Regeldurchsetzung in virtuellen Netzwerken mit Sicherheitsverwaltungsregeln in Azure Virtual Network Manager

In diesem Artikel erfahren Sie, wie Sicherheitsadministratorregeln die flexible und skalierbare Durchsetzung von Sicherheitsrichtlinien über Tools wie Netzwerksicherheitsgruppen ermöglichen. Zunächst lernen Sie die verschiedenen Modelle der Regeldurchsetzung in virtuellen Netzwerken kennen. Anschließend lernen Sie die allgemeinen Schritte zur Durchsetzung der Sicherheit mit Sicherheitsverwaltungsregeln kennen.

Durchsetzung in virtuellen Netzwerken

Mit Netzwerksicherheitsgruppen (NSGs) allein ist eine flächendeckende Durchsetzung in virtuellen Netzwerken über mehrere Anwendungen, Teams oder sogar ganze Organisationen hinweg schwierig. Oftmals ist eine Balance zwischen einer zentralen Durchsetzung in einer Organisation und differenzierten, flexiblen Kontrollmöglichkeiten für Teams erforderlich.

Sicherheitsverwaltungsregeln zielen insgesamt darauf ab, diese gleitende Skalierung zwischen Durchsetzung und Flexibilität zu beseitigen, indem die Vorteile der einzelnen Modelle vereint und die Nachteile der einzelnen Modells reduziert werden. Zentrale Governance-Teams legen mithilfe von Sicherheitsadministratorregeln Leitplanken fest und lassen einzelnen Teams dennoch Spielraum, Sicherheitsanforderungen bei Bedarf mithilfe von NSG-Regeln gezielt und flexibel festzulegen. Sicherheitsadministratorregeln sind nicht dazu bestimmt, NSG-Regeln außer Kraft zu setzen. Stattdessen arbeiten sie mit NSG-Regeln zusammen, um Ihrer Organisation Durchsetzung und Flexibilität zu bieten.

Erzwingungsmodelle

Sehen wir uns einige gängige Modelle der Sicherheitsverwaltung ohne Sicherheitsverwaltungsregeln sowie deren Vor- und Nachteile an:

Modell 1: Verwaltung durch das zentrale Governance-Team mit NSGs

Bei diesem Modell verwaltet ein zentrales Governance-Team innerhalb einer Organisation alle NSGs.

Vorteile Nachteile
Das zentrale Governance-Team kann wichtige Sicherheitsregeln erzwingen. Der operative Aufwand ist hoch, da Administratoren jede NSG einzeln verwalten müssen und der Aufwand mit zunehmender Anzahl der NSGs immer größer wird.

Modell 2 – Individuelles Teammanagement mit NSGs

Bei diesem Modell verwalten einzelne Teams innerhalb einer Organisation ihre eigenen NSGs ohne zentrales Governance-Team.

Vorteile Nachteile
Das jeweilige Team hat flexible Kontrolle über die Gestaltung von Sicherheitsregeln basierend auf den Dienstanforderungen. Das zentrale Governance-Team kann keine kritischen Sicherheitsregeln erzwingen, z. B. zum Blockieren riskanter Ports.

Einzelne Teams könnten NSGs auch falsch konfigurieren oder vergessen, sie zuzuordnen, was zu Sicherheitslücken führen kann.

Modell 3: NSGs werden über Azure Policy erstellt und von einzelnen Teams verwaltet.

In diesem Modell verwalten einzelne Teams weiterhin ihre NSGs. Der Unterschied besteht darin, dass die NSGs mithilfe von Azure Policy erstellt werden, um Standardregeln festzulegen. Bei einer Änderung dieser Regeln werden Überwachungsbenachrichtigungen ausgelöst.

Vorteile Nachteile
Das jeweilige Team hat flexible Kontrolle über die Gestaltung von Sicherheitsregeln.

Das zentrale Governance-Team kann Standardsicherheitsregeln erstellen und Benachrichtigungen empfangen, wenn diese geändert werden.		 Das zentrale Governance-Team kann die standardmäßigen Sicherheitsregeln immer noch nicht durchsetzen, da die NSG-Besitzer in den Teams diese weiterhin ändern können.

Die Verwaltung der Benachrichtigungen ist außerdem mit einem extrem hohen Aufwand verbunden.

Durchsetzung des Netzwerkverkehrs und Ausnahmen mit Sicherheitsverwaltungsregeln

Wenden wir die vorgestellten Konzepte in einem Beispielszenario an. Ein Unternehmensnetzwerkadministrator möchte eine Sicherheitsregel durchsetzen, um eingehenden SSH-Datenverkehr für das gesamte Unternehmen zu blockieren. Die Durchsetzung dieser Art von Sicherheitsregel war ohne eine Sicherheitsverwaltungsregel schwierig. Wenn der Administrator alle NSGs verwaltet, ist der Verwaltungsaufwand hoch und der Administrator kann nicht schnell auf die Anforderungen von Produktteams reagieren, um NSG-Regeln zu ändern. Wenn die Produktteams andererseits ihre eigenen NSGs ohne Sicherheitsadministratorregeln verwalten, kann der Administrator keine kritischen Sicherheitsregeln erzwingen, wodurch potenzielle Sicherheitsrisiken entstehen. Die Verwendung sowohl von Sicherheitsadministratorregeln als auch von NSGs kann dieses Dilemma lösen.

In diesem Fall kann der Administrator eine Sicherheitsverwaltungsregel erstellen, um eingehenden SSH-Verkehr für alle virtuellen Netzwerke im Unternehmen zu blockieren. Der Administrator kann auch eine Sicherheitsverwaltungsregel erstellen, um eingehenden SSH-Datenverkehr für bestimmte virtuelle Netzwerke zuzulassen, die eine Ausnahme benötigen. Die Sicherheitsverwaltungsregel wird unternehmensweit durchgesetzt, und der Administrator kann weiterhin Ausnahmen für bestimmte virtuelle Netzwerke zulassen. Dies wird durch die Verwendung einer Prioritätsreihenfolge für jede Regel erreicht.

Das folgende Diagramm zeigt, wie der Administrator die folgenden Ziele erreichen kann:

  • Setzen Sie Sicherheitsverwaltungsregeln in der gesamten Organisation durch.
  • Erlauben Sie Ausnahmen, damit das Anwendungsteam den SSH-Datenverkehr verarbeiten kann.

Diagramm der Durchsetzung von Sicherheitsverwaltungsregeln mit Netzwerksicherheitsgruppen im Azure Virtual Network Manager.

Schritt 1: Erstellen einer Netzwerkmanagerinstanz

Der Unternehmensadministrator kann einen Netzwerkmanager erstellen, wobei die Stammverwaltungsgruppe des Unternehmens den Geltungsbereich dieser Instanz des Netzwerk-Managers bildet.

Schritt 2: Erstellen von Netzwerkgruppen für virtuelle Netzwerke

Der Administrator erstellt zwei Netzwerkgruppen – Eine ALLE-Netzwerkgruppe, bestehend aus allen virtuellen Netzwerken in der Organisation, und eine APP-Netzwerkgruppe, die aus virtuellen Netzwerken für die Anwendung besteht, die eine Ausnahme benötigt. Die ALLE-Netzwerkgruppe im obigen Diagramm besteht aus VNet 1 bis VNet 5 und die APP-Netzwerkgruppe enthält VNet 4 und VNet 5. Benutzer können beide Netzwerkgruppen einfach mithilfe dynamischer Mitgliedschaft definieren.

Schritt 3: Erstellen einer Sicherheitsadministratorkonfiguration

Sicherheitsadmin-Regeln werden in Prioritätsreihenfolge ausgewertet, und eine Regel mit einer niedrigeren Prioritätszahl wird zuerst bewertet. In diesem Schritt enthält die Sicherheitsadministrator-Konfiguration zwei Sicherheitsadmin-Regeln:

  • Eine Sicherheits-Admin-Regel, die eingehenden SSH-Verkehr für die GESAMTE Netzwerkgruppe mit Priorität 100 verweigert.
  • Eine Sicherheits-Admin-Regel, die eingehenden SSH-Verkehr für die App-Netzwerkgruppe mit Priorität 10 erlaubt.

Da 10 kleiner als 100 ist, wird die Erlaubnisregel für die App-Netzwerkgruppe vor der Ablehnungsregel ausgewertet, die für jedes virtuelle Netzwerk in der Organisation gilt.

Schritt 4: Bereitstellen der Sicherheitsverwaltungskonfiguration

Nachdem du die Sicherheitsadmin-Konfiguration bereitgestellt hast, haben alle virtuellen Netzwerke im Unternehmen die Regel zum Ablehnen eingehender SSH-Verkehr, die durch die Sicherheitsadmin-Regel durchgesetzt wird. Kein einzelnes Team kann die Verweigerungsregel ändern. Nur der Firmenadministrator kann das definieren. Die virtuellen Netzwerke der App verfügen sowohl über eine Regel zum Zulassen von eingehendem SSH-Datenverkehr als auch über eine Regel zum Verweigern von eingehendem SSH-Datenverkehr (geerbt von der Regel der Netzwerkgruppe „All“). Die Regel für eingehenden SSH-Verkehr für die App-Netzwerkgruppe hat Priorität 10, daher wird sie zuerst bewertet. Wenn eingehender SSH-Verkehr bei einem virtuellen App-Netzwerk eingeht, lässt die Regel mit Priorität 10 diesen Datenverkehr zu. Vorausgesetzt, es gibt NSGs auf den Subnetzen der virtuellen App-Netzwerke , wird dieser eingehende SSH-Verkehr als nächstes basierend auf den vom Anwendungsteam gesetzten NSGs ausgewertet. Die hier beschriebene Sicherheitsregelmethode ermöglicht es dem Unternehmensadministrator, Unternehmensrichtlinien effektiv durchzusetzen und flexible Sicherheitsgrenzen in einer Organisation zu erstellen, die NSGs verwendet.

Nächste Schritte

  • Last updated on