Partager via

Base de référence de la sécurité Azure pour Azure Resource Manager

  • Article

Cette base de référence de sécurité applique les conseils du benchmark de sécurité cloud Microsoft version 1.0 à Azure Resource Manager. Le Benchmark de sécurité Microsoft Cloud fournit des recommandations sur la façon dont vous pouvez sécuriser vos solutions cloud sur Azure. Le contenu est regroupé par les contrôles de sécurité définis par le benchmark de sécurité cloud Microsoft et les conseils associés applicables à Azure Resource Manager.

Vous pouvez superviser cette base de référence de la sécurité et ses recommandations en utilisant Microsoft Defender pour le cloud. Azure Policy définitions seront répertoriées dans la section Conformité réglementaire de la page du portail Microsoft Defender pour le cloud.

Lorsqu’une fonctionnalité a des définitions de Azure Policy pertinentes, elles sont répertoriées dans cette base de référence pour vous aider à mesurer la conformité aux recommandations et contrôles de référence de sécurité cloud Microsoft. Certaines recommandations peuvent nécessiter un plan de Microsoft Defender payant pour activer certains scénarios de sécurité.

Notes

Les fonctionnalités non applicables à Azure Resource Manager ont été exclues. Pour voir comment Azure Resource Manager est entièrement mappé au benchmark de sécurité cloud Microsoft, consultez le fichier complet de mappage de la base de référence de sécurité Azure Resource Manager.

Profil de sécurité

Le profil de sécurité résume les comportements à impact élevé d’Azure Resource Manager, ce qui peut entraîner des considérations de sécurité accrues.

Attribut de comportement du service Valeur
Catégorie de produit MGMT/Gouvernance
Le client peut accéder à HOST/OS Aucun accès
Le service peut être déployé dans le réseau virtuel du client False
Stocke le contenu client au repos False

Sécurité du réseau

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Sécurité réseau.

NS-2 : Sécuriser les services cloud avec des contrôles réseau

Fonctionnalités

Description : Fonctionnalité de filtrage IP native de service pour filtrer le trafic réseau (à ne pas confondre avec NSG ou Pare-feu Azure). Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
True Faux Client

Conseils de configuration : Déployez des points de terminaison privés pour établir un point d’accès privé pour la gestion des ressources sous le groupe d’administration racine (locataire).

Remarque : Gestion des ressources Private Link ressources peuvent être connectées à un point de terminaison privé pour permettre un accès privé sécurisé pour la gestion des ressources Azure.

Référence : Créer une liaison privée pour la gestion des ressources Azure

Désactiver l’accès public au réseau

Description : Le service prend en charge la désactivation de l’accès au réseau public à l’aide d’une règle de filtrage ACL IP de niveau de service (pas de groupe de sécurité réseau ou de Pare-feu Azure) ou à l’aide d’un commutateur bascule « Désactiver l’accès réseau public ». Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
False Non applicable Non applicable

Remarques de fonctionnalité : Azure Resource Manager prend en charge la connectivité privée via des points de terminaison privés Azure et la ressource Resource Management Private Links. Toutefois, la possibilité de désactiver l’accès au réseau public n’est pas encore disponible.

Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.

Accès privilégié

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Accès privilégié.

PA-8 : Déterminer le processus d’accès pour la prise en charge du fournisseur de services cloud

Fonctionnalités

Customer Lockbox

Description : Customer Lockbox peut être utilisé pour l’accès au support Microsoft. Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
False Non applicable Non applicable

Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.

Protection des données

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Protection des données.

DP-3 : chiffrer les données sensibles en transit

Fonctionnalités

Chiffrement des données en transit

Description : Le service prend en charge le chiffrement des données en transit pour le plan de données. Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
True True Microsoft

Conseils de configuration : Aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.

Référence : Migration vers TLS 1.2 pour Azure Resource Manager

DP-4 : activer le chiffrement des données au repos par défaut

Fonctionnalités

Chiffrement des données au repos à l’aide de clés de plateforme

Description : Le chiffrement des données au repos à l’aide de clés de plateforme est pris en charge. Tout contenu client au repos est chiffré avec ces clés gérées par Microsoft. Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
True True Microsoft

Conseils de configuration : Aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.

Gestion des ressources

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Gestion des ressources.

AM-2 : Utiliser uniquement des services approuvés

Fonctionnalités

Prise en charge d’Azure Policy

Description : Les configurations de service peuvent être surveillées et appliquées via Azure Policy. Plus d’informations

Pris en charge Activé par défaut Responsabilité de la configuration
True False Client

Conseils de configuration : Il n’existe aucune aide Microsoft actuelle pour cette configuration de fonctionnalité. Vérifiez et déterminez si votre organization souhaite configurer cette fonctionnalité de sécurité.

Référence : Azure Policy définitions intégrées pour Azure Resource Manager

Journalisation et détection des menaces

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Journalisation et détection des menaces.

LT-1 : activer les fonctionnalités de détection des menaces

Fonctionnalités

Microsoft Defender pour les offres de services/produits

Description : le service dispose d’une solution de Microsoft Defender spécifique à l’offre pour surveiller et alerter sur les problèmes de sécurité. Plus d’informations

Pris en charge Activé par défaut Responsabilité de la configuration
True False Client

Conseils de configuration : Microsoft Defender pour Resource Manager surveille les opérations de gestion des ressources dans votre organization, qu’elles soient effectuées via le Portail Azure, les API REST Azure, Azure CLI ou d’autres clients programmatiques Azure. Defender pour le cloud exécute une analyse de sécurité avancée pour détecter les menaces et vous avertit en cas d’activité suspecte.

Référence : Vue d’ensemble des Microsoft Defender pour Resource Manager

Surveillance de Microsoft Defender pour le cloud

Définitions intégrées Azure Policy – Microsoft.Resources :

Nom
(Portail Azure)		 Description Effet(s) Version
(GitHub)
Azure Defender pour App Service doit être activé Azure Defender pour App Service tire parti de l’envergure du cloud et de la visibilité dont Azure bénéficie en tant que fournisseur de cloud pour superviser les attaques d’applications web courantes. AuditIfNotExists, Désactivé 1.0.3

LT-4 : Activer la journalisation pour l’examen de sécurité

Fonctionnalités

Journaux des ressources Azure

Description : le service produit des journaux de ressources qui peuvent fournir des métriques et une journalisation améliorées spécifiques au service. Le client peut configurer ces journaux de ressources et les envoyer à son propre récepteur de données, comme un compte de stockage ou un espace de travail Log Analytics. Plus d’informations

Pris en charge Activé par défaut Responsabilité de la configuration
True False Client

Conseils de configuration : Activez les journaux de ressources pour Azure Resource Manager. Lorsque vous créez et gérez des ressources dans Azure, vos demandes sont orchestrées par l’intermédiaire d’un plan de contrôle Azure, Azure Resource Manager. Avec la journalisation des ressources, vous pouvez surveiller le volume et la latence des demandes de plan de contrôle adressées à Azure. Avec ces métriques, vous pouvez observer le trafic et la latence des demandes de plan de contrôle dans tous vos abonnements. Par exemple, vous pouvez maintenant savoir si vos demandes ont été limitées ou ont échoué en filtrant des codes d’état spécifiques.

Référence : métriques Azure Resource Manager dans Azure Monitor

Sauvegarde et récupération

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Sauvegarde et récupération.

BR-1 : Garantir des sauvegardes automatiques régulières

Fonctionnalités

Fonctionnalité de sauvegarde native du service

Description : le service prend en charge sa propre fonctionnalité de sauvegarde native (s’il n’utilise pas Sauvegarde Azure). Plus d’informations

Pris en charge Activé par défaut Responsabilité de la configuration
False Non applicable Non applicable

Remarques de fonctionnalité : L’exportation de modèle Azure Resource Manager ne peut pas être utilisée pour capturer des données au repos. Pour les configurations de ressources, nous vous recommandons de créer une infrastructure à partir de modèles sources et, si nécessaire, de redéployer à partir de cette source d’approbation. L’exportation de modèle peut aider à démarrer ce processus, mais elle n’est pas suffisamment robuste pour prendre en compte la récupération d’urgence.

Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.

Étapes suivantes