Software · Segurança & Identidade
Defesa em Profundidade no Azure: Azure Firewall, NSG, WAF e Segmentação
A aplicação do princípio militar de defesa em camadas na nuvem Microsoft: distinção prática entre WAF, Azure Firewall e NSGs, roteamento seguro por UDRs e inspeção de tráfego leste-oeste.
Neste artigo
Confiar exclusivamente em uma única linha de defesa perimetral é uma falha grave de arquitetura. O modelo de Defesa em Profundidade (Defense-in-Depth) estabelece camadas independentes e sobrepostas de controle: se um atacante contornar o firewall de borda ou explorar uma vulnerabilidade em uma aplicação web, ele encontrará sucessivas barreiras internas que limitam seu raio de explosão (blast radius).
flowchart TD
subgraph BordaInternet["Camada 1: Borda Externa (Camada 7)"]
WAF["Web Application Firewall (WAF)<br/>Azure Front Door / App Gateway<br/>(Bloqueia SQLi, XSS, regras OWASP Core Rule Set)"]
end
subgraph PerimetroRede["Camada 2: Perímetro de Rede Central (Camada 3/4/7)"]
AzFw["Azure Firewall Premium<br/>(IDPS, Inspeção TLS e Regras de FQDN de Saída)"]
end
subgraph SegmentacaoInterna["Camada 3: Segmentação de Subnets (Microperímetros)"]
NSGWeb["NSG Subnet Web (Libera apenas porta 443 do Gateway)"]
NSGApp["NSG Subnet App (Libera apenas tráfego vindo da Web)"]
NSGData["NSG Subnet Dados (Libera apenas porta 5432 vinda da App)"]
end
subgraph AtivoDados["Camada 4: Blindagem do Dado"]
PrivEndpoint["Private Endpoint (Sem IP Público) + Criptografia TDE"]
end
Internet((Internet)) --> WAF --> AzFw --> NSGWeb --> NSGApp --> NSGData --> PrivEndpoint
A Divisão de Responsabilidades dos Controles de Rede
Muitos times confundem as funções do WAF, do Azure Firewall e dos Network Security Groups (NSGs). Cada um atua em uma camada distinta do modelo OSI:
- WAF (Web Application Firewall):
- Atua na Camada 7 (Aplicação HTTP/HTTPS).
- Analisa o payload das requisições contra o conjunto de regras do OWASP Top 10 (SQL Injection, Cross-Site Scripting, RCE, cabeçalhos malformados).
- Azure Firewall:
- Atua nas Camadas 3, 4 e 7 como um firewall de estado centralizado gerenciado (stateful).
- O modo Premium executa decodificação e inspeção TLS profunda, detecção e prevenção de intrusões (IDPS) e filtragem de URLs e FQDNs para impedir que servidores comprometidos baixem binários de comando e controle externos.
- Network Security Groups (NSGs):
- Atuam como listas de controle de acesso (ACLs) estaduais gratuitas nas Camadas 3 e 4.
- Associados a subnets ou placas de rede individuais (NICs), filtram portas e IPs de origem/destino sem inspeção de conteúdo.
| Ferramenta | Camada OSI | Posição na Topologia | Inspeção de Carga | Custo |
|---|---|---|---|---|
| WAF | Camada 7 (HTTP/S) | Na borda (Front Door / App Gateway) | Profunda (OWASP rulesets) | Cobrado por hora de gateway + tráfego inspecionado |
| Azure Firewall | Camadas 3, 4 e 7 | No Hub da rede VNet | Análise de fluxos, IDPS e TLS inspection | Custo fixo mensal de escala corporativa + tráfego |
| NSG | Camadas 3 e 4 (TCP/UDP/ICMP) | Em cada Subnet ou placa de rede (NIC) | Nenhuma (apenas IPs, portas e tags) | Gratuito (recurso nativo do Azure SDN) |
Isolamento Leste-Oeste com Rotas Definidas pelo Usuário (UDR)
Por padrão no Azure, recursos dentro da mesma VNet ou com VNet Peering comunicam-se livremente. Para impor inspeção estrita de tráfego entre ambientes (tráfego leste-oeste), engenheiros configuram tabelas de rotas personalizadas (User Defined Routes - UDRs) que desviam todo o fluxo da sub-rede web para o IP privado do Azure Firewall antes de autorizar o envio à sub-rede de banco de dados.
