Sdílet prostřednictvím

Standardní hodnoty zabezpečení Azure pro Container Registry

  • Článek

Tento směrný plán zabezpečení používá pokyny z srovnávacího testu zabezpečení cloudu Microsoftu verze 1.0 na Container Registry. Srovnávací test zabezpečení cloudu Microsoftu poskytuje doporučení týkající se zabezpečení cloudových řešení v Azure. Obsah se seskupí podle kontrolních mechanismů zabezpečení definovaných srovnávacím testem zabezpečení cloudu Microsoftu a souvisejícími pokyny vztahujícími se ke službě Container Registry.

Tento standardní plán zabezpečení a jeho doporučení můžete monitorovat pomocí programu Microsoft Defender for Cloud. Definice azure Policy budou uvedené v části Dodržování právních předpisů na stránce portálu Microsoft Defender for Cloud.

Pokud má funkce relevantní definice služby Azure Policy, jsou uvedené v tomto směrném plánu, které vám pomůžou měřit dodržování předpisů s kontrolními mechanismy a doporučeními srovnávacích testů zabezpečení cloudu Microsoftu. Některá doporučení můžou vyžadovat placený plán Microsoft Defenderu, aby bylo možné povolit určité scénáře zabezpečení.

Poznámka:

Funkce , které se nevztahují na Container Registry, byly vyloučeny. Pokud chcete zjistit, jak container Registry kompletně mapuje na srovnávací test zabezpečení cloudu Microsoftu, podívejte se na úplný soubor mapování standardních hodnot zabezpečení služby Container Registry.

Profil zabezpečení

Profil zabezpečení shrnuje chování služby Container Registry s vysokým dopadem, což může mít za následek zvýšené aspekty zabezpečení.

Atribut chování služby Hodnota
Kategorie produktu Výpočty, kontejnery
Zákazník má přístup k hostiteli nebo operačnímu systému Bez přístupu
Službu je možné nasadit do virtuální sítě zákazníka. False
Ukládá neaktivní uložený obsah zákazníka. True

Zabezpečení sítě

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu : Zabezpečení sítě.

NS-1: Vytvoření hranic segmentace sítě

Funkce

Integrace virtuální sítě

Popis: Služba podporuje nasazení do privátní virtuální sítě zákazníka. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
False Neuvedeno Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Podpora skupin zabezpečení sítě

Popis: Síťový provoz služby respektuje přiřazení pravidla skupin zabezpečení sítě v jejích podsítích. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
False Neuvedeno Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

NS-2: Zabezpečení cloudových služeb pomocí síťových ovládacích prvků

Funkce

Popis: Funkce filtrování nativních IP adres pro filtrování síťového provozu (nezaměňovat se se skupinou zabezpečení sítě nebo službou Azure Firewall). Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True False Zákazník

Pokyny ke konfiguraci: Nasaďte privátní koncové body pro všechny prostředky Azure, které podporují funkci Private Link, a vytvořte privátní přístupový bod pro prostředky.

Referenční informace: Privátní připojení ke službě Azure Container Registry pomocí služby Azure Private Link

Zakázání přístupu k veřejné síti

Popis: Služba podporuje zakázání přístupu k veřejné síti buď prostřednictvím pravidla filtrování seznamu ACL na úrovni služby (ne NSG nebo Azure Firewall), nebo pomocí přepínače Zakázat přístup k veřejné síti. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True False Zákazník

Pokyny ke konfiguraci: Zakažte přístup k veřejné síti buď pomocí pravidla filtrování seznamu ACL na úrovni služby, nebo povolením nastavení Zakázat přístup k veřejné síti ve službě.

Referenční informace: Zakázání přístupu k veřejné síti

Monitorování Microsoft Defenderu pro cloud

Předdefinované definice azure Policy – Microsoft.ContainerRegistry:

Název
(Azure Portal)		 Popis Účinek Verze
(GitHub)
Registry kontejnerů by neměly umožňovat neomezený síťový přístup Registry kontejnerů Azure ve výchozím nastavení přijímají připojení přes internet z hostitelů v libovolné síti. Pokud chcete chránit registry před potenciálními hrozbami, povolte přístup jenom z konkrétních privátních koncových bodů, veřejných IP adres nebo rozsahů adres. Pokud váš registr nemá nakonfigurovaná pravidla sítě, zobrazí se v prostředcích, které nejsou v pořádku. Další informace o pravidlech sítě služby Container Registry najdete tady: https://aka.ms/acr/portal/public-networkhttps://aka.ms/acr/privatelink a .https://aka.ms/acr/vnet Audit, Odepřít, Zakázáno 2.0.0

Správa identit

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu : Správa identit.

IM-1: Použití centralizovaného systému identit a ověřování

Funkce

Vyžadováno ověřování Azure AD pro přístup k rovině dat

Popis: Služba podporuje použití ověřování Azure AD pro přístup k rovině dat. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True True Microsoft

Pokyny ke konfiguraci: Pro výchozí nasazení nejsou vyžadovány žádné další konfigurace.

Referenční informace: Ověřování pomocí registru kontejneru Azure

Místní metody ověřování pro přístup k rovině dat

Popis: Místní metody ověřování podporované pro přístup k rovině dat, například místní uživatelské jméno a heslo. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True False Zákazník

Poznámky k funkcím: Vyhněte se používání místních metod ověřování nebo účtů, měly by být zakázány všude, kde je to možné. Místo toho použijte Azure AD k ověření, pokud je to možné.

Pokyny ke konfiguraci: Omezte použití místních metod ověřování pro přístup k rovině dat. Místo toho jako výchozí metodu ověřování použijte Azure Active Directory (Azure AD) k řízení přístupu k rovině dat.

Referenční informace: Vytvoření tokenu s oprávněními v oboru úložiště

IM-3: Zabezpečená a automatická správa identit aplikací

Funkce

Spravované identity

Popis: Akce roviny dat podporují ověřování pomocí spravovaných identit. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True False Zákazník

Pokyny ke konfiguraci: Pokud je to možné, používejte spravované identity Azure místo instančních objektů, které se můžou ověřovat ve službách a prostředcích Azure podporujících ověřování Azure Active Directory (Azure AD). Přihlašovací údaje spravované identity jsou plně spravované, obměněné a chráněné platformou. Vyhnete se pevně zakódovaným přihlašovacím údajům ve zdrojovém kódu nebo konfiguračních souborech.

Referenční informace: Použití spravované identity Azure k ověření ve službě Azure Container Registry

Instanční objekty

Popis: Rovina dat podporuje ověřování pomocí instančních objektů. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True False Zákazník

Další pokyny: Přestože služba podporuje instanční objekty jako vzor pro ověřování, doporučujeme místo toho používat spravované identity.

Referenční informace: Ověřování azure Container Registry pomocí instančních objektů

IM-7: Omezení přístupu k prostředkům na základě podmínek

Funkce

Podmíněný přístup pro rovinu dat

Popis: Přístup k rovině dat je možné řídit pomocí zásad podmíněného přístupu Azure AD. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
False Neuvedeno Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Privilegovaný přístup

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu : Privilegovaný přístup.

PA-1: Oddělení a omezení vysoce privilegovaných nebo administrativních uživatelů

Funkce

Účty místního správce

Popis: Služba má koncept účtu místního správce. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True False Zákazník

Poznámky k funkcím: Vyhněte se používání místních metod ověřování nebo účtů, měly by být zakázány všude, kde je to možné. Místo toho použijte Azure AD k ověření, pokud je to možné.

Pokyny ke konfiguraci: Pokud nejsou vyžadovány pro rutinní operace správy, zakažte nebo omezte všechny účty místních správců pouze pro nouzové použití. Každý registr kontejneru obsahuje uživatelský účet správce, který je ve výchozím nastavení zakázaný.

Referenční informace: Ověřování pomocí registru kontejneru Azure

PA-7: Využívání správy jen v potřebném rozsahu (princip nejnižší úrovně nutných oprávnění)

Funkce

Azure RBAC pro rovinu dat

Popis: Řízení přístupu na základě role v Azure (Azure RBAC) se dá použít ke správě přístupu k akcím roviny dat služby. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True True Microsoft

Pokyny ke konfiguraci: Pro výchozí nasazení nejsou vyžadovány žádné další konfigurace.

Referenční informace: Role a oprávnění služby Azure Container Registry

PA-8: Určení procesu přístupu pro podporu poskytovatele cloudu

Funkce

Customer Lockbox

Popis: Customer Lockbox je možné použít pro přístup k podpoře Microsoftu. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True False Zákazník

Pokyny ke konfiguraci: Ve scénářích podpory, ve kterých Microsoft potřebuje přístup k vašim datům, zkontrolujte pomocí Customer Lockboxu a pak schvalte nebo odmítněte všechny žádosti o přístup k datům Microsoftu.

Referenční informace: Customer Lockbox pro Microsoft Azure

Ochrana dat

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu : Ochrana dat.

DP-1: Zjišťování, klasifikace a označování citlivých dat

Funkce

Zjišťování a klasifikace citlivých dat

Popis: Nástroje (například Azure Purview nebo Azure Information Protection) se dají použít ke zjišťování a klasifikaci dat ve službě. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
False Neuvedeno Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

DP-2: Monitorování anomálií a hrozeb, které cílí na citlivá data

Funkce

Únik dat / Ochrana před únikem informací

Popis: Služba podporuje řešení ochrany před únikem informací pro monitorování přesunu citlivých dat (v obsahu zákazníka). Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True False Zákazník

Pokyny ke konfiguraci: Zakažte exporty registru kontejnerů, abyste měli jistotu, že se k datům přistupuje výhradně prostřednictvím roviny dat (docker pull). Tím se zajistí, že data nelze přesunout z registru prostřednictvím importu acr nebo prostřednictvím přenosu acr.

Referenční informace: Registry kontejnerů by měly mít zakázané exporty.

DP-3: Šifrování citlivých dat během přenosu

Funkce

Šifrování dat při přenosu

Popis: Služba podporuje šifrování přenášených dat pro rovinu dat. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True True Microsoft

Pokyny ke konfiguraci: Pro výchozí nasazení nejsou vyžadovány žádné další konfigurace.

Referenční informace: Povolení protokolu TLS 1.2 ve službě Azure Container Registry

DP-4: Povolení šifrování neaktivních uložených dat ve výchozím nastavení

Funkce

Šifrování neaktivních uložených dat pomocí klíčů platformy

Popis: Šifrování neaktivních uložených dat pomocí klíčů platformy je podporováno, veškerý neaktivní uložený obsah zákazníka je šifrovaný pomocí těchto klíčů spravovaných Microsoftem. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True True Microsoft

Pokyny ke konfiguraci: Pro výchozí nasazení nejsou vyžadovány žádné další konfigurace.

Referenční informace: Šifrování registru pomocí klíče spravovaného platformou

DP-5: Použití možnosti klíče spravovaného zákazníkem v šifrování neaktivních uložených dat v případě potřeby

Funkce

Šifrování neaktivních uložených dat pomocí cmk

Popis: Šifrování neaktivních uložených dat pomocí klíčů spravovaných zákazníkem je podporováno pro obsah zákazníka uložený službou. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True False Zákazník

Pokyny ke konfiguraci: V případě potřeby dodržování právních předpisů definujte případ použití a obor služby, kde je potřeba šifrování pomocí klíčů spravovaných zákazníkem. Povolte a implementujte šifrování neaktivních uložených dat pomocí klíče spravovaného zákazníkem pro tyto služby.

Referenční informace: Šifrování registru pomocí klíče spravovaného zákazníkem

Monitorování Microsoft Defenderu pro cloud

Předdefinované definice azure Policy – Microsoft.ContainerRegistry:

Název
(Azure Portal)		 Popis Účinek Verze
(GitHub)
Registry kontejnerů by se měly šifrovat pomocí klíče spravovaného zákazníkem. Ke správě šifrování zbývajícího obsahu vašich registrů použijte klíče spravované zákazníkem. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace najdete na adrese https://aka.ms/acr/CMK. Audit, Odepřít, Zakázáno 1.1.2

DP-6: Použití zabezpečeného procesu správy klíčů

Funkce

Správa klíčů ve službě Azure Key Vault

Popis: Služba podporuje integraci služby Azure Key Vault pro všechny klíče zákazníka, tajné kódy nebo certifikáty. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
False Neuvedeno Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Správa aktiv

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu : Správa prostředků.

AM-2: Používejte pouze schválené služby.

Funkce

Podpora služby Azure Policy

Popis: Konfigurace služeb je možné monitorovat a vynucovat prostřednictvím služby Azure Policy. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True False Zákazník

Pokyny ke konfiguraci: Pomocí Microsoft Defenderu pro cloud nakonfigurujte Azure Policy tak, aby auditovali a vynucovali konfigurace vašich prostředků Azure. Pomocí služby Azure Monitor můžete vytvářet výstrahy, když se u prostředků zjistí odchylka konfigurace. Pokud chcete vynutit zabezpečenou konfiguraci napříč prostředky Azure, použijte azure Policy [odepřít] a [nasadit, pokud neexistuje].

Referenční informace: Audit dodržování předpisů registrů kontejnerů Azure pomocí služby Azure Policy

Protokolování a detekce hrozeb

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu : Protokolování a detekce hrozeb.

LT-1: Povolení možností detekce hrozeb

Funkce

Microsoft Defender for Service / Nabídka produktů

Popis: Služba má řešení Microsoft Defenderu specifické pro konkrétní nabídku pro monitorování a upozorňování na problémy se zabezpečením. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True False Zákazník

Pokyny ke konfiguraci: Použijte integrovanou funkci detekce hrozeb v programu Microsoft Defender pro cloud a povolte Microsoft Defender pro prostředky služby Container Registry. Microsoft Defender for Container Registry poskytuje další vrstvu inteligentních funkcí zabezpečení. Zjistí neobvyklé a potenciálně škodlivé pokusy o přístup k prostředkům služby Container Registry nebo jejich zneužití.

Referenční informace: Přehled služby Microsoft Defender for Containers

LT-4: Povolení protokolování pro šetření zabezpečení

Funkce

Protokoly prostředků Azure

Popis: Služba vytváří protokoly prostředků, které můžou poskytovat rozšířené metriky a protokolování specifické pro službu. Zákazník může tyto protokoly prostředků nakonfigurovat a odeslat je do vlastní jímky dat, jako je účet úložiště nebo pracovní prostor služby Log Analytics. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
True False Zákazník

Pokyny ke konfiguraci: Povolení protokolů prostředků Azure pro Container Registry K povolení protokolů prostředků a shromažďování dat protokolů můžete použít Microsoft Defender for Cloud a Azure Policy. Tyto protokoly můžou být důležité pro vyšetřování incidentů zabezpečení a forenzních cvičení.

Referenční informace: Monitorování služby Azure Container Registry

Zálohování a obnovování

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu : Zálohování a obnovení.

BR-1: Zajištění pravidelných automatizovaných záloh

Funkce

Azure Backup

Popis: Službu může zálohovat služba Azure Backup. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
False Neuvedeno Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Funkce nativního zálohování služby

Popis: Služba podporuje svou vlastní nativní funkci zálohování (pokud nepoužíváte Azure Backup). Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
False Neuvedeno Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Další kroky