Vytvoření standardních hodnot v programu Microsoft Defender for Cloud
Microsoft Defender for Cloud poskytuje jednotnou správu zabezpečení a pokročilou ochranu před hrozbami pro úlohy, které běží v Azure, místně a v jiných cloudech. Následující doporučení defenderu pro cloud, pokud se použije, nastaví různé zásady zabezpečení u předplatného Azure. Tyto zásady definují sadu řídicích prvků, které jsou doporučené pro vaše prostředky v předplatném Azure.
Doporučení microsoft Defenderu pro zabezpečení cloudu
Následující části popisují doporučení microsoft Defenderu pro cloud, která jsou ve srovnávacím testu zabezpečení CIS Microsoft Azure Foundations v. 3.0.0. Součástí každého doporučení jsou základní kroky, které je potřeba provést na webu Azure Portal. Tyto kroky byste měli provést pro vlastní předplatné a pomocí vlastních prostředků ověřit každé doporučení zabezpečení. Mějte na paměti, že možnosti na úrovni 2 můžou omezovat některé funkce nebo aktivity, takže pečlivě zvažte, které možnosti zabezpečení budete nakonec vynucovat.
Zobrazení předdefinovaných zásad zabezpečení v programu Microsoft Defender for Cloud
Zobrazení zásad zabezpečení cloudu v programu Microsoft Defender pro vaše předplatné Azure:
Přihlaste se k portálu Azure. Vyhledejte a vyberte možnost Microsoft Defender for Cloud.
V nabídce vlevo v části Správa vyberte Nastavení prostředí.
Výběrem předplatného otevřete podokno Nastavení zásad.
Povolené zásady definují doporučení Microsoft Defenderu pro cloud, jak je znázorněno v následujícím příkladu:
Povolit aktualizací systému – úroveň 1
Program Microsoft Defender for Cloud každý den monitoruje virtuální počítače a počítače s Windows a Linuxem, kde chybí aktualizace operačního systému. Defender for Cloud načte seznam dostupných aktualizací zabezpečení a důležitých aktualizací ze služby služba Windows Update nebo služby WSUS (Windows Server Update Services). Které aktualizace jsou v seznamu, závisí na tom, kterou službu nakonfigurujete na počítači s Windows. Defender for Cloud také kontroluje nejnovější aktualizace v systémech Linux. Pokud ve vašem virtuálním počítači nebo počítači chybí aktualizace systému, Defender for Cloud doporučuje, abyste nainstalovali aktualizace systému.
Přihlaste se k portálu Azure. Vyhledejte a vyberte možnost Microsoft Defender for Cloud.
V nabídce vlevo v části Správa vyberte Nastavení prostředí.
Vyberte předplatné.
V nabídce vlevo vyberte Zásady zabezpečení.
V části Výchozí iniciativa vyberte předplatné nebo skupinu pro správu.
Vyberte kartu Parametry.
Ujistěte se, že není zaškrtnuté políčko Zobrazit pouze parametry, které potřebují zadat nebo zkontrolovat .
Ujistěte se, že je na vašich počítačích nainstalovaná aktualizace systému, je jedna z uvedených zásad.
V následujícím příkladu se agent Microsoft Defender for Cloud nenasadil na virtuální počítač nebo fyzický počítač, takže se zobrazí zpráva AuditIfNotExists . AuditIfNotExists umožňuje auditování prostředků, které odpovídají podmínce if . Pokud prostředek není nasazený, zobrazí se NotExists .
Pokud jsou na počítačích nainstalované aktualizace systému, zobrazí se audit . Pokud je nasazený, ale zakázaný, zobrazí se Zakázáno.
Pokud změníte jakékoli nastavení, vyberte kartu Zkontrolovat a uložit a pak vyberte Uložit.
Povolit konfigurací zabezpečení – úroveň 1
Microsoft Defender for Cloud monitoruje konfigurace zabezpečení použitím sady více než 150 doporučených pravidel pro posílení zabezpečení operačního systému. Tato pravidla se týkají bran firewall, auditování, zásad hesel a dalších. Pokud se zjistí, že počítač má ohroženou konfiguraci, Defender for Cloud vygeneruje doporučení zabezpečení.
Přihlaste se k portálu Azure. Vyhledejte a vyberte možnost Microsoft Defender for Cloud.
V nabídce vlevo v části Správa vyberte Nastavení prostředí.
Vyberte předplatné.
V nabídce vlevo vyberte Zásady zabezpečení.
V části Výchozí iniciativa vyberte předplatné nebo skupinu pro správu.
Vyberte kartu Parametry.
Ujistěte se, že by se měly napravit chyby zabezpečení v konfiguraci zabezpečení ve škálovacích sadách virtuálních počítačů.
Pokud změníte jakékoli nastavení, vyberte kartu Zkontrolovat a uložit a pak vyberte Uložit.
Poznámka:
Všechny následující kategorie zásad, které mají v názvu (*), jsou na kartě Parametry . V některých případech existuje v každé kategorii několik možností.
Povolení ochrany koncových bodů (*) – úroveň 1
Ochrana koncových bodů se doporučuje pro všechny virtuální počítače.
Povolení šifrování disku (*) – úroveň 1
Microsoft Defender pro cloud doporučuje používat Službu Azure Disk Encryption, pokud máte disky virtuálních počítačů s Windows nebo Linuxem. Šifrování disků umožňuje šifrovat disky virtuálních počítačů s Windows a Linuxem jako službu (IaaS). Pro operační systém i datové svazky na virtuálním počítači se doporučuje šifrování.
Povolení skupin zabezpečení sítě (*) – úroveň 1
Microsoft Defender pro cloud doporučuje povolit skupinu zabezpečení sítě (NSG). Skupiny zabezpečení sítě obsahují seznam pravidel seznamu řízení přístupu (ACL), která povolují nebo zakazují síťový provoz do instancí virtuálních počítačů ve virtuální síti. Skupiny zabezpečení sítě můžou být přidružené buď k podsítím, nebo k jednotlivým instancím virtuálních počítačů v této podsíti. Pokud je skupina zabezpečení sítě přidružená k podsíti, pravidla seznamu ACL platí pro všechny instance virtuálních počítačů v této podsíti. Kromě toho je možné provoz do jednotlivých virtuálních počítačů dále omezit přidružením skupiny zabezpečení sítě přímo k danému virtuálnímu počítači.
Povolení firewallu webových aplikací (*) – úroveň 1
Microsoft Defender for Cloud může doporučit, abyste přidali firewall webových aplikací (WAF) od partnera Microsoftu pro zabezpečení webových aplikací.
Povolení posouzení ohrožení zabezpečení (*) – úroveň 1
Posouzení ohrožení zabezpečení v Microsoft Defenderu pro cloud je součástí doporučení defenderu pro cloudový virtuální počítač. Pokud Defender for Cloud nenajde řešení posouzení ohrožení zabezpečení nainstalované na vašem virtuálním počítači, doporučuje ho nainstalovat. Agent partnera po nasazení začne zasílat data o ohrožení zabezpečení na platformu partnera pro správu. Platforma pro správu partnera zase poskytuje data o ohrožení zabezpečení a monitorování stavu zpět do defenderu pro cloud.
Povolení šifrování úložiště (*) – úroveň 1
Když je povolené šifrování úložiště, šifrují se všechna nová data ve službě Azure Blob Storage a Soubory Azure.
Povolení přístupu k síti JIT (*) – úroveň 1
Síťový přístup za běhu (JIT) se dá použít k uzamčení příchozího provozu do virtuálních počítačů Azure. Přístup k síti JIT snižuje riziko útoků a v případě potřeby poskytuje snadný přístup pro připojení k virtuálním počítačům.
Povolení adaptivního řízení aplikací (*) – úroveň 1
Adaptivní řízení aplikací je inteligentní, automatizované komplexní řešení výpisu aplikací z Programu Microsoft Defender pro cloud. Zvyšuje vaši kontrolu nad tím, které aplikace se můžou spouštět na vašich virtuálních počítačích v Azure i mimo Azure (s Windows i Linuxem), což kromě dalších výhod posiluje ochranu virtuálních počítačů před malwarem. Defender for Cloud používá strojové učení k analýze aplikací spuštěných na vašich virtuálních počítačích. Pomůže vám to použít konkrétní pravidla schvalování pomocí adaptivního inteligentního řízení aplikací. Tato funkce výrazně zjednodušuje proces konfigurace a údržby schválených zásad aplikací.
Povolení auditování SQL a detekce hrozeb (*) – úroveň 1
Microsoft Defender pro cloud doporučuje zapnout auditování a detekci hrozeb pro všechny databáze na vašich serverech, na kterých běží Azure SQL. Auditování a detekce hrozeb vám můžou pomoct udržet dodržování právních předpisů, porozumět databázové aktivitě a získat přehled o nesrovnalostech a anomáliích, které vás můžou upozornit na obchodní obavy nebo podezření na porušení zabezpečení.
Povolení šifrování SQL (*) – úroveň 1
Microsoft Defender pro cloud doporučuje povolit transparentní šifrování dat (TDE) u databází SQL spuštěných v Azure. Transparentní šifrování dat chrání vaše data a pomáhá splňovat požadavky na dodržování předpisů šifrováním databáze, přidružených záloh a neaktivních uložených souborů transakčních protokolů. Povolení transparentního šifrování dat nevyžaduje provádění změn v aplikacích.
Nastavení e-mailu a telefonního čísla kontaktu zabezpečení – úroveň 1
Microsoft Defender pro cloud doporučuje zadat kontaktní údaje zabezpečení pro vaše předplatné Azure. Společnost Microsoft tyto informace používá k tomu, aby vás kontaktovala, pokud centrum Microsoft Security Response Center zjistí, že k vašim zákaznickým datům přistupovala neoprávněná strana. Centrum Microsoft Security Response Center provádí výběr monitorování zabezpečení sítě a infrastruktury Azure a přijímá analýzy hrozeb a stížnosti na zneužití od třetích stran.
Přihlaste se k webu Azure Portal. Vyhledejte a vyberte možnost Správa nákladů a fakturace. V závislosti na vašich předplatných se zobrazí podokno Přehled nebo podokno Rozsahy fakturace.
- Pokud se zobrazí podokno Přehled , pokračujte dalším krokem.
- Pokud se zobrazí podokno Rozsahy fakturace, vyberte své předplatné a přejděte do podokna Přehled .
V podokně Přehled v levé nabídce v části Nastavení vyberte Vlastnosti.
Ověřte zobrazené kontaktní údaje. Pokud potřebujete aktualizovat kontaktní údaje, vyberte prodaných aktualizací odkaz a zadejte nové informace.
Pokud změníte nastavení, vyberte Uložit.
Povolení odesílání e-mailů o výstrahách – úroveň 1
Microsoft Defender pro cloud doporučuje zadat kontaktní údaje zabezpečení pro vaše předplatné Azure.
Přihlaste se k portálu Azure. Vyhledejte a vyberte možnost Microsoft Defender for Cloud.
V nabídce vlevo v části Správa vyberte Nastavení prostředí.
Vyberte předplatné.
V nabídce vlevo v části Nastavení vyberte E-mailová oznámení.
V rozevíracím seznamu Všichni uživatelé s následujícími rolemi vyberte svoji roli nebo v části Další e-mailové adresy (oddělené čárkami) zadejte svoji e-mailovou adresu.
Zaškrtněte políčko Upozornit na výstrahy s následující závažností, vyberte závažnost výstrahy a pak vyberte Uložit.
Povolení odesílání e-mailů i vlastníkům předplatného – úroveň 1
Microsoft Defender pro cloud doporučuje zadat kontaktní údaje zabezpečení pro vaše předplatné Azure.
V podokně E-mailová oznámení popsaná v předchozí části můžete přidat další e-mailové adresy oddělené čárkami.
Pokud změníte jakékoli nastavení, na řádku nabídek vyberte Uložit.