурой. Подключения ExpressRoute не проходят через общедоступный Интернет, предоставляя более высокую надежность, скорость и низкую задержку, чем типичные подключения к Интернету. Дополнительные сведения см. в статье о сосуществовании ExpressRoute и VPN-шлюза.

  • Настройте VPN на основе маршрутов для повышения безопасности: используйте VPN-шлюзы на основе маршрутов вместо шлюзов на основе политик для поддержки расширенных функций, таких как пользовательские политики IPsec/IKE, маршрутизация BGP и несколько подключений туннеля. Шлюзы на основе маршрутов обеспечивают лучшие параметры безопасности и гибкость для сложных топологий сети. Дополнительные сведения см. в статье Сведения о параметрах VPN-шлюза.

  • Реализуйте конфигурацию шлюза active-active: разверните VPN-шлюз в режиме active-active, чтобы обеспечить высокий уровень доступности и исключить отдельные точки сбоя. Эта конфигурация обеспечивает избыточность и поддерживает подключение во время обслуживания или непредвиденных сбоев. Дополнительные сведения см. в разделе о высокодоступных подключениях.

Управление идентичностью

Управление удостоверениями для VPN-шлюза ориентировано на внедрение механизмов безопасной проверки подлинности и централизованного контроля удостоверений. Правильное управление удостоверениями гарантирует, что только авторизованные пользователи и устройства могут устанавливать VPN-подключения при сохранении беспрепятственного доступа.

  • Стандартизируйте идентификатор Microsoft Entra для централизованного управления удостоверениями. Используйте идентификатор Microsoft Entra в качестве службы управления удостоверениями и доступом по умолчанию для проверки подлинности VPN-шлюза. Это обеспечивает согласованное управление удостоверениями в ресурсах Microsoft Cloud, включая портал Azure, службу хранилища Azure, виртуальные машины и Key Vault, а также приложения вашей организации. Дополнительные сведения см. в разделе "Что такое идентификатор Microsoft Entra?

  • Настройка проверки подлинности идентификатора Microsoft Entra для VPN типа "точка — сеть": включите проверку подлинности идентификатора Microsoft Entra для VPN-подключений P2S, чтобы обеспечить возможности единого входа и централизованное управление пользователями. Это позволяет пользователям проходить проверку подлинности с помощью учетных данных организации и поддерживать политики условного доступа. Дополнительные сведения см. в статье Настройка проверки подлинности идентификатора Microsoft Entra для VPN типа "точка — сеть".

  • Реализуйте проверку подлинности на основе сертификатов: используйте проверку подлинности на основе сертификатов в качестве дополнительного или альтернативного метода проверки подлинности для VPN-подключений типа "точка — сеть". Это обеспечивает надежную проверку подлинности, не используя только имена пользователей и пароли, повышая безопасность для сценариев удаленного доступа. Дополнительные сведения см. в разделе "Настройка проверки подлинности сертификата" для VPN типа "точка — сеть".

  • Поддержка нескольких типов проверки подлинности: настройте несколько типов проверки подлинности для VPN типа "точка — сеть", чтобы обеспечить гибкость при сохранении безопасности. Это позволяет объединить проверку подлинности Идентификатора Microsoft Entra с проверкой подлинности на основе сертификатов на основе различных требований пользователей и профилей риска. Дополнительные сведения см. в разделе "Настройка нескольких типов проверки подлинности" для VPN типа "точка — сеть".

Привилегированный доступ

Управление привилегированным доступом для VPN-шлюза гарантирует, что административный доступ к ресурсам шлюза правильно контролируется и отслеживается. Это включает в себя реализацию управления доступом на основе ролей, принципов мгновенного доступа и безопасных административных практик.

  • Примените минимальные привилегии к Azure RBAC: используйте управление доступом на основе ролей Azure (RBAC) для управления доступом к ресурсам VPN-шлюза с минимальными необходимыми разрешениями. Назначьте встроенные роли, если это возможно, и создавайте пользовательские роли только в том случае, если это необходимо для удовлетворения конкретных потребностей организации. См. дополнительные сведения о встроенных ролях Azure.

  • Используйте безопасные административные рабочие станции: доступ к функциям управления VPN-шлюзом из высокозащищенных изолированных рабочих станций для защиты от кражи учетных данных и административного компрометации. Развертывание привилегированных станций доступа (PAW) с помощью Microsoft Entra ID, Microsoft Defender для конечных точек или Microsoft Intune для централизованного управления. Дополнительные сведения см. в статье о развертывании рабочих станций с привилегированным доступом.

  • Мониторинг привилегированных действий. Убедитесь, что все привилегированные действия, связанные с управлением VPN-шлюзом, регистрируются и отслеживаются для анализа безопасности. Используйте журналы аудита Идентификатора Microsoft Entra и журналы действий Azure для отслеживания административных изменений и обнаружения подозрительного поведения. Дополнительные сведения см. в отчетах об активности аудита в идентификаторе Microsoft Entra.

  • Реализуйте проверки системы управления удостоверениями: проводите регулярные проверки доступа для пользователей и групп с повышенными разрешениями на ресурсы VPN-шлюза. Используйте функции управления удостоверениями идентификаторов Microsoft Entra, чтобы автоматизировать периодические проверки и гарантировать, что доступ остается подходящим с течением времени. Для получения дополнительной информации см. обзоры доступа Microsoft Entra.

Защита данных

Защита данных для VPN-шлюза обеспечивает надежное шифрование данных при передаче и поддержании соответствия шифрования. Правильная защита данных защищает конфиденциальную информацию по мере перемещения по VPN-туннелям и соответствует нормативным требованиям.

  • Применение строгих стандартов шифрования. Настройте VPN-шлюз для использования надежных протоколов шифрования IPsec/IKE, включая AES-256 для шифрования данных и SHA-256 или более надежных для проверки подлинности. Избегайте слабых шифров и убедитесь, что конфигурация соответствует отраслевым стандартам и требованиям соответствия. Дополнительные сведения см. в статье о требованиях к шифрованию и VPN-шлюзах Azure.

  • Настройте настраиваемые политики IPsec/IKE: определите настраиваемые политики шифрования для подключений VPN-шлюза в соответствии с определенными организационными или нормативными требованиями. Эти политики можно настроить с помощью портала Azure, PowerShell или Azure CLI, чтобы обеспечить согласованную безопасность во всех подключениях. Дополнительные сведения см. в разделе "Настройка политики IPsec/IKE" для VPN-подключений типа "сеть — сеть".

  • Используйте TLS 1.2 или более поздней для подключений типа "точка — сеть": убедитесь, что VPN-подключения типа "точка — сеть" используют протокол TLS версии 1.2 или более поздней для безопасного обмена данными по каналу управления. Это защищает процесс установления VPN-подключения и предотвращает атаки с понижением уровня безопасности. Дополнительные сведения см. в разделе "О VPN типа "точка — сеть".

  • Реализуйте надлежащее управление сертификатами: безопасное управление VPN-сертификатами с помощью Azure Key Vault для хранения сертификатов и смены. Убедитесь, что сертификаты имеют соответствующие сроки действия и реализуют автоматизированные процессы продления, чтобы предотвратить нарушения работы служб. Дополнительные сведения см. в разделе "Создание и экспорт сертификатов" для подключений типа "точка — сеть".

  • Выберите подходящие номера SKU шлюза для функций безопасности. Избегайте использования базового SKU для рабочих развертываний, так как он имеет ограниченные функции безопасности и не поддерживает проверку подлинности RADIUS, IPv6 или расширенные политики IPsec/IKE. Выберите номера SKU поколения 1 или поколения 2, поддерживающие современные функции безопасности и требования к производительности. Дополнительные сведения см. в разделе о номерах SKU VPN-шлюза.

Ведение журнала и обнаружение угроз

Ведение журнала и обнаружение угроз для VPN-шлюза включает комплексный мониторинг сетевых действий, событий безопасности и метрик производительности. Надлежащее ведение журнала обеспечивает обнаружение угроз, исследование инцидентов и отчеты о соответствии требованиям.

  • Включение ведения журнала диагностики VPN-шлюза: настройка журналов диагностики VPN-шлюза для записи событий шлюза, диагностики туннеля, диагностики маршрутов и диагностики IKE. Отправьте эти журналы в Azure Monitor Log Analytics или службу хранилища Azure для анализа и долгосрочного хранения. Дополнительные сведения см. в разделе "Настройка журналов диагностики для VPN-шлюза".

  • Мониторинг с помощью Azure Monitor. Используйте Azure Monitor для сбора и анализа метрик и журналов VPN-шлюза. Настройте оповещения для критических событий, таких как сбои подключения, изменения состояния туннеля и снижение производительности, чтобы обеспечить упреждающий мониторинг и реагирование. Дополнительные сведения см. в разделе "Мониторинг VPN-шлюза".

  • Реализация ведения журнала потоков сети. Включение журналов потоков группы безопасности сети для подсетей, содержащих VPN-шлюз, для получения подробных сведений о IP-трафике. Используйте аналитику трафика для получения аналитических сведений о шаблонах трафика и выявлении потенциальных угроз безопасности. Дополнительные сведения см. в разделе "Аналитика трафика".

  • Интеграция с Microsoft Sentinel: пересылка журналов VPN-шлюза в Microsoft Sentinel для расширенной аналитики безопасности и обнаружения угроз. Используйте встроенные правила аналитики для обнаружения подозрительных действий, таких как несколько неудачных попыток проверки подлинности или необычных шаблонов подключения. Дополнительные сведения см. в статье "Подключение источников данных к Microsoft Sentinel".

  • Отслеживайте события проверки подлинности идентификатора Microsoft Entra: отслеживайте события проверки подлинности для VPN-подключений типа "точка — сеть" с помощью аудита идентификатора Microsoft Entra и журналов входа. Отслеживайте неудачные попытки проверки подлинности, рискованные входы и учетные записи пользователей, помеченные как риск выявления потенциальных угроз безопасности. Дополнительные сведения см. в отчетах о действиях аудита Microsoft Entra.

  • Задайте соответствующие политики хранения журналов: настройте периоды хранения журналов в Azure Monitor Log Analytics на основе требований соответствия вашей организации. При настройке политик хранения для разных типов журналов следует учитывать как оптимизацию затрат, так и исследование безопасности. Дополнительные сведения см. в статье "Управление использованием и затратами с помощью журналов Azure Monitor".

  • Настройка отслеживания пакетов для устранения неполадок: включение записи пакетов в VPN-шлюзе для подробного анализа трафика во время инцидентов безопасности или проблем с подключением. Используйте фильтры с пятью кортежами, чтобы изолировать определенные потоки трафика и сузить область анализа в сценариях с большим объемом. Дополнительные сведения см. в разделе "Настройка записи пакетов для VPN-шлюзов".

  • Мониторинг безопасности маршрутизации BGP: отслеживание пирингового статуса BGP и объявлений маршрутов для обнаружения аномалий маршрутизации или несанкционированного внедрения маршрутов. Настройте оповещения об отключении BGP и необычном поведении маршрутизации, которые могут указывать на угрозы безопасности. Дополнительные сведения см. в разделе "Просмотр метрик И состояния BGP".

  • Реализуйте принудительное туннелирование для проверки трафика: настройте принудительное туннелирование для перенаправления всего трафика, связанного с Интернетом, через локальную инфраструктуру безопасности для проверки и аудита. Это гарантирует соответствие корпоративным политикам безопасности и предотвращает несанкционированный доступ к Интернету. Дополнительные сведения см. в разделе о принудительном туннелировании подключений "сеть-сеть".

Управление активами

Управление ресурсами для VPN-шлюза обеспечивает надлежащее отслеживание инвентаризации, мониторинг соответствия требованиям и управление конфигурацией. Это включает в себя поддержание видимости ресурсов VPN-шлюза и согласованное применение политик безопасности в вашей среде.

  • Сохраняйте инвентаризацию активов с тегами: применяйте согласованные теги к ресурсам VPN-шлюза, группам ресурсов и подпискам, чтобы упорядочить их логически в рамках таксономии. Используйте теги, такие как "Среда", "Владелец" и "Критическость", чтобы обеспечить надлежащее отслеживание активов и управление затратами. Дополнительные сведения см. в статье "Использование тегов для организации ресурсов Azure".

  • Обеспечьте видимость для команды безопасности. Убедитесь, что команды безопасности имеют разрешения Security Reader на вашем арендаторе и подписках Azure для мониторинга ресурсов VPN-шлюза в целях безопасности. Создайте выделенные группы идентификаторов Microsoft Entra для групп безопасности и назначьте соответствующие разрешения доступа на основе ролей. См. дополнительные сведения о встроенных ролях Azure.

  • Реализация управления на основе политик. Используйте политику Azure для аудита и применения конфигураций VPN-шлюза в соответствии со стандартами безопасности вашей организации. Создайте настраиваемые политики, чтобы обеспечить согласованное развертывание параметров безопасности во всех экземплярах VPN-шлюза. Дополнительные сведения см. в статье "Что такое политика Azure"?

  • Мониторинг соответствия требованиям Microsoft Defender для облака. Используйте Microsoft Defender для облака, чтобы оценить ресурсы VPN-шлюза в соответствии с тестами безопасности и получить рекомендации по улучшению состояния безопасности. Включите инициативу Azure Security Benchmark для отслеживания соответствия отраслевым стандартам. Дополнительные сведения см. в обзоре Microsoft Defender для облака.

  • Запрос ресурсов с помощью Azure Resource Graph: используйте Azure Resource Graph для запроса и обнаружения ресурсов VPN-шлюза в подписках для комплексного управления ресурсами. Создайте настраиваемые запросы, чтобы определить смещение конфигурации, неиспользуемые ресурсы или несоответствующие развертывания. Дополнительные сведения см. в статье "Что такое Azure Resource Graph"?

Дальнейшие шаги

  • Last updated on