[{"_1":2,"_73":-5,"_74":-5},"loaderData",{"_3":4,"_23":24},"root",{"_5":-5,"_6":-5,"_7":-5,"_8":9,"_10":11},"me","tenants","current_tenant","total_tenants",0,"features",{"_12":13,"_20":21},"herding",{"_14":15,"_16":17,"_18":19},"enabled",true,"admin_only",false,"tenant_ids",[],"skytest",{"_14":15,"_16":17,"_18":22},[],"routes/kunnskap_.$theme_.$slug",{"_25":26,"_29":30,"_51":50,"_70":71,"_72":17},"article",{"_27":28,"_29":30,"_31":32,"_33":34,"_35":36,"_37":38,"_39":40,"_41":42,"_43":44,"_48":49,"_51":50,"_52":53,"_67":17,"_68":69},"id","019bfa0a-f736-716f-b4cf-94f861455e5d","slug","azure-herding-av-public-access-og-nettverkstilgang","title","Azure – Herding av public access og nettverkstilgang","content","---\ntitle: Herding av public access og nettverkstilgang i Azure\ndescription: Generelle anbefalinger for å redusere offentlig eksponering av Azure-ressurser, inkludert bruk av Private Endpoint, Service Endpoints og beste praksis for Network Security Groups (NSG).\nkeywords: [Azure, Sikkerhet, Herding, Public Access, Private Endpoint, NSG, Nettverk, Zero Trust]\n---\n\n# Azure – Herding av public access og nettverkstilgang\n\n## Kortversjon\n\n- Deaktiver public access på Azure-ressurser der det er mulig \n- Bruk Private Endpoint som standard for tilgang til Azure-tjenester \n- Bruk Service Endpoints kun der Private Endpoint ikke er mulig \n- Håndhev prinsippet om default deny i Network Security Groups (NSG) \n- Tillat kun eksplisitt nødvendig inn- og utgående trafikk \n- Unngå brede IP-områder og åpne porter (0.0.0.0/0) \n- Begrens administrativ tilgang til VM-er (Bastion / JIT) \n- Segmenter miljøer (prod / test / dev) på nettverksnivå \n- Unngå komplekse og gjensidige VNet-peeringer \n- Overvåk og revider nettverksendringer kontinuerlig \n- [Sjekk vår artikkel](https://portal.helsecert.no/kunnskap/endringsprosess) for god endringsprosess.\n\n
\n\n## Bakgrunn\n\nMange Azure-ressurser støtter som standard tilgang over offentlig internett. \nDette gjelder blant annet:\n\n- Storage Accounts \n- Azure SQL / Managed Instance \n- App Services \n- Azure Key Vault \n- Container Registry \n- Virtual Machines med public IP \n\nOffentlig eksponering øker angrepsflaten betydelig og gjør ressursene sårbare for:\n- Skanning og brute force-angrep \n- Feilkonfigurasjoner \n- Uautorisert tilgang via lekkede credentials \n\nDenne artikkelen beskriver anbefalte tiltak for å redusere public access og etablere robuste nettverksregler i Azure.\n\n
\n\n## Anbefalte tiltak\n\n### 1) Deaktiver public access der det er mulig\n\n**Anbefaling:**\n- Deaktiver public network access på alle ressurser som støtter det\n- Bruk Private Endpoint for tilgang fra interne nettverk\n\n| Tiltak | Anbefaling |\n|------|------------|\n| Public network access | Disabled |\n| Private Endpoint | Enabled |\n| Unntak av spesifikke IP-adresser og vnets | Ved behov |\n\n**Eksempler på ressurser som støtter dette:**\n- Storage Accounts \n- Key Vault \n- Azure SQL \n- Web Apps \n\n> ⚠️ Deaktivering av public access kan stoppe applikasjoner. \n> Kartlegg avhengigheter og test i ikke-produksjon først.\n\n
\n\n### 2) Private Endpoint som standard\n\nPrivate Endpoint gir:\n- Tilgang via privat IP i eget VNet \n- Eliminering av eksponering mot internett \n- Bedre kontroll og logging \n\n**Beste praksis:**\n- Én Private Endpoint per ressurs der mulig \n- Bruk dedikert subnet for Private Endpoints \n- Begrens tilkobling via NSG og routing \n\nUnngå:\n- Blanding av public access og Private Endpoint \n- Overdreven bruk av unntak som “Allow trusted Microsoft services”\n\n
\n\n### 3) Service Endpoints – kun ved behov\n\nService Endpoints kan brukes der Private Endpoint ikke er mulig.\n\n**Begrensninger:**\n- Trafikken går fortsatt over Azure backbone, men tjenesten har public endpoint \n- Gir ikke full nettverksisolering \n\n**Anbefaling:**\n- Foretrekk Private Endpoint \n- Bruk Service Endpoints kun der arkitektur, kost eller tjenestebegrensninger hindrer Private Endpoint \n\n
\n\n### 4) Network Security Groups (NSG) – grunnleggende prinsipper\n\nNSG-er brukes til å styre trafikk på:\n- Subnet-nivå \n- Nettverkskort (NIC) \n\n**Grunnprinsipp (Default deny):**\n\nAll nettverkstrafikk skal som utgangspunkt blokkeres. \nKun trafikk som er **eksplisitt definert og begrunnet** i Network Security Groups (NSG) skal tillates.\n\nDette innebærer at:\n- Manglende eller uklare regler skal føre til blokkering, ikke tilgang\n- Åpen tilgang “midlertidig” regnes som en sikkerhetsrisiko\n- NSG-er skal brukes aktivt til å håndheve minste nødvendige nettverkstilgang\n\n| Prinsipp | Anbefalt praksis |\n|--------|------------------|\n| Default rules | Behold standardreglene, men suppler med egne eksplisitte allow- og deny-regler |\n| Inbound access | Tillat kun nødvendig trafikk inn til ressurser og subnett |\n| Outbound access | Begrens utgående trafikk til kjente og nødvendige destinasjoner |\n| Regelprioritet | Bruk få, tydelige regler med forutsigbar prioritet |\n\n
\n\n### 5) Beste praksis for NSG-regler\n\n**Tillat kun det som er nødvendig:**\n- Spesifikke IP-er eller subnett \n- Spesifikke porter \n- Spesifikke protokoller \n\n**Unngå:**\n- `0.0.0.0/0` i produksjon \n- Åpne administrasjonsporter (RDP, SSH) fra internett \n- Midlertidige regler som aldri fjernes \n\n| Dårlig praksis | Bedre praksis |\n|---------------|---------------|\n| Any → Any | Spesifikk kilde → spesifikk destinasjon |\n| Åpen port 22 | Bastion eller JIT |\n| Mange overlappende regler | Få, tydelige regler |\n\n
\n\n### 6) Administrativ tilgang til virtuelle maskiner\n\n**Anbefalt:**\n- Azure Bastion \n- Just-In-Time (JIT) VM access \n- Tilgang kun fra administrasjonsnettverk \n\n**Unngå:**\n- Public IP direkte på VM-er \n- Permanente NSG-regler for RDP/SSH \n\n
\n\n### 7) Segmentering og miljøskille\n\nDel nettverket etter:\n- Miljø (prod / test / dev) \n- Applikasjon eller tjeneste \n- Sikkerhetsnivå \n\n**Fordeler:**\n- Redusert blast radius \n- Enklere feilsøking \n- Bedre etterlevelse av sikkerhetskrav \n\nBruk:\n- Separate VNets \n- Peering med restriksjoner \n- NSG-er per subnet \n\n
\n\n### 8) Arkitekturhensyn – støtte for sikker nettverkstilgang\n\nDette avsnittet beskriver arkitekturmessige valg som støtter og forenkler\netterlevelse av anbefalingene i de foregående kapitlene.\n\n**Anbefalinger:**\n- Bruk en sentralisert nettverksmodell (hub-and-spoke) for felles tjenester som:\n - Brannmur\n - DNS\n - Egress-kontroll\n- Unngå komplekse og gjensidige VNet-peeringer mellom applikasjonsnettverk\n- Trafikkflyt bør være forutsigbar og enkel å revidere\n\n**Begrunnelse:**\n- Reduserer kompleksitet og feilkonfigurasjoner\n- Forenkler kontroll på inn- og utgående trafikk\n- Gir bedre sporbarhet og sikkerhetsstyring over tid\n\nPrinsippene i denne artikkelen gjelder uavhengig av valgt nettverksarkitektur,\nmen en konsistent og sentralisert modell gjør dem enklere å etterleve i praksis.\n\n
\n\n### 9) Logging, overvåkning og revisjon\n\n**Anbefalinger:**\n- Aktiver NSG Flow Logs \n- Send logger til Log Analytics eller SIEM \n- Overvåk endringer i nettverksregler \n\nFølg med på:\n- Nye tillatelser mot internett \n- Endringer i prioritet eller scope \n- Uvanlig trafikkmønster \n\n
\n\n## Artikler og ressurser\n\n- https://learn.microsoft.com/en-us/azure/security/fundamentals/network-best-practices \n- https://learn.microsoft.com/en-us/azure/virtual-network/network-security-groups-overview \n- https://learn.microsoft.com/en-us/azure/private-link/private-endpoint-overview\n- https://learn.microsoft.com/en-us/azure/architecture/networking/architecture/hub-spoke \n","status","published","published_at","2026-01-26T11:59:16.806Z","updated_at","2026-01-26T11:59:16.807Z","created_at","2026-01-26T11:23:01.301Z","author",{"_27":45,"_46":47},"0198cb47-2c64-7b71-bc80-ab3f13e9403c","name","","themes",[50],"azureherding","theme","metadata",{"_31":54,"_55":56,"_65":66},"Herding av public access og nettverkstilgang i Azure","keywords",[57,58,59,60,61,62,63,64],"Azure","Sikkerhet","Herding","Public Access","Private Endpoint","NSG","Nettverk","Zero Trust","description","Generelle anbefalinger for å redusere offentlig eksponering av Azure-ressurser, inkludert bruk av Private Endpoint, Service Endpoints og beste praksis for Network Security Groups (NSG).","private","labels",[],"relatedArticles",[],"isBookmarked","actionData","errors"]