Un réseau virtuel constitue le rayon d'impact interne. Depuis une VM ou un conteneur compromis, le peering de VNet dépasse souvent largement le sous-réseau local, car les peerings sont mis en place par commodité et rarement segmentés, et les service endpoints étendent l'identité d'un sous-réseau aux ressources PaaS (stockage, SQL) qui font alors confiance au trafic provenant du sous-réseau. Cartographier le graphe de peering indique jusqu'où une seule prise de pied peut atteindre.
Cartographier le réseau accessible#
# the VNets, their peerings, and subnets
az network vnet list --query "[].{Name:name,RG:resourceGroup,Space:addressSpace.addressPrefixes}" -o table
az network vnet peering list --vnet-name <vnet> -g <rg> \
--query "[].{Name:name,Remote:remoteVirtualNetwork.id,State:peeringState}" -o table
# subnets and the service endpoints they carry
az network vnet subnet list --vnet-name <vnet> -g <rg> \
--query "[].{Name:name,Endpoints:serviceEndpoints[].service}" -o table
Notes d'exploitation#
- Un peering
ConnectedavecallowForwardedTraffic/allowGatewayTransitpeut s'enchaîner sur plusieurs VNets, si bien que l'ensemble accessible correspond à la fermeture transitive du peering, et non aux seuls voisins directs. - Un sous-réseau doté d'un service endpoint
Microsoft.StorageouMicrosoft.Sqlsignifie qu'un compte de stockage ou un serveur SQL peut accepter les connexions depuis ce sous-réseau via sa network ACL : une prise de pied dans le sous-réseau contourne alors le pare-feu de la ressource. - À associer aux network security groups pour ce qui est réellement autorisé, et aux private endpoints pour les ressources PaaS rattachées au VNet.
Outils#
- az network vnet (
list,peering list,subnet list) : la carte du peering et des endpoints. - MicroBurst / Azure Resource Graph : graphe réseau à l'échelle de l'abonnement.
- Stormspotter / AzureHound (BARK) : graphe des relations de ressources et d'accessibilité.