Sichern Ihrer Azure Firewall-Bereitstellung

Azure Firewall ist ein verwalteter, cloudbasierter Netzwerksicherheitsdienst, der Ihre Azure Virtual Network-Ressourcen schützt. Als voll zustandsbehaftete Firewall als Service mit integrierter hoher Verfügbarkeit und uneingeschränkter Cloud-Skalierbarkeit bietet die Azure Firewall eine zentrale Durchsetzung von Richtlinien für den Datenverkehr, der Ihre Azure-Netzwerke betritt, verlässt und sich bewegt.

Dieser Artikel gibt Sicherheitsempfehlungen für die Azure Firewall. Durch die Implementierung dieser Empfehlungen können Sie Ihre Sicherheitsverpflichtungen erfüllen und den gesamtsicherheitsstatus Ihrer Bereitstellung verbessern. Für einen Überblick über die Netzwerksicherheitsdienste von Azure und wie sie zusammenarbeiten, siehe Was ist Azure-Netzwerksicherheit?

Die Sicherheitsempfehlungen in diesem Artikel implementieren Zero Trust-Prinzipien: "Explizit überprüfen", "Minimalen Berechtigungszugriff verwenden" und "Verletzung als gegeben ansehen". Umfassende Anleitungen zu Zero Trust finden Sie im Zero Trust Guidance Center.

Netzwerksicherheit

Die Netzwerksicherheit für die Azure Firewall konzentriert sich auf sichere Bereitstellung, zentralisierte Inspektionen und Richtlinienkontrollen, die die Exposition zwischen Hub-and-Spoke- und Hybrid-Netzwerken verringern.

  • Azure Firewall in einem dedizierten Subnetz bereitstellen: Verwenden Sie die erforderlichen AzureFirewallSubnet mit einer Mindestgröße von /26, setzen Sie keine anderen Ressourcen im Subnetz ein und führen Sie Workload-Routentabellen auf Workload-Subnetzen statt auf dem Firewall-Subnetz, es sei denn, ein dokumentiertes Forced Tunneling-Design erfordert Firewall-Subnetz-Routen. Weitere Informationen finden Sie unter Azure Firewall FAQ.

  • Wählen Sie die richtige Azure Firewall SKU: Azure Firewall ist in drei SKUs verfügbar: Basic für kleine und mittelständische Unternehmen mit einem Durchsatz von bis zu 250 Mbit/s, Standard und Premium. Nutzen Sie Premium, wenn Sie fortschrittliche Sicherheitsfunktionen wie IDPS, TLS-Inspektion und URL-Filterung benötigen. Verwende Standard oder Premium, wenn du Web-Kategorien brauchst, die in Basic nicht verfügbar sind. Weitere Informationen finden Sie unter Auswählen der richtigen Azure Firewall-SKU, um Ihre Anforderungen zu erfüllen.

  • Threat-Intelligence-basierte Filterung aktivieren: Stellen Sie Threat Intelligence-basierte Filterung so ein, dass sie über den Datenverkehr bekannter bösartiger IP-Adressen, FQDNs und URLs warnt. Verwende Standard oder Premium, wenn du den Alarm- und Ablehnungsmodus brauchst, da Basic nur den Alarmmodus unterstützt. Weitere Informationen finden Sie unter Azure Firewall Threat Intelligence Based Filtering und wählen Sie die richtige Azure Firewall SKU, die Ihren Anforderungen entspricht.

  • Implementierung von IDPS für fortgeschrittene Bedrohungserkennung: Verwenden Sie das Azure Firewall Premium System zur Erkennung und Prävention (IDPS), um bösartige Netzwerkaktivitäten basierend auf von Microsoft verwalteten Signaturen zu erkennen und zu blockieren. Signaturaktionen abstimmen, um Fehlalarme zu reduzieren und Bedrohungen mit hoher Wahrscheinlichkeit abzulehnen. Weitere Informationen finden Sie unter Azure Firewall Premium-Features.

  • Konfigurieren Sie die Funktionalität des DNS-Proxys: Aktivieren Sie den DNS-Proxy, damit Clients und die Azure Firewall eine konsistente Namensauflösung für FQDN-basierte Regeln verwenden. Diese DNS-Konfiguration verringert das Risiko von Regelumgehungen oder Verbindungsausfällen durch verschiedene DNS-Antworten. Weitere Informationen finden Sie unter Azure Firewall DNS Proxy Details.

  • Verwenden Sie Managed Rule Targets für Azure- und Microsoft Services: Verwenden Sie Service-Tags in Netzwerkregeln und FQDN-Tags in Anwendungsregeln, anstatt manuell IP-Adressbereiche und Service-Endpunkt-Listen zu verwalten. Für TCP- oder UDP-Protokolle, die domänenbasierte Filterung benötigen, verwenden Sie FQDN-Filterung in Netzwerkregeln und aktivieren Sie den DNS-Proxy. Weitere Informationen finden Sie unter Überblick über Azure Firewall-Service-Tags, FQDN-Tags-Übersicht für Azure Firewall und Azure Firewall FQDN-Filterung in Netzwerkregeln.

  • Verwenden Sie erzwungenes Tunneln für hybride Umgebungen: Konfigurieren Sie erzwungenes Tunneln, wenn internetgebundener Verkehr durch lokale Sicherheitsgeräte oder zentrale Inspektionswege geleitet werden muss. Aktivieren Sie die Management-Netzwerkschnittstelle, sodass AzureFirewallManagementSubnet der Firewall-Management-Verkehr vom Kundenverkehr getrennt bleibt. Weitere Informationen finden Sie unter Azure Firewall-Tunnelerzwingung.

  • Aktivieren Sie die TLS-Inspektion für verschlüsselten Datenverkehr: Verwenden Sie die Azure Firewall Premium TLS-Inspektion, um verschlüsselten ausgehenden und Ost-West-Verkehr dort zu überprüfen, wo Ihre Sicherheitsrichtlinie es verlangt. Speichere und verwalte die erforderlichen Zertifikate in Azure Key Vault. Weitere Informationen finden Sie unter Azure Firewall Premium-Zertifikate.

  • Prüfen Sie expliziten Proxy für kontrollierten HTTP/S-Ausgang: Verwenden Sie den Azure Firewall expliziten Proxy (Vorschau), wenn Sie Anwendungen so konfigurieren können, dass ausgehender HTTP/S-Verkehr direkt an die private IP-Adresse der Firewall gesendet wird, ohne eine benutzerdefinierte Route. Verwenden Sie Anwendungsregeln für expliziten Proxy-Verkehr und verwenden Sie eine Proxy-Autokonfigurationsdatei (PAC), wenn Sie zentral verwaltete Client-Proxy-Einstellungen benötigen. Weitere Informationen finden Sie unter Azure Firewall explicit proxy (preview).

  • Aktivieren Sie Webkategorien: Nutzen Sie Webkategorien, um den Zugriff auf Websites wie soziale Netzwerke oder Glücksspiel zu kontrollieren, die nicht Ihrer Nutzungsrichtlinien entsprechen. Webkategorien verringern den administrativen Aufwand im Vergleich zur Pflege von Listen einzelner FQDNs für Erlauben und Ablehnen. Weitere Informationen finden Sie in den Azure Firewall-Webkategorien.

  • Planen Sie die SNAT-Kapazität für ausgehende Skalierung: Fügen Sie mehrere öffentliche IP-Adressen hinzu oder integrieren Sie sie mit dem Azure NAT Gateway, wenn Sie mehr SNAT-Ports für hochvolumige ausgehende Workloads benötigen. Verwenden Sie kein NAT Gateway mit gesicherten virtuellen Hub-Firewalls. Verwenden Sie NAT Gateway V2, wenn Sie zonenredundante SNAT mit einer zonenredundanten Firewall benötigen. Weitere Informationen finden Sie unter Scale SNAT ports with Azure NAT Gateway und Integrate Azure Firewall with NAT Gateway V2.

Identitäts- und Zugriffsverwaltung

Identitäts- und Zugriffsmanagement für die Azure Firewall kontrolliert, wer Firewall-Ressourcen verwalten, die Firewall-Richtlinie anpassen und Managementplane-Operationen automatisieren kann.

  • Verwenden Sie Microsoft Entra ID für den Zugriff auf die Managementebene: Administratoren und Automatisierungsidentitäten müssen sich über Microsoft Entra ID authentifizieren, wenn sie die Azure Firewall über das Azure-Portal Azure Resource Manager verwalten, Azure CLI oder PowerShell. Weitere Informationen finden Sie unter Über Rollen und Berechtigungen für die Azure Firewall.

  • Weisen Sie Azure RBAC-Rollen mit geringsten Privilegien zu: Eingebaute Rollen wie Network Contributor für die spezifische Firewall, Firewall-Richtlinie, Ressourcengruppe oder Managementgruppe, die Administratoren verwalten müssen. Vermeiden Sie breite Eigentümer- oder Beitragszuweisungen, wenn Netzwerk-only-Berechtigungen ausreichen. Weitere Informationen finden Sie unter Über Azure Firewall-Rollen und Berechtigungen.

  • Erstellen Sie benutzerdefinierte Rollen für den reinen Zugriff auf Firewall-Richtlinien: Verwenden Sie benutzerdefinierte Azure RBAC-Rollen, wenn Administratoren die Firewall-Richtlinie bearbeiten müssen, aber keine virtuellen Netzwerke, öffentliche IP-Adressen, Routetabellen oder andere Netzwerkressourcen verwalten sollten. Weitere Informationen finden Sie unter Benutzerdefinierte Azure-Rollen.

  • Nutzen Sie Privileged Identity Management für Aufstiege: Machen Sie Rollen mit hohem Einfluss berechtigt statt dauerhaft aktiv. Fordern Sie Genehmigung, Begründung, Multifaktor-Authentifizierung und zeitgebundene Aktivierung für Rollenaktivierungen, die Schreibzugriff auf Azure Firewall, Firewall-Policy, öffentliche IP-Adressen und virtuelle Netzwerkressourcen gewähren – wie Network Contributor und alle benutzerdefinierten Firewall-Administratorrollen. Weitere Informationen finden Sie unter Privileged Identity Management-Integration mit Azure RBAC.

  • Erfordern Sie bedingten Zugriff für Admin-Sitzungen: Wenden Sie bedingte Zugriffsrichtlinien an, die Multifaktor-Authentifizierung und konforme Geräte für Identitäten erfordern, die Azure Firewall-Instanzen, Firewall-Richtlinien, öffentliche IP-Adressen, Routingtabellen und die Hub-Virtualnetzwerke, von denen die Firewall abhängt, erstellen, ändern oder löschen können. Weitere Informationen finden Sie unter Require MFA for Azure Management.

  • Begrenze Service-Principal-Berechtigungen für Automatisierung: Weisen Sie Automatisierungsidentitäten nur die Berechtigungen zu, die zum Bereitstellen, Exportieren oder Aktualisieren von Firewall-Ressourcen und -Richtlinien erforderlich sind, und begrenzen Sie diese Zuweisungen so eng wie möglich. Bevorzuge verwaltete Identitäten, wenn sie von deiner Automatisierungsplattform unterstützt werden. Weitere Informationen finden Sie unter Über Rollen und Berechtigungen für die Azure Firewall.

  • Getrennte Aufgaben über Administratorebenen hinweg: Entwickeln Sie ein gestuftes Administratormodell, bei dem DevOps-Teams Anwendungsänderungen anfordern oder bereitstellen können, aber die gemeinsame Sicherheitspolitik nicht direkt ändern können, und Sicherheitsadministratoren die Firewall-Richtlinie genehmigen oder verwalten. Nutzen Sie Rollenzuweisungen, benutzerdefinierte Rollen und Deployment-Pipelines, um eine Trennung der Aufgaben durchzusetzen. Weitere Informationen finden Sie unter Über Rollen und Berechtigungen für die Azure Firewall.

Datenschutz

Der Datenschutz für die Azure Firewall konzentriert sich auf den Schutz von überprüftem Datenverkehr, Konfigurationsdaten, Zertifikaten und Protokollen, die sensible Netzwerkinformationen enthalten können.

  • Implementieren Sie eine TLS-Inspektion mit angemessener Zertifikatsverwaltung: Speichern Sie das TLS-Inspektions-Zwischenzertifikat der CA in Azure Key Vault und gewähren Sie der Firewall nur die erforderlichen geheimen Berechtigungen. Verwenden Sie für diese Integration das Key Vault-Zugriffsrichtlinienmodell, da die Azure Firewall keine Azure RBAC-Autorisierung zum Abruf von TLS-Inspektionszertifikaten unterstützt. Weitere Informationen finden Sie unter Azure Firewall Premium-Zertifikate.

  • Beschränken Sie den Zugriff auf verschlüsselte Protokolle: Konfigurieren Sie Firewall-Regeln, um verschlüsselte Protokolle (wie HTTPS) zu ermöglichen, und blockieren oder beschränken Sie Klartext-Ports, wo geschäftliche Anforderungen es erlauben. Die Kombination von Regelsammlungen mit Prioritäten und Verarbeitungsreihenfolge hilft, diese Entscheidungen vorhersehbar durchzusetzen. Weitere Informationen finden Sie unter Azure Firewall Rule Processing Logic.

  • Verwenden Sie URL-Filterung für eine detaillierte Kontrolle: Wenden Sie URL-Filterung an, um vollständige URLs zu steuern, anstatt nur FQDNs, wenn Sie genaue Entscheidungen für Webverkehr erlauben oder ablehnen möchten. Diese Filterung hilft, bösartige Pfade zu blockieren, die auf ansonsten legitimen Domains gehostet werden. Weitere Informationen finden Sie unter Azure Firewall Premium-Features.

  • Beschränken Sie den Zugriff auf Diagnosedaten: Behandeln Sie Azure Firewall-Protokolle als sensibel, da sie Quell- und Ziel-IP-Adressen, URLs, Ports und Regelentscheidungen enthalten können. Verwenden Sie RBAC auf Log Analytics-Arbeitsbereichen, Speicherkonten und Event Hubs, die Firewall-Diagnosen empfangen. Weitere Informationen finden Sie unter Überwachen von Azure Firewall-Protokollen und Metriken.

Protokollierung und Überwachung

Logging und Überwachung für die Azure Firewall bieten Transparenz in Verkehrsflüsse, Richtlinienentscheidungen, Bedrohungen, Performance und Konfigurationsänderungen für Untersuchung und Reaktion.

  • Aktivieren Sie Azure Firewall-Diagnoseprotokollierung: Konfigurieren Sie Diagnoseeinstellungen, um Azure Firewall-Protokolle und Metriken an einen Log Analytics-Arbeitsbereich, ein Speicherkonto oder einen Event Hub zu senden. Erfassen Sie Netzwerkregeln, Anwendungsregeln, NAT-Regeln, Bedrohungsintelligenz, IDPS, DNS-Proxy, interne FQDN-Auflösungsfehler, Top-Flow- und Flow-Trace-Protokolle, je nach Bedarf für Ihre Bereitstellung. Weitere Informationen finden Sie unter Überwachen von Azure Firewall-Protokollen und Metriken.

  • Verwenden Sie ressourcenspezifische, strukturierte Logs: Senden Sie Azure Firewall-Logs an ressourcenspezifische Log Analytics-Tabellen wie AZFWApplicationRule, AZFWNetworkRule, , AZFWNatRuleAZFWThreatIntel, AZFWIdpsSignature, und AZFWDnsQuery verlassen Sie sich nicht nur auf die legacy-TabelleAzureDiagnostics. Ressourcenspezifische Tabellen verbessern die Abfrageleistung, die Schema-Erkennung und die Zugriffskontrolle auf tabellenebene. Weitere Informationen finden Sie unter Überwachen von Azure Firewall-Protokollen und Metriken.

  • Integration mit Microsoft Sentinel zur Bedrohungserkennung: Verbinden Sie Azure Firewall-Logs mit Microsoft Sentinel, damit Sicherheitsteams Firewall-Ereignisse mit Identitäts-, Endpunkt- und Arbeitslastsignalen korrelieren können. Nutzen Sie Analyseregeln und Arbeitsbücher, um Malware und verdächtige Verkehrsmuster zu erkennen. Weitere Informationen finden Sie unter Erkennen von Schadsoftware mit Azure Firewall und Microsoft Sentinel.

  • Verwenden Sie Security Copilot für IDPS-Untersuchungen: Wenn Ihre Organisation Microsoft Security Copilot verwendet, aktivieren Sie die Integration der Azure Firewall, um IDPS-Erkennungen über Firewalls hinweg zu untersuchen, indem Sie strukturierte IDPS-Logs in Log Analytics und entsprechende RBAC verwenden Erlaubnisse. Weitere Informationen finden Sie unter Azure Firewall-Integration in Microsoft Security Copilot.

  • Überwachen Sie Bedrohungsalarme: Erstellen Sie Warnungen und operative Prozesse für Bedrohungsaufklärungstreffer, damit Analysten schnell den Datenverkehr zu oder von bekannten bösartigen Quellen untersuchen können. Nutzen Sie Automatisierung für High-Confidence-Indikatoren, wenn Reaktionsaktionen gut getestet sind. Weitere Informationen finden Sie unter Threat Intelligence-gestütztes Filtern für Azure Firewall.

  • Konfigurieren Sie Leistungsüberwachung und Warnungen: Überwachen Sie Durchsatz, Latenz, Firewall-Gesundheit, SNAT-Portauslastung und Regeltrefferzahlen mithilfe von Azure Monitor. Alarmieren Sie über Kapazitäts- oder Verfügbarkeitsgrenzen, bevor Nutzer Anwendungsausfälle erleben. Weitere Informationen finden Sie unter Bewährte Methoden für die Leistung der Azure Firewall.

  • Überwachen Sie Resource Health auf Firewall-Verfügbarkeit: Nutzen Sie Azure Resource Health mit Azure Firewall Kennzahlen, damit Betriebsteams Plattformverschlechterungen erkennen, Service-Gesundheitsereignisse untersuchen und Benachrichtigungen erhalten können, wenn die Firewall-Verfügbarkeit beeinträchtigt ist. Weitere Informationen finden Sie in der Übersicht über Resource Health.

  • Überprüfen Sie Richtlinienanalysen und Regeländerungen: Verwenden Sie Policy Analytics, um ungenutzte Regeln und zu weitreichende Regeln zu identifizieren. Verwenden Sie das Tracking von Regelsatzänderungen, um unerwartete Konfigurationsänderungen zu erkennen. Regelmäßige Überprüfungen verringern die Regelverbreitung und verbessern die Wirksamkeit der Politik. Weitere Informationen finden Sie unter Azure Firewall Policy Analytics und Track Azure Firewall rule set changes.

  • Verwenden Sie das Azure Firewall Workbook zur Analyse: Setzen Sie Azure Firewall Workbook-Dashboards bereit und überprüfen Sie, um Ereignisse, Regeln, Bedrohungen und Trends über mehrere Firewalls hinweg aus einem einzigen Azure-Portal-Erlebnis zu analysieren. Weitere Informationen finden Sie unter Azure Firewall Workbook.

  • Protokollaufbewahrung für Untersuchungen und Einhaltung festlegen: Konfigurieren Sie Aufbewahrungszeiten basierend auf Vorfallreaktion, Audit und regulatorischen Anforderungen. Speichern Sie Langzeitarchive in geschütztem Speicher, wenn Betriebsbereiche eine kürzere Speicherzeit benötigen. Weitere Informationen finden Sie unter Überwachen von Azure Firewall-Protokollen und Metriken.

Compliance und Governance

Compliance und Governance für Azure Firewall helfen Ihnen, konsistente Richtlinien-, Inventar- und Sicherheitsbasislinien über Abonnements, Regionen und Netzwerkarchitekturen hinweg aufrechtzuerhalten.

  • Verwenden Sie Azure Policy zur Durchsetzung der Konfiguration: Weisen Sie integrierte und benutzerdefinierte Azure Policy-Definitionen zu, um Anforderungen wie Bedrohungsintelligenz, Diagnoseeinstellungen, erlaubte SKUs und Verfügbarkeitszonen-Bereitstellung zu überprüfen oder durchzusetzen. Weitere Informationen finden Sie unter Verwenden von Azure-Richtlinien, um Ihre Azure Firewall-Bereitstellungen zu schützen.

  • Pflegen Sie das Ressourceninventar mit Azure Resource Graph: Abfragen Sie Azure Firewall, Firewall-Policy, öffentliche IP, Routingtabelle und Diagnose-Einrichtungsressourcen über Abonnements hinweg, um Abdeckungslücken und Konfigurationsabweichungen zu identifizieren. Verwenden Sie gespeicherte Anfragen oder Dashboards für wiederkehrende Rezensionen. Weitere Informationen finden Sie unter Azure Resource Graph Overview.

  • Wenden Sie konsistente Tags auf Firewall-Ressourcen an: Verwenden Sie Tags für Eigentum, Umgebung, Kostenzentrum, Datenklassifikation und Kritikalität, damit Teams Firewall-Ressourcen und zugehörige Richtlinien konsistent verwalten können. Erzwingen Sie erforderliche Tags mit der Azure Policy. Weitere Informationen finden Sie unter Use Azure Policy, um Tagging-Regeln und -Konventionen durchzusetzen.

  • Zentralisieren Sie Richtlinien mit Azure Firewall Manager: Verwenden Sie Azure Firewall Manager, um Firewall-Richtlinien über gesicherte virtuelle Hubs und Hub-virtuelle Netzwerke aus einer zentralen Kontrollebene zu verwalten. Dieses zentrale Management hilft, inkonsistente Regeln zwischen Abonnements und Regionen zu reduzieren. Weitere Informationen finden Sie unter Was ist Azure Firewall Manager?

  • Verwenden Sie Richtlinienhierarchie und Vererbung für Hub-and-Spoke: Strukturieren Sie Firewall-Richtlinien für Eltern und Kind, sodass globale Sicherheitsanforderungen auf regionale oder anwendungsspezifische Richtlinien übertragen werden, während kontrollierte lokale Ausnahmen erlaubt sind. Dieses Modell unterstützt eine konsistente Governance bei großen Hub-and-Spoke-Implementierungen. Weitere Informationen finden Sie in der Übersicht der Azure Firewall Manager-Richtlinien.

  • DDoS-Schutz mit gesicherten Hub-Virtual-Netzwerken assoziieren: Verwenden Sie Azure Firewall Manager, um Azure DDoS-Schutzpläne mit Hub-Virtual-Netzwerken zu verknüpfen, die eine Azure Firewall enthalten. DDoS-Schutz unterstützt keine Virtual WAN-Hubs, daher sollten Sie die Assoziation für virtuelle Netzwerkhub-Designs verwenden. Weitere Informationen finden Sie unter Configure Azure DDoS Protection Plan using Azure Firewall Manager.

  • Überprüfen Sie Compliance-Zertifizierungen: Überprüfen Sie den Umfang des Azure Firewall-Audits anhand Ihrer regulatorischen Anforderungen und organisatorischen Standards. Verwenden Sie die Liste der autoritativen Compliance-Angebote, wenn Sie beurteilen, ob die Azure Firewall für eine erforderliche Prüfung gilt. Weitere Informationen finden Sie unter Azure Firewall-Zertifizierungen.

  • Standardisieren Sie die Bereitstellung durch Infrastruktur als Code: Setzen Sie Azure Firewall und Firewall-Richtlinien mit Bicep, ARM-Vorlagen, Terraform oder genehmigten Pipelines aus, damit Teams Änderungen konsequent prüfen und Deployments wiederholbar und auditierbar bleiben. Weitere Informationen finden Sie unter Bicep-Bereitstellung für die Azure Firewall.

Sicherung und Wiederherstellung

Backup und Wiederherstellung für die Azure Firewall konzentrieren sich darauf, die Firewall-Richtlinie als Wahrheitsquelle zu bewahren und resiliente Deployments zu entwerfen, die Teams bei Ausfällen wiederherstellen oder überbrücken können.

  • Verwaltung der Firewall-Richtlinie als Infrastruktur als Code: Definieren und Version der Firewall-Richtlinie in Bicep, ARM-Vorlagen oder Terraform, die in einem quellgesteuerten Repository gespeichert sind. Behandle dieses Repository als Quelle der Wahrheit. Verwenden Sie den Policy-Export als Bootstrap- oder Point-in-Time-Snapshot, nicht als fortlaufende Wahrheitsquelle. Weitere Informationen finden Sie unter Exportvorlage im Azure-Portal.

  • Setzen Sie Azure Firewall über Verfügbarkeitszonen hinweg ein: Verwenden Sie zonenredundante Deployments in unterstützten Regionen, um die Widerstandsfähigkeit gegenüber Ausfällen auf Rechenzentrumsebene zu verbessern. Beziehen Sie Zonenanforderungen in Bereitstellungsstandards und Azure Policy-Zuweisungen ein. Weitere Informationen finden Sie unter Deploy Azure Firewall with Verfügbarkeitszonen using Azure PowerShell.

  • Planen Sie die Einführung einer Multiregion-Firewall für die Katastrophenwiederherstellung: Setzen Sie Azure Firewall und abgestimmte Richtlinien in paarweise oder strategisch ausgewählten Regionen für Workloads ein, die regionale Disaster Recovery erfordern. Stellen Sie sicher, dass Sie Routetabellen, öffentliche IPs, Diagnosen und Richtlinienzuweisungen in der sekundären Region wiederherstellen können. Weitere Informationen finden Sie unter Use Azure Firewall, um eine Hub-and-Spoke-Topologie über mehrere Hubs zu routen.

  • Verwenden Sie die Firewall-Richtlinienhierarchie von Eltern und Kindern für die Wiederherstellung: Behalten Sie globale Regeln in den Elternrichtlinien und regionale oder Arbeitsbelastungsregeln in Kinderrichtlinien, damit wiederhergestellte Umgebungen die erforderlichen Kontrollen konsistent übernehmen. Diese Richtlinienstruktur reduziert die manuelle Regelrekonstruktion während der Wiederherstellung. Weitere Informationen finden Sie unter Azure Firewall Manager Regelhierarchie.

  • Überprüfen Sie regelmäßig Failover-Verfahren: Überprüfen Sie, ob Routing, DNS, Lastverteilung, Überwachung und Sicherheitsregeln funktionieren, wenn der Verkehr zu einem sekundären Hub oder einer Region wechselt. Beziehen Sie Sicherheitsteams in Übungen ein, damit Alarm- und Incident-Response-Prozesse während des Failovers fortgesetzt werden. Weitere Informationen finden Sie unter Azure Firewall Best Practices.

  • Plane die Wiederherstellungskapazität rund um das automatische Skalierungsverhalten: Standard- und Premium-Azure Firewall-Deployments skalieren sich automatisch, aber das Skalieren kann nach steigendem Datenverkehr mehrere Minuten dauern. Überwachen Sie den Durchsatz und planen Sie den Failover-Verkehr, damit die Wiederherstellungsereignisse die während des Skalierungsfensters verfügbare Kapazität nicht überschreiten. Weitere Informationen finden Sie unter Azure Firewall Performance.

Nächste Schritte

  • Last updated on