Azure 防火墙是托管的基于云的网络安全服务，可保护 Azure 虚拟网络资源。 作为一款具备内置高可用性和不受限制云可扩展性的全状态防火墙即服务，Azure 防火墙 为进出和移动的流量在 Azure 网络中提供集中策略执行。
本文提供了关于Azure 防火墙的安全建议。 实施这些建议有助于履行安全义务，并改善部署的整体安全态势。 关于Azure网络安全服务及其协同工作原理的概述，请参见“什么是Azure网络安全？
本文中的安全建议实施零信任原则：“显式验证”、“使用最低特权访问”和“假设违规”。 有关全面的零信任指南，请参阅 零信任指南中心。
网络安全
Azure 防火墙 的网络安全侧重于安全部署、集中检查和策略控制，以减少跨枢纽辐射和混合网络的暴露。
在专用子网中部署 Azure 防火墙：使用必需的
AzureFirewallSubnet，其最小大小为 /26，不要在该子网中部署其他资源，并将工作负载路由表保留在工作负载子网上，而不是放在防火墙子网上，除非有文档记录的强制隧道设计要求为防火墙子网配置路由。 欲了解更多信息，请参见 Azure 防火墙 常见问题解答。选择合适的 Azure 防火墙 SKU：Azure 防火墙 提供三种 SKU：适用于吞吐量最高 250 Mbps 的中小企业基础版、标准版和高级版。 当您需要高级安全功能，如IDPS、TLS检测和URL过滤时，请使用高级版。 当你需要网页分类时，使用标准或高级，而这些类别在 Basic 中没有。 有关详细信息，请参阅 选择正确的 Azure 防火墙 SKU 以满足需求。
启用基于威胁情报的过滤：配置基于威胁情报的过滤，以对来自已知恶意IP地址、FQDNS和URL的流量发出警报。 需要提醒和拒绝模式时请使用标准版或高级版，因为基础版只支持提醒模式。 欲了解更多信息，请参阅基于Azure 防火墙的威胁情报过滤，并选择符合您需求的Azure 防火墙 SKU。
实施高级威胁检测的IDPS：使用Azure 防火墙 Premium入侵检测与防御系统（IDPS），基于Microsoft管理的签名检测并阻止恶意网络活动。 调整签名操作以减少误报并阻止高置信度威胁。 有关详细信息，请参阅 Azure 防火墙 Premium 功能。
配置 DNS 代理功能：启用 DNS 代理，使客户端和 Azure 防火墙 在基于 FQDN 的规则中使用一致的名称解析。 这种 DNS 配置降低了因不同 DNS 回答导致规则绕过或连接失败的风险。 有关详细信息，请参阅 Azure 防火墙 DNS 代理详细信息。
为 Azure 和 Microsoft 服务 使用托管规则目标：在网络规则中使用服务标签，在应用规则中使用 FQDN 标签，而不是手动维护 IP 地址范围和服务端点列表。 对于需要基于域过滤的TCP或UDP协议，在网络规则中使用FQDN过滤并启用DNS代理。 欲了解更多信息，请参见《Azure 防火墙 服务标签概述》、《Azure 防火墙 FQDN 标签概览》以及《Azure 防火墙 FQDN 网络规则过滤》。
在混合环境中使用强制隧道：当互联网流量必须通过本地安全设备或集中检测路径时，配置强制隧道。 启用管理网络接口，使
AzureFirewallManagementSubnet防火墙管理流量与客户流量保持分离。 有关详细信息，请参阅 Azure 防火墙强制隧道。启用TLS检测加密流量：使用Azure 防火墙高级TLS检测，在安全策略要求时检查加密的出站和东西向流量。 在 Azure 密钥保管库 中存储和管理所需的证书。 有关详细信息，请参阅 Azure 防火墙高级版证书。
评估受控HTTP/S出口的显式代理：当你可以配置应用程序直接向防火墙私有IP地址发送出站HTTP/S流量而无需用户自定义路由时，使用Azure 防火墙显式代理（预览版）。 针对显式代理流量使用应用规则，需要集中管理客户端代理设置时使用代理自动配置（PAC）文件。 欲了解更多信息，请参见 Azure 防火墙 explicit proxy （preview）。
启用网络类别：使用网络类别来控制对不符合您可接受使用政策的网站类别的访问，如社交网络或赌博。 网络分类相比维护单个FQDNS的允许和拒绝列表，可以减少行政负担。 有关详细信息，请参阅 Azure 防火墙 Web 类别。
规划 SNAT 容量以应对出站规模：当您需要更多 SNAT 端口以应对高容量出站工作负载时，添加多个公共 IP 地址或与 Azure NAT 网关 集成。 不要在安全的虚拟集线器防火墙上使用NAT网关。 当你需要带区域冗余防火墙的区域冗余 SNAT 时，可以使用 NAT 网关 V2。 欲了解更多信息，请参见“用 Azure NAT 网关 扩展 SNAT 端口”和“与 NAT Gateway V2 集成 Azure 防火墙”。
身份和访问管理
适用于 Azure 防火墙 的身份和访问管理用于控制哪些人可以管理防火墙资源、修改防火墙策略 (Firewall Policy) 以及将管理平面操作自动化。
使用 Microsoft Entra ID 进行管理平面访问：要求管理员和自动化身份在通过 Azure 门户、Azure 资源管理器、Azure CLI 或 PowerShell 管理 Azure 防火墙 时，通过 Microsoft Entra ID 进行身份验证。 欲了解更多信息，请参见关于Azure 防火墙的角色与权限。
分配Azure RBAC最低权限角色：将内置角色（如网络贡献者）范围限制到管理员需要管理的特定防火墙、防火墙策略、资源组或管理组。 当仅需网络权限时，应避免授予范围过宽的“所有者”或“参与者”角色分配。 欲了解更多信息，请参见“关于 Azure 防火墙 角色与权限。
创建仅针对防火墙策略访问的自定义角色：当管理员需要编辑防火墙策略但不应管理虚拟网络、公共IP地址、路由表或其他网络资源时，使用自定义的Azure RBAC角色。 有关详细信息，请参阅 Azure 自定义角色。
使用特权标识管理进行权限提升：将高影响力角色设为符合条件，而不是永久启用。 要求对授予 Azure 防火墙、防火墙策略、公共 IP 地址和虚拟网络资源（如网络贡献者和任何自定义防火墙管理员角色）写权限的角色激活进行批准、证明、多因素认证和限时激活。
要求管理会话的条件访问：应用条件访问策略，要求多因素认证和合规设备，这些设备可以创建、修改或删除 Azure 防火墙 实例、防火墙策略、公共 IP 地址、路由表以及防火墙依赖的枢纽虚拟网络。 更多信息请参见“要求 Azure 管理多重身份验证”。
限制自动化服务主体权限：仅分配自动化身份以部署、导出或更新防火墙资源和策略所需的权限，并尽可能狭窄地分配这些权限。 当自动化平台支持时，优先选择托管身份。 欲了解更多信息，请参见关于Azure 防火墙的角色与权限。
不同管理员层级的独立职责：设计分层管理员模型，使 DevOps 团队可以请求或部署应用变更，但不能直接修改共享安全策略，安全管理员负责批准或管理防火墙策略。 利用角色分配、自定义角色和部署管道来强制职责分离。 欲了解更多信息，请参见关于Azure 防火墙的角色与权限。
数据保护
Azure 防火墙 的数据保护侧重于保护检测过的流量、配置数据、证书和可能包含敏感网络信息的日志。
通过适当的证书管理实现TLS检查：将TLS检查中介CA证书存储在Azure 密钥保管库中，并只授予防火墙管理身份所需的秘密权限。 此集成使用密钥保管库访问策略模型，因为Azure 防火墙不支持获取TLS检查证书的Azure RBAC授权。 有关详细信息，请参阅 Azure 防火墙高级版证书。
限制对加密协议的访问：配置防火墙规则以允许加密协议（如HTTPS），并在业务需求允许的情况下屏蔽或限制明文端口。 将规则集合与优先级和处理顺序结合，有助于可预测地执行这些决策。 欲了解更多信息，请参见 Azure 防火墙 规则处理逻辑。
使用URL过滤进行细致控制：当你需要精确决定网页流量的允许或拒绝时，应用URL过滤来控制完整的URL，而不仅仅是FQDN。 这种过滤有助于阻止托管在合法域名上的恶意路径。 有关详细信息，请参阅 Azure 防火墙 Premium 功能。
限制对诊断数据的访问：将Azure 防火墙日志视为敏感，因为它们可能包含源和目的IP地址、URL、端口和规则决策。 在Log Analytics工作区、存储账户和接收防火墙诊断的事件中心使用RBAC。 有关详细信息，请参阅 监视 Azure 防火墙日志和指标。
日志记录和监控
Azure 防火墙的日志和监控为流量流、策略决策、威胁、性能及配置变更提供可视化，便于调查和响应。
启用 Azure 防火墙 诊断日志：配置诊断设置，将 Azure 防火墙 日志和指标发送到 Log Analytics 工作区、存储账户或事件中心。 根据您的部署情况，按需捕获网络规则日志、应用程序规则日志、NAT 规则日志、威胁情报日志、IDPS 日志、DNS 代理日志、内部 FQDN 解析失败日志、Top flow 日志以及流跟踪日志。 有关详细信息，请参阅 监视 Azure 防火墙日志和指标。
使用资源特定的结构化日志：将 Azure 防火墙 日志发送到资源特定的 Log Analytics 表
AZFWApplicationRule，如 、AZFWNetworkRule、AZFWNatRuleAZFWIdpsSignatureAZFWThreatIntel、 ，AZFWDnsQuery而不是仅依赖遗留AzureDiagnostics表。 资源专用表提升查询性能、模式发现和表级访问控制。 有关详细信息，请参阅 监视 Azure 防火墙日志和指标。与 Microsoft Sentinel 集成以实现威胁检测：将 Azure 防火墙 日志连接到 Microsoft Sentinel，以便安全运营团队将防火墙事件与身份、端点和工作负载信号关联起来。 使用分析规则和工作手册来检测恶意软件和可疑的流量模式。 有关详细信息，请参阅 使用 Azure 防火墙检测恶意软件并Microsoft Sentinel。
监控威胁情报告警：为威胁情报命中创建告警和处置流程，以便分析师能够快速调查发往或来自已知恶意来源的流量。 当响应行动经过充分测试时，使用自动化来获得高信心指标。 有关详细信息，请参阅 Azure 防火墙基于威胁情报的筛选。
配置性能监控和提醒：通过使用 Azure Monitor 监控吞吐量、延迟、防火墙健康状况、SNAT 端口利用率和规则命中率。 在用户经历应用中断前，提前警示容量或可用性阈值。 有关详细信息，请参阅 Azure 防火墙性能的最佳做法。
监控防火墙可用性的资源运行状况：使用 Azure 资源运行状况 和 Azure 防火墙指标，以便运维团队能够检测平台性能下降、调查服务运行状况事件，并在防火墙可用性受到影响时接收通知。 更多信息请参见“用 资源运行状况 监控防火墙健康”。
审查策略分析和规则变更：使用策略分析识别未使用的规则和过于宽泛的规则。 使用规则集变更追踪来检测意外配置变更。 定期审查减少规则蔓延，提高政策效果。 有关详细信息，请参阅 Azure 防火墙策略分析 和 跟踪 Azure 防火墙规则集更改。
使用Azure 防火墙 Workbook进行分析：部署并审查Azure 防火墙工作簿仪表盘，从单一Azure门户体验中分析多个防火墙间的事件、规则、威胁和趋势。 更多信息请参见 Azure 防火墙 工作手册。
为调查和合规设定日志保留期限：根据事件响应、审计和监管需求配置保留期限。 当运营工作空间使用较短保留时间时，将长期归档存储在受保护存储中。 有关详细信息，请参阅 监视 Azure 防火墙日志和指标。
合规性和治理
Azure 防火墙的合规与治理帮助你在订阅、区域和网络架构之间保持一致的策略、库存和安全基线。
使用Azure Policy进行配置强制执行：分配内置和自定义的Azure Policy定义，以审计或执行威胁情报、诊断设置、允许的SKU和可用性区部署等需求。 有关详细信息，请参阅 使用 Azure Policy 来帮助保护 Azure 防火墙部署。
用 Azure Resource Graph 维护资源清单：查询 Azure 防火墙、防火墙策略、公共 IP、路由表和诊断设置资源，跨订阅查找覆盖差距和配置漂移。 使用保存的查询或仪表盘来进行定期审核。 有关详细信息，请参阅 Azure Resource Graph 概述。
为防火墙资源应用一致标签：使用所有权、环境、成本中心、数据分类和关键性标签，以便团队能够一致管理防火墙资源及相关策略。 使用 Azure Policy 强制实施所需标记。 欲了解更多信息，请参见“使用 Azure Policy 以强制标签规则和约定”。
用 Azure 防火墙管理器 集中化策略：使用 Azure 防火墙管理器 从集中控制平面管理跨安全虚拟枢纽和枢纽虚拟网络的防火墙策略。 这种集中管理有助于减少订阅和地区间的不一致规则。 欲了解更多信息，请参见《什么是 Azure 防火墙管理器？》
对于中心辐射型架构，使用策略层级和继承：构建父级和子级防火墙策略层级，使全局安全要求能够继承到区域性策略或特定于应用程序的策略中，同时允许受控的本地例外情况。 该模型支持在大规模中心辐射式部署中实现统一治理。 欲了解更多信息，请参见 Azure 防火墙管理器 策略概述。
将DDoS防护与安全的枢纽虚拟网络关联：使用Azure 防火墙管理器将Azure DDoS防护计划与包含Azure 防火墙的枢纽虚拟网络关联。 DDoS 防护不支持 虚拟 WAN 集线器，因此在虚拟网络集线器设计时使用关联。 更多信息请参见“使用 Azure 防火墙管理器 配置 Azure DDoS 保护计划”。
通过基础设施作为代码标准化部署：通过使用 Bicep、ARM 模板、Terraform 或批准的管道部署 Azure 防火墙 和防火墙策略，确保团队持续审查变更，保持部署可重复性和可审计性。 有关详细信息，请参阅Azure 防火墙 的 Bicep 部署。
备份和恢复
Azure 防火墙 的备份和恢复侧重于保持防火墙策略作为真实数据源，并设计具备团队在故障时能够恢复或故障切换的弹性部署。
以基础设施形式管理防火墙策略：在Bicep、ARM模板或存储在源代码库中的Terraform中定义和版本防火墙策略。 把那个仓库当作真相的来源。 将策略导出用作初始基线或某一时点的快照，而不要将其作为持续的权威信息来源。 更多信息请参见 Azure 门户中的导出模板。
跨可用性区域部署 Azure 防火墙：在支持的区域中使用区域冗余部署，以增强对数据中心级故障的韧性。 在部署标准和 Azure Policy 赋值中包含区域需求。 有关详细信息，请参阅 使用 Azure PowerShell 部署具有可用性区域的 Azure 防火墙。
规划多区域防火墙部署以应对灾难恢复：在成对或战略选择的区域部署Azure 防火墙和对齐策略，以应对需要区域灾难恢复的工作负载。 确保你能在二级区域重建路由表、公网IP、诊断和策略分配。 有关详细信息，请参阅使用 Azure 防火墙 在多个中心之间路由中心辐射型拓扑。
使用父级和子防火墙策略层级进行恢复：将全局规则保留在父策略中，区域或工作负载规则保留在子策略中，以确保恢复环境能够一致继承所需的控制。 这种策略结构减少了恢复过程中手动规则重建。 欲了解更多信息，请参见 Azure 防火墙管理器 规则层级。
定期测试故障切换程序：验证路由、DNS、负载均衡、监控和安全规则在流量移动到次级枢纽或区域时是否正常工作。 让安全运营团队参与演练，确保警报和事件响应流程在故障切换期间持续进行。 更多信息请参见Azure 防火墙最佳实践。
围绕自动扩展行为规划恢复容量：标准和高级的 Azure 防火墙 部署会自动扩展，但流量增加后扩展可能需要几分钟。 监控吞吐量并规划故障转移流量，确保恢复事件不会超出扩展窗口期间的可用容量。 有关详细信息，请参阅 Azure 防火墙性能。