Baseline di sicurezza di Azure per macchine virtuali - Macchine virtuali Windows
Questa baseline di sicurezza applica indicazioni dal benchmark della sicurezza cloud Microsoft versione 1.0 alle macchine virtuali Windows. Il benchmark della sicurezza cloud Microsoft offre raccomandazioni su come proteggere le soluzioni cloud in Azure. Il contenuto è raggruppato in base ai controlli di sicurezza definiti dal benchmark di sicurezza del cloud Microsoft e dalle indicazioni correlate applicabili alle macchine virtuali - Macchine virtuali Windows.
È possibile monitorare questa baseline di sicurezza e i relativi consigli usando Microsoft Defender for Cloud. Le definizioni di Criteri di Azure verranno elencate nella sezione Conformità alle normative della pagina del portale di Microsoft Defender for Cloud.
Quando una funzionalità include definizioni di Criteri di Azure pertinenti, queste vengono elencate in questa baseline per facilitare la misurazione della conformità ai controlli e alle raccomandazioni del benchmark di sicurezza cloud Microsoft. Alcuni consigli potrebbero richiedere un piano di Microsoft Defender a pagamento per abilitare determinati scenari di sicurezza.
Nota
funzionalità non applicabile alle macchine virtuali: le macchine virtuali Windows sono state escluse. Per vedere come Macchine virtuali - Macchine virtuali Windows corrispondano completamente al benchmark della sicurezza del cloud Microsoft, vedere il file completo di mapping delle baseline di sicurezza delle Macchine virtuali - Macchine virtuali Windows .
Profilo di sicurezza
Il profilo di sicurezza riepiloga i comportamenti ad alto impatto delle macchine virtuali - Macchine virtuali Windows, che possono comportare un aumento delle considerazioni sulla sicurezza.
| Attributo di Comportamento del Servizio | Valore |
|---|---|
| Categoria prodotto | Calcolare |
| Il cliente può accedere a HOST/sistema operativo | Accesso completo |
| Il servizio può essere distribuito nella rete virtuale del cliente | Vero |
| Archivia i contenuti dei clienti a riposo | Vero |
Sicurezza di rete
Per altre informazioni, vedere il benchmark della sicurezza del cloud Microsoft : Sicurezza di rete.
NS-1: Stabilire limiti di segmentazione di rete
Caratteristiche
Integrazione della rete virtuale
Descrizione: il servizio supporta la distribuzione nella rete virtuale privata del cliente. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Vero | Microsoft |
guida alla configurazione: non sono necessarie configurazioni aggiuntive perché questa opzione è abilitata in una distribuzione predefinita.
Riferimento: reti virtuali e macchine virtuali in Azure
Supporto dei gruppi di sicurezza di rete
Descrizione: il traffico di rete dei servizi rispetta l'assegnazione delle regole dei gruppi di sicurezza di rete sulle sue subnet. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
guida alla configurazione: usare i gruppi di sicurezza di rete (NSG) per limitare o monitorare il traffico in base a porta, protocollo, indirizzo IP di origine o indirizzo IP di destinazione. Creare regole del gruppo di sicurezza di rete per limitare le porte aperte del servizio, ad esempio impedire l'accesso alle porte di gestione da reti non attendibili. Tenere presente che per impostazione predefinita, i gruppi di sicurezza di rete negano tutto il traffico in ingresso, ma consentono il traffico dalla rete virtuale e dai servizi di bilanciamento del carico di Azure.
Quando si crea una macchina virtuale di Azure, è necessario creare una rete virtuale o usare una rete virtuale esistente e configurare la macchina virtuale con una subnet. Assicurarsi che tutte le subnet distribuite abbiano un gruppo di sicurezza di rete applicato con controlli di accesso di rete specifici per le porte e le origini attendibili delle applicazioni.
Riferimento: gruppi di sicurezza di rete
Monitoraggio di Microsoft Defender for Cloud
definizioni predefinite di Criteri di Azure - Microsoft.ClassicCompute:
| Nome (portale di Azure) |
Descrizione | Effetti | Versione (GitHub) |
|---|---|---|---|
| Tutte le porte di rete devono essere limitate ai gruppi di sicurezza di rete associati alla macchina virtuale | Il Centro sicurezza di Azure ha identificato alcune regole in ingresso dei gruppi di sicurezza di rete troppo permissive. Le regole in ingresso non dovrebbero consentire l'accesso da indirizzi 'Any' o 'Internet'. Ciò può potenzialmente consentire agli attaccanti di prendere di mira le tue risorse. | VerificaSeNonEsiste, Disabilitato | 3.0.0 |
Definizioni integrate di Azure Policy - Microsoft.Compute:
| Nome (portale di Azure) |
Descrizione | Effetto/i | Versione (GitHub) |
|---|---|---|---|
| Le raccomandazioni per il rafforzamento adattativo della rete devono essere applicate alle macchine virtuali esposte a Internet | Il Centro sicurezza di Azure analizza i modelli di traffico delle macchine virtuali con connessione Internet e fornisce raccomandazioni sulle regole del gruppo di sicurezza di rete che riducono la potenziale superficie di attacco | AuditIfNotExists, Disabilitato | 3.0.0 |
NS-2: Proteggere i servizi cloud con controlli di rete
Caratteristiche
Disabilitare l'accesso alla rete pubblica
Descrizione: il servizio supporta la disabilitazione dell'accesso alla rete pubblica tramite l'uso di una regola di filtro ACL IP a livello di servizio (non NSG o Firewall di Azure) o tramite un interruttore "Disabilita accesso alla rete pubblica". Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
linee guida alla configurazione: usare i servizi a livello di sistema operativo, ad esempio Windows Defender Firewall, per fornire filtri di rete per disabilitare l'accesso pubblico.
Gestione delle identità
Per altre informazioni, vedere Benchmark della sicurezza cloud Microsoft: Gestione delle identità.
IM-1: Usare un sistema centralizzato di identità e autenticazione
Caratteristiche
Autenticazione di Azure AD necessaria per l'accesso al piano dati
Descrizione: il servizio supporta l'uso dell'autenticazione di Azure AD per l'accesso al piano dati. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
Guida alla configurazione: usare Azure Active Directory (Azure AD) come metodo di autenticazione predefinito per controllare l'accesso al piano dati.
riferimento: accedere a una macchina virtuale Windows in Azure usando Azure AD, inclusi i senza password
Metodi di autenticazione locale per l'accesso al piano dati
Descrizione: metodi di autenticazione locali supportati per l'accesso al piano dati, ad esempio un nome utente e una password locali. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità di configurazione |
|---|---|---|
| Vero | Vero | Microsoft |
note sulle funzionalità: un account amministratore locale viene creato per impostazione predefinita durante la distribuzione iniziale della macchina virtuale. Evitare l'utilizzo di account o metodi di autenticazione locali, questi devono essere disabilitati laddove possibile. Usare invece Azure AD per eseguire l'autenticazione laddove possibile.
guida alla configurazione: non sono necessarie configurazioni aggiuntive perché questa opzione è abilitata in una distribuzione predefinita.
IM-3: Gestire le identità dell'applicazione in modo sicuro e automatico
Caratteristiche
Identità gestite
Descrizione: le azioni del piano dati supportano l'autenticazione tramite identità gestite. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
note sulla funzionalità: l'identità gestita viene in genere usata dalla macchina virtuale Windows per eseguire l'autenticazione ad altri servizi. Se la macchina virtuale Windows supporta l'autenticazione di Azure AD, l'identità gestita potrebbe essere supportata.
guida alla configurazione: usare le identità gestite di Azure anziché le entità servizio, quando possibile, che possono eseguire l'autenticazione nei servizi e nelle risorse di Azure che supportano l'autenticazione di Azure Active Directory (Azure AD). Le credenziali di identità gestite sono completamente amministrate, ruotate e protette dalla piattaforma, evitando credenziali "hardcoded" nel codice sorgente o nei file di configurazione.
Principali di Servizio
Descrizione: il piano dati supporta l'autenticazione tramite entità servizio. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
Note sulle funzionalità: i principali del servizio possono essere usati dalle applicazioni in esecuzione nella macchina virtuale Windows.
indicazioni sulla configurazione: non sono disponibili linee guida Microsoft correnti per la configurazione di questa funzionalità. Esaminare e determinare se l'organizzazione vuole configurare questa funzionalità di sicurezza.
Monitoraggio di Microsoft Defender for Cloud
Definizioni integrate dei criteri di Azure - Microsoft.Compute:
| Nome (portale di Azure) |
Descrizione | Effetti | Versione (GitHub) |
|---|---|---|---|
| L'estensione Configurazione dell'Ospite delle macchine virtuali deve essere distribuita con un'identità gestita assegnata dal sistema | L'estensione Configurazione Guest richiede un'identità gestita assegnata dal sistema. Le macchine virtuali di Azure nell'ambito di questo criterio non saranno conformi quando l'estensione Configurazione guest è installata ma non dispone di un'identità gestita assegnata dal sistema. Per altre informazioni, vedere https://aka.ms/gcpol | VerificaSeNonEsiste, Disabilitato | 1.0.1 |
IM-7: Limitare l'accesso alle risorse in base alle condizioni
Funzionalità
Accesso condizionale per il piano dati
Descrizione: l'accesso al piano dati può essere controllato usando i criteri di accesso condizionale di Azure AD. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
Note sulla funzionalità: usare Azure AD come piattaforma di autenticazione principale per RDP in Windows Server 2019 Datacenter Edition e versioni successive o Windows 10 1809 e versioni successive. È quindi possibile controllare e applicare centralmente il controllo degli accessi in base al ruolo di Azure e i criteri di accesso condizionale che consentono o negano l'accesso alle macchine virtuali.
guida alla configurazione: definire le condizioni e i criteri applicabili per l'accesso condizionale di Azure Active Directory (Azure AD) nel carico di lavoro. Considerare casi d'uso comuni, ad esempio bloccare o concedere l'accesso da posizioni specifiche, bloccare il comportamento di accesso rischioso o richiedere dispositivi gestiti dall'organizzazione per applicazioni specifiche.
riferimento: accedere a una macchina virtuale Windows in Azure usando Azure AD, inclusi i senza password
IM-8: limitare l'esposizione di credenziali e segreti
Caratteristiche
Le credenziali e i segreti del servizio supportano l'integrazione e l'archiviazione in Azure Key Vault
Descrizione: il piano dati supporta l'uso nativo di Azure Key Vault per le credenziali e l'archivio dei segreti. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
note sulle funzionalità: all'interno del piano dati o del sistema operativo, i servizi possono chiamare Azure Key Vault per credenziali o segreti.
linee guida alla configurazione: assicurarsi che i segreti e le credenziali vengano archiviati in percorsi sicuri, ad esempio Azure Key Vault, anziché incorporarli in file di codice o di configurazione.
Accesso con privilegi
Per altre informazioni, vedere Benchmark della sicurezza cloud Microsoft: Accesso con privilegi.
PA-1: separare e limitare utenti con privilegi elevati/amministratori
Caratteristiche
Account amministratore locale
Descrizione: il servizio include il concetto di account amministrativo locale. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Vero | Microsoft |
note sulle funzionalità: evitare l'utilizzo di account o metodi di autenticazione locali, questi devono essere disabilitati laddove possibile. Usare invece Azure AD per eseguire l'autenticazione laddove possibile.
guida alla configurazione: non sono necessarie configurazioni aggiuntive perché questa opzione è abilitata in una distribuzione predefinita.
riferimento: guida introduttiva : Creare una macchina virtuale Windows nel portale di Azure
PA-7: Seguire il principio di amministrazione sufficiente (privilegio minimo)
Caratteristiche
Controllo degli accessi in base al ruolo di Azure per piano dati
Descrizione: il controllo di accesso di Azure Role-Based può essere usato per gestire l'accesso alle azioni del piano dati del servizio. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
Note sulla funzionalità: usare Azure AD come piattaforma di autenticazione principale per RDP in Windows Server 2019 Datacenter Edition e versioni successive o Windows 10 1809 e versioni successive. È quindi possibile controllare e applicare centralmente il controllo degli accessi in base al ruolo di Azure e i criteri di accesso condizionale che consentono o negano l'accesso alle macchine virtuali.
Guida alla Configurazione: Con RBAC, specificare chi può accedere a una VM come utente normale o con privilegi di amministratore. Quando gli utenti si uniscono al team, è possibile aggiornare i criteri di controllo degli accessi in base al ruolo di Azure per la macchina virtuale per concedere l'accesso in base alle esigenze. Quando i dipendenti lasciano l'organizzazione e i relativi account utente vengono disabilitati o rimossi da Azure AD, non hanno più accesso alle risorse.
Riferimento: Accedere a una macchina virtuale Windows in Azure utilizzando Azure AD, compreso l'accesso senza password
PA-8: Determinare il processo di accesso per il supporto del provider di servizi cloud
Caratteristiche
Cassetta di Sicurezza per Clienti
Descrizione: Customer Lockbox può essere usato per l'accesso al supporto tecnico Microsoft. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità per la configurazione |
|---|---|---|
| Vero | Falso | Cliente |
Guida alla configurazione: negli scenari di supporto in cui Microsoft deve accedere ai dati, usare Customer Lockbox per esaminare, quindi approvare o rifiutare ognuna delle richieste di accesso ai dati di Microsoft.
Protezione dei dati
Per altre informazioni, vedere l'benchmark della sicurezza cloud Microsoft: Protezione dei dati.
DP-1: individuare, classificare ed etichettare i dati sensibili
Caratteristiche
Individuazione e classificazione dei dati sensibili
Descrizione: gli strumenti (ad esempio Azure Purview o Azure Information Protection) possono essere usati per l'individuazione e la classificazione dei dati nel servizio. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Falso | Non applicabile | Non applicabile |
linee guida alla configurazione: questa funzionalità non è supportata per proteggere questo servizio.
DP-2: Monitorare le anomalie e le minacce destinate ai dati sensibili
Caratteristiche
Prevenzione della fuoriuscita e perdita di dati
Descrizione: Il servizio supporta la soluzione DLP per monitorare lo spostamento dei dati sensibili all'interno del contenuto del cliente. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Falso | Non applicabile | Non applicabile |
linee guida alla configurazione: questa funzionalità non è supportata per proteggere questo servizio.
DP-3: Crittografare i dati sensibili in transito
Caratteristiche
Crittografia dei dati in transito
Description: il servizio supporta la crittografia dei dati in transito per il piano dei dati. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
note sulle funzionalità: alcuni protocolli di comunicazione, ad esempio SSH, vengono crittografati per impostazione predefinita. Tuttavia, altri servizi, ad esempio HTTP, devono essere configurati per l'uso di TLS per la crittografia.
guida alla configurazione: abilitare il trasferimento sicuro nei servizi in cui è presente una funzionalità nativa di crittografia dei dati in transito incorporata. Applicare HTTPS in qualsiasi applicazione Web e servizi e assicurarsi che venga usato TLS v1.2 o versione successiva. Le versioni legacy, ad esempio SSL 3.0, TLS v1.0 devono essere disabilitate. Per la gestione remota delle macchine virtuali, usare SSH (per Linux) o RDP/TLS (per Windows) anziché un protocollo non crittografato.
riferimento: crittografia in transito nelle macchine virtuali
Monitoraggio di Microsoft Defender for Cloud
definizioni predefinite di Criteri di Azure - Microsoft.Compute:
| Nome (portale di Azure) |
Descrizione | Effetto/i | Versione (GitHub) |
|---|---|---|---|
| i computer Windows devono essere configurati per l'uso di protocolli di comunicazione sicuri | Per proteggere la privacy delle informazioni comunicate tramite Internet, i computer devono usare la versione più recente del protocollo di crittografia standard del settore, Transport Layer Security (TLS). TLS protegge le comunicazioni tramite una rete crittografando una connessione tra computer. | VerificaSeNonEsiste, Disabilitato | 4.1.1 |
DP-4: Abilitare la crittografia dei dati inattivi per impostazione predefinita
Caratteristiche
Crittografia dei dati a riposo tramite chiavi della piattaforma
Descrizione: la crittografia dei dati a riposo è supportata tramite le chiavi della piattaforma, e tutti i contenuti dei clienti a riposo vengono crittografati con queste chiavi gestite da Microsoft. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Vero | Microsoft |
note sulle funzionalità: per impostazione predefinita, i dischi gestiti usano chiavi di crittografia gestite dalla piattaforma. Tutti i dischi gestiti, gli snapshot, le immagini e i dati scritti su dischi gestiti esistenti vengono crittografati automaticamente a riposo con chiavi gestite dalla piattaforma.
guida alla configurazione: non sono necessarie configurazioni aggiuntive perché questa opzione è abilitata in una distribuzione predefinita.
riferimento: crittografia lato server di Archiviazione su disco di Azure - Chiavi gestite dalla piattaforma
Monitoraggio di Microsoft Defender for Cloud
definizioni predefinite di Criteri di Azure - Microsoft.ClassicCompute:
| Nome (portale di Azure) |
Descrizione | Effetti | Versione (GitHub) |
|---|---|---|---|
| le macchine virtuali devono crittografare dischi temporanei, cache e flussi di dati tra risorse di calcolo e archiviazione | Per impostazione predefinita, il sistema operativo e i dischi dati di una macchina virtuale vengono crittografati inattivi tramite chiavi gestite dalla piattaforma. I dischi temporanei, le cache dei dati e il flusso di dati tra calcolo e archiviazione non vengono crittografati. Ignorare questa raccomandazione se: 1. tramite crittografia su host o 2. La crittografia lato server in Managed Disks soddisfa i requisiti di sicurezza. Per altre informazioni, vedere Crittografia lato server di Archiviazione dischi di Azure: https://aka.ms/disksse, Offerte di crittografia dischi diverse: https://aka.ms/diskencryptioncomparison | AuditIfNotExists, Disabled | 2.0.3 |
Definizioni integrate di Criteri di Azure - Microsoft.Compute:
| Nome (portale di Azure) |
Descrizione | Effetto(i) | Versione (GitHub) |
|---|---|---|---|
| [anteprima]: le macchine virtuali Linux devono abilitare la Crittografia del disco di Azure o EncryptionAtHost. | Per impostazione predefinita, il sistema operativo e i dischi dati di una macchina virtuale vengono crittografati inattivi usando chiavi gestite dalla piattaforma; I dischi temporanei e le cache dei dati non vengono crittografati e i dati non vengono crittografati durante il flusso tra risorse di calcolo e di archiviazione. Usare Crittografia dischi di Azure o EncryptionAtHost per crittografare tutti questi dati. Visitare https://aka.ms/diskencryptioncomparison per confrontare le offerte di crittografia. Questo criterio richiede due prerequisiti da distribuire nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, visitare https://aka.ms/gcpol. | AuditIfNotExists, Disabled | anteprima di 1.2.0 |
DP-5: usare l'opzione chiave gestita dal cliente nella crittografia dei dati inattivi quando necessario
Caratteristiche
Crittografia dei dati inattivi tramite CMK
Descrizione: La crittografia dei dati a riposo tramite chiavi gestite dal cliente è supportata per il contenuto dei clienti archiviato dal servizio. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
note sulle funzionalità: è possibile scegliere di gestire la crittografia a livello di ogni disco gestito, con le proprie chiavi. Quando si specifica una chiave gestita dal cliente, tale chiave viene usata per proteggere e controllare l'accesso alla chiave che crittografa i dati. Le chiavi gestite dal cliente offrono maggiore flessibilità per gestire i controlli di accesso.
guida alla configurazione: se necessario per la conformità alle normative, definire il caso d'uso e l'ambito del servizio in cui è necessaria la crittografia tramite chiavi gestite dal cliente. Abilitare e implementare la crittografia dei dati inattivi usando la chiave gestita dal cliente per tali servizi.
I dischi virtuali nelle macchine virtuali (VM) vengono crittografati a riposo utilizzando la crittografia lato server o la crittografia dischi di Azure (ADE). Crittografia dischi di Azure sfrutta la funzionalità BitLocker di Windows per crittografare i dischi gestiti con chiavi gestite dal cliente all'interno della macchina virtuale guest. La crittografia Lato server con chiavi gestite dal cliente migliora Azure Disk Encryption consentendo l'uso di qualsiasi tipo di sistema operativo e immagini per le macchine virtuali, crittografando i dati nel servizio di Archiviazione.
di riferimento: crittografia lato server di Azure Disk Storage
DP-6: Usare un processo di gestione delle chiavi sicuro
Caratteristiche
Gestione delle chiavi in Azure Key Vault
Descrizione: il servizio supporta l'integrazione di Azure Key Vault per qualsiasi chiave cliente, segreti o certificati. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità di configurazione |
|---|---|---|
| Vero | Falso | Cliente |
guida alla configurazione: usare Azure Key Vault per creare e controllare il ciclo di vita delle chiavi di crittografia, tra cui generazione, distribuzione e archiviazione delle chiavi. Ruota e revoca le chiavi in Azure Key Vault e nel tuo servizio specifico in base a una pianificazione definita o in caso di ritiro o compromissione della chiave. Quando è necessario usare il Customer-Managed Key (CMK) nel carico di lavoro, nel servizio o a livello di applicazione, assicurati di seguire le procedure consigliate per la gestione delle chiavi: usa una gerarchia di chiavi per generare un separato Data Encryption Key (DEK) con la tua Key Encryption Key (KEK) all'interno del key vault. Assicurarsi che le chiavi siano registrate con Azure Key Vault e a essi si faccia riferimento tramite gli ID delle chiavi dal servizio o dall'applicazione. Se è necessario portare la propria chiave (BYOK) nel servizio, ad esempio importando chiavi protette dagli HSM locali in Azure Key Vault, seguire le linee guida consigliate per eseguire la generazione e il trasferimento iniziale delle chiavi.
DP-7: Usare un processo di gestione dei certificati sicuro
Caratteristiche
Gestione dei certificati in Azure Key Vault
Descrizione: il servizio supporta l'integrazione di Azure Key Vault per i certificati dei clienti. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Falso | Non applicabile | Non applicabile |
linee guida alla configurazione: questa funzionalità non è supportata per proteggere questo servizio.
Gestione degli asset
Per ulteriori informazioni, consulta il Riferimento per la sicurezza del cloud di Microsoft: Gestione delle risorse.
AM-2: Usare solo i servizi approvati
Caratteristiche
Supporto Policy di Azure
Descrizione: le configurazioni del servizio possono essere monitorate e applicate tramite Criteri di Azure. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
linee guida alla configurazione: è possibile usare Criteri di Azure per definire il comportamento desiderato per le macchine virtuali Windows e le macchine virtuali Linux dell'organizzazione. Usando i criteri, un'organizzazione può applicare varie convenzioni e regole in tutta l'organizzazione e definire e implementare configurazioni di sicurezza standard per macchine virtuali di Azure. L'applicazione del comportamento desiderato può contribuire a ridurre i rischi contribuendo al successo dell'organizzazione.
di riferimento: Criteri di Azure - definizioni predefinite per le macchine virtuali di Azure
Monitoraggio di Microsoft Defender for Cloud
definizioni predefinite di Criteri di Azure - Microsoft.ClassicCompute:
| Nome (portale di Azure) |
Descrizione | Effetti | Versione (GitHub) |
|---|---|---|---|
| è necessario eseguire la migrazione delle macchine virtuali alle nuove risorse di Azure Resource Manager | Usare il nuovo Azure Resource Manager per le macchine virtuali per offrire miglioramenti alla sicurezza, ad esempio: controllo degli accessi più robusto (RBAC), distribuzione e governance basate su Azure Resource Manager, accesso alle identità gestite, accesso al Key Vault per la gestione dei segreti, autenticazione basata su Azure AD e supporto per tag e gruppi di risorse per semplificare la gestione della sicurezza. | Verifica, Nega, Disabilitato | 1.0.0 |
Definizioni integrate di Azure Policy - Microsoft.Compute:
| Nome (portale di Azure) |
Descrizione | Effetti | Versione (GitHub) |
|---|---|---|---|
| è necessario eseguire la migrazione delle macchine virtuali alle nuove risorse di Azure Resource Manager | Usare Azure Resource Manager per le macchine virtuali per offrire miglioramenti alla sicurezza, ad esempio: controllo degli accessi basato sui ruoli (RBAC), miglior auditing, distribuzione e governance basate su Azure Resource Manager, accesso alle identità gestite, accesso a Key Vault per la gestione dei segreti, autenticazione basata su Azure AD e supporto per i tag e i gruppi di risorse per semplificare la gestione della sicurezza. | Verifica, Nega, Disabilitato | 1.0.0 |
AM-5: usare solo le applicazioni approvate nella macchina virtuale
Caratteristiche
Microsoft Defender for Cloud - Controlli applicazioni adattivi
Descrizione: il servizio può limitare le applicazioni dei clienti eseguite nella macchina virtuale usando i controlli applicazioni adattivi in Microsoft Defender for Cloud. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
Guida alla configurazione: usare i controlli delle applicazioni adattivi di Microsoft Defender for Cloud per individuare le applicazioni in esecuzione in macchine virtuali e generare un elenco di autorizzazioni per l'applicazione per imporre l'esecuzione delle applicazioni approvate nell'ambiente vm.
Riferimento: Usare controlli applicazioni adattivi per ridurre le superfici di attacco delle macchine
Monitoraggio di Microsoft Defender for Cloud
Definizioni integrate dei criteri di Azure - Microsoft.ClassicCompute:
| Nome (portale di Azure) |
Descrizione | Effetti | Versione (GitHub) |
|---|---|---|---|
| controlli applicazioni adattivi per la definizione di applicazioni sicure devono essere abilitati nei computer | Abilitare i controlli dell'applicazione per definire l'elenco di applicazioni sicure note in esecuzione nei computer e avvisare l'utente quando vengono eseguite altre applicazioni. Ciò consente di rafforzare i computer contro il malware. Per semplificare il processo di configurazione e gestione delle regole, il Centro sicurezza usa l'apprendimento automatico per analizzare le applicazioni in esecuzione in ogni computer e suggerire l'elenco di applicazioni sicure note. | VerificaSeNonEsiste, Disabilitato | 3.0.0 |
Definizioni integrate dei Criteri di Azure - Microsoft.Compute:
| Nome (portale di Azure) |
Descrizione | Effetti | Versione (GitHub) |
|---|---|---|---|
| controlli applicazioni adattivi per la definizione di applicazioni sicure devono essere abilitati nei computer | Abilitare i controlli dell'applicazione per definire l'elenco di applicazioni sicure note in esecuzione nei computer e avvisare l'utente quando vengono eseguite altre applicazioni. Ciò consente di rafforzare i computer contro il malware. Per semplificare il processo di configurazione e gestione delle regole, il Centro sicurezza usa l'apprendimento automatico per analizzare le applicazioni in esecuzione in ogni computer e suggerire l'elenco di applicazioni sicure note. | VerificaSeNonEsiste, Disabilitato | 3.0.0 |
Registrazione e rilevamento delle minacce
Per altre informazioni, vedere benchmark della sicurezza cloud Microsoft: Registrazione e rilevamento delle minacce.
LT-1: Abilitare le funzionalità di rilevamento delle minacce
Caratteristiche
Microsoft Defender for Service/Offerta di prodotti
Descrizione: il servizio include una soluzione Microsoft Defender specifica per l'offerta per monitorare e inviare avvisi in caso di problemi di sicurezza. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
guida alla configurazione: Defender per server estende la protezione ai computer Windows e Linux in esecuzione in Azure. Defender per server si integra con Microsoft Defender per endpoint per fornire il rilevamento e la risposta degli endpoint (EDR) e offre anche una serie di funzionalità di protezione dalle minacce aggiuntive, ad esempio baseline di sicurezza e valutazioni a livello di sistema operativo, analisi della valutazione delle vulnerabilità, controlli applicazioni adattivi (AAC), monitoraggio dell'integrità dei file (FIM) e altro ancora.
di riferimento: Pianificare la distribuzione di Defender per server
Monitoraggio di Microsoft Defender for Cloud
definizioni predefinite di Criteri di Azure - Microsoft.Compute:
| Nome (portale di Azure) |
Descrizione | Effetto(i) | Versione (GitHub) |
|---|---|---|---|
| Windows Defender Exploit Guard deve essere abilitato nei computer | Windows Defender Exploit Guard usa l'agente di Configurazione Ospite di Azure Policy. Exploit Guard include quattro componenti progettati per bloccare i dispositivi contro un'ampia gamma di vettori di attacco e comportamenti di blocco comunemente usati negli attacchi malware, consentendo alle aziende di bilanciare i requisiti di sicurezza e produttività (solo Windows). | VerificaSeNonEsiste, Disattivato | 2.0.0 |
LT-4: Abilitare la registrazione per l'analisi della sicurezza
Funzionalità
Log delle risorse di Azure
Descrizione: il servizio genera log delle risorse che possono fornire metriche e registrazione avanzate specifiche del servizio. Il cliente può configurare questi log delle risorse e inviarli alla propria destinazione dei dati, come un account di archiviazione o un'area di lavoro Log Analytics. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
Guida alla configurazione: Azure Monitor avvia automaticamente la raccolta dei dati delle metriche per l'host del server virtuale quando si crea la macchina virtuale. Per raccogliere log e dati sulle prestazioni dal sistema operativo guest della macchina virtuale, tuttavia, è necessario installare l'agente di Monitoraggio di Azure. È possibile installare l'agente e configurare la raccolta usando informazioni dettagliate sulle macchine virtuali o la creazione di una regola di raccolta dati.
di riferimento: panoramica dell'agente di Log Analytics
Monitoraggio di Microsoft Defender for Cloud
definizioni integrate di Azure Policy - Microsoft.Compute:
| Nome (portale di Azure) |
Descrizione | Effetto/i | Versione (GitHub) |
|---|---|---|---|
| [Anteprima]: l'agente di raccolta dati del traffico di rete deve essere installato nelle macchine virtuali Linux | Il Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati del traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità avanzate di protezione della rete, ad esempio la visualizzazione del traffico sulla mappa di rete, raccomandazioni per la protezione avanzata della rete e minacce di rete specifiche. | VerificaSeNonEsiste, Disabilitato | 1.0.2-anteprima |
Comportamento e gestione delle vulnerabilità
Per altre informazioni, vedere il benchmark della sicurezza cloud Microsoft : Comportamento e gestione delle vulnerabilità.
PV-3: Definire e stabilire configurazioni sicure per le risorse di calcolo
Caratteristiche
State Configuration di Automazione di Azure
Descrizione: è possibile usare la State Configuration di Automazione di Azure per mantenere la configurazione di sicurezza del sistema operativo. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
Guida alla Configurazione: usare Azure Automation State Configuration per mantenere la configurazione di sicurezza del sistema operativo.
Riferimento: Configurare una macchina virtuale con la Configurazione dello Stato Desiderato
Agente di configurazione guest dei Criteri di Azure
Descrizione: l'agente di configurazione guest di Criteri di Azure può essere installato o distribuito come estensione per le risorse di calcolo. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
Note sulla funzionalità: la Configurazione guest dei criteri di Azure è ora denominata Configurazione macchine di Azure Automanage.
Guida alla configurazione: Usare Microsoft Defender per il cloud e l'agente di configurazione guest di Azure Policy per valutare e correggere regolarmente le deviazioni di configurazione nelle risorse di calcolo di Azure, incluse macchine virtuali, contenitori e altri.
riferimento: Comprendere la funzionalità di configurazione della macchina di Azure Automanage
Immagini di macchine virtuali personalizzate
Descrizione: il servizio supporta l'uso di immagini di macchine virtuali fornite dall'utente o immagini predefinite dal marketplace con determinate configurazioni di base pre-applicate. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
linee guida alla configurazione: usare un'immagine con protezione avanzata preconfigurata da un fornitore attendibile, ad esempio Microsoft o creare una linea di base di configurazione sicura desiderata nel modello di immagine della macchina virtuale
Riferimento: Guida : Creare Immagini di Macchine Virtuali Windows con Azure PowerShell
PV-4: Controllare e applicare configurazioni sicure per le risorse di calcolo
Funzionalità
Macchina virtuale con avvio sicuro
Descrizione: l'avvio attendibile protegge da tecniche di attacco avanzate e persistenti combinando tecnologie dell'infrastruttura come l'avvio protetto, vTPM e il monitoraggio dell'integrità. Ogni tecnologia offre un altro livello di difesa contro minacce sofisticate. L'avvio attendibile consente la distribuzione sicura di macchine virtuali con caricatori di avvio verificati, kernel del sistema operativo e driver e protegge in modo sicuro chiavi, certificati e segreti nelle macchine virtuali. L'avvio attendibile fornisce anche informazioni dettagliate e attendibili dell'integrità dell'intera catena di avvio e garantisce che i carichi di lavoro siano attendibili e verificabili. L'avvio attendibile è integrato con Microsoft Defender for Cloud per garantire che le macchine virtuali siano configurate correttamente, attestando da remoto che la macchina virtuale si avvia in modo sicuro. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
Nota funzionalità: l'avvio attendibile è disponibile per le macchine virtuali di seconda generazione. L'avvio attendibile richiede la creazione di nuove macchine virtuali. Non è possibile abilitare l'avvio attendibile nelle macchine virtuali esistenti create inizialmente senza di esso.
Guida alla Configurazione: Il "Trusted launch" può essere abilitato durante la distribuzione della macchina virtuale. Abilita tutti e tre: Secure Boot, vTPM e il monitoraggio dell'integrità dell'avvio per garantire la massima sicurezza della macchina virtuale. Si prega di notare che ci sono alcuni prerequisiti, tra cui l'onboarding della sottoscrizione a Microsoft Defender for Cloud, l'assegnazione di specifiche iniziative dei criteri di Azure e la configurazione dei criteri del firewall.
riferimento: Distribuire una macchina virtuale con avvio attendibile abilitato
PV-5: Eseguire valutazioni delle vulnerabilità
Caratteristiche
Valutazione della vulnerabilità con Microsoft Defender
Descrizione: il servizio può essere analizzato per l'analisi delle vulnerabilità usando Microsoft Defender for Cloud o altre funzionalità di valutazione delle vulnerabilità incorporate di Microsoft Defender Services (tra cui Microsoft Defender per server, registro contenitori, Servizio app, SQL e DNS). Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
indicazioni sulla configurazione: seguire le raccomandazioni di Microsoft Defender for Cloud per eseguire valutazioni delle vulnerabilità nelle macchine virtuali di Azure.
Riferimento: Pianifica la distribuzione di Defender per server
Monitoraggio di Microsoft Defender for Cloud
definizioni di criteri predefinite di Azure - Microsoft.ClassicCompute:
| Nome (portale di Azure) |
Descrizione | Effetti | Versione (GitHub) |
|---|---|---|---|
| È necessario abilitare una soluzione di valutazione della vulnerabilità nelle macchine virtuali | Controlla le macchine virtuali per rilevare se eseguono una soluzione di valutazione della vulnerabilità supportata. Un componente fondamentale di ogni programma di sicurezza e rischio informatico è l'identificazione e l'analisi delle vulnerabilità. Il piano tariffario standard del Centro sicurezza di Azure include l'analisi delle vulnerabilità per le macchine virtuali senza costi aggiuntivi. Inoltre, il Centro sicurezza può distribuire automaticamente questo strumento. | VerificaSeNonEsiste, Disabilitato | 3.0.0 |
definizioni integrate dei criteri di Azure - Microsoft.Compute:
| Nome (portale di Azure) |
Descrizione | Effetto/i | Versione (GitHub) |
|---|---|---|---|
| È necessario abilitare una soluzione di valutazione della vulnerabilità nelle macchine virtuali | Controlla le macchine virtuali per rilevare se eseguono una soluzione di valutazione della vulnerabilità supportata. Un componente fondamentale di ogni programma di sicurezza e rischio informatico è l'identificazione e l'analisi delle vulnerabilità. Il piano tariffario standard del Centro sicurezza di Azure include l'analisi delle vulnerabilità per le macchine virtuali senza costi aggiuntivi. Inoltre, il Centro sicurezza può distribuire automaticamente questo strumento. | VerificaSeNonEsiste, Disabilitato | 3.0.0 |
PV-6: correggere rapidamente e automaticamente le vulnerabilità
Caratteristiche
Gestione aggiornamenti di Azure
Descrizione: il servizio può usare Gestione aggiornamenti di Azure per distribuire automaticamente patch e aggiornamenti. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Vero | Cliente |
Linee guida alla configurazione: Uso di Gestione aggiornamenti di Azure per garantire che gli aggiornamenti di sicurezza più recenti siano installati sulle macchine virtuali Windows. Per le macchine virtuali Windows, verificare che Windows Update sia stato abilitato e impostato per l'aggiornamento automatico.
Riferimento: Gestire gli aggiornamenti e le patch per le macchine virtuali
Servizio di patching per ospiti di Azure
Descrizione: il servizio può usare l'applicazione di patch guest di Azure per distribuire automaticamente patch e aggiornamenti. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
guida alla configurazione: i servizi possono sfruttare i diversi meccanismi di aggiornamento, ad esempio aggiornamenti automatici dell'immagine del sistema operativo e l'applicazione automatica di patch guest. Le funzionalità sono consigliate per applicare gli aggiornamenti di sicurezza e critici più recenti al sistema operativo guest della macchina virtuale seguendo i principi di distribuzione sicura.
Auto Guest Patching consente la valutazione e l'aggiornamento automatico delle macchine virtuali di Azure per mantenere la conformità di sicurezza con gli aggiornamenti critici e di sicurezza rilasciati ogni mese. Gli aggiornamenti vengono applicati durante le ore di minore attività, incluse le macchine virtuali all'interno di un set di disponibilità. Questa funzionalità è disponibile per l'orchestrazione flessibile di VMSS, con il supporto futuro nella tabella di marcia per l'orchestrazione uniforme.
Se si esegue un carico di lavoro senza stato, gli aggiornamenti automatici delle immagini del sistema operativo sono ideali per applicare l'aggiornamento più recente al set di scalabilità uniforme di macchine virtuali. Con la funzionalità di rollback, questi aggiornamenti sono compatibili con marketplace o immagini personalizzate. Il supporto per aggiornamenti continui è presente nella roadmap per l'orchestrazione flessibile.
di riferimento: patching automatico degli ospiti VM per le VM di Azure
Monitoraggio di Microsoft Defender for Cloud
definizioni predefinite di Criteri di Azure - Microsoft.ClassicCompute:
| Nome (portale di Azure) |
Descrizione | Effetti | Versione (GitHub) |
|---|---|---|---|
| Gli aggiornamenti di sistema devono essere installati nei computer | Gli aggiornamenti del sistema di sicurezza mancanti nei server verranno monitorati dal Centro sicurezza di Azure come raccomandazioni | Audit(valore se non esiste), Disabilitato | 4.0.0 |
Definizioni integrate dei Criteri di Azure - Microsoft.Compute:
| Nome (portale di Azure) |
Descrizione | Effetti | Versione (GitHub) |
|---|---|---|---|
| [Anteprima]: gli aggiornamenti di sistema devono essere installati nei computer (con tecnologia Update Center) | Le tue macchine sono manchevoli di aggiornamenti di sistema, sicurezza e critici. Gli aggiornamenti software includono spesso patch critiche per i fori di sicurezza. Tali fori sono spesso sfruttati in attacchi malware, quindi è fondamentale mantenere aggiornato il software. Per installare tutte le patch in sospeso e proteggere i computer, seguire i passaggi di rimedio. | VerificaSeNonEsiste, Disabilitato | 1.0.0 di anteprima |
Sicurezza degli endpoint
Per altre informazioni, vedere l'benchmark della sicurezza cloud Microsoft: Sicurezza degli endpoint.
ES-1: Utilizzare la rilevazione e risposta degli endpoint (EDR)
Caratteristiche
Soluzione EDR
Descrizione: La funzionalità di rilevamento e risposta degli endpoint (EDR), come Azure Defender per i server, può essere implementata nell'endpoint. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
Guida alla configurazione: Azure Defender per server (con Microsoft Defender per endpoint integrato) offre funzionalità EDR per prevenire, rilevare, analizzare e rispondere alle minacce avanzate. Usare Microsoft Defender per il cloud per distribuire Azure Defender per server su endpoint e integrare gli avvisi nella tua soluzione SIEM, ad esempio Azure Sentinel.
Riferimento: Pianifica la distribuzione di Defender per server
ES-2: Usare software antimalware moderno
Caratteristiche
Soluzione antimalware
Descrizione: Le funzionalità antimalware, come Microsoft Defender Antivirus e Microsoft Defender per Endpoint, possono essere distribuite sugli endpoint. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
guida alla configurazione: per Windows Server 2016 e versioni successive, Microsoft Defender per antivirus è installato per impostazione predefinita. Per Windows Server 2012 R2 e versioni successive, i clienti possono installare SCEP (System Center Endpoint Protection). In alternativa, i clienti hanno anche la scelta di installare prodotti antimalware di terze parti.
di riferimento: Defender per l'onboarding di Windows Server
Monitoraggio di Microsoft Defender for Cloud
Microsoft.ClassicCompute - definizioni predefinite di Policy di Azure:
| Nome (portale di Azure) |
Descrizione | Effetto/i | Versione (GitHub) |
|---|---|---|---|
| I problemi di stato di Endpoint Protection dovrebbero essere risolti sui vostri computer | Risolvere i problemi di integrità di Endpoint Protection nelle macchine virtuali per proteggerli dalle minacce e dalle vulnerabilità più recenti. Le soluzioni di endpoint protection supportate dal Centro sicurezza di Azure sono documentate qui - https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. La valutazione di Endpoint Protection è documentata qui : https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. | VerificaSeNonEsiste, Disabilitato | 1.0.0 |
Definizioni integrate dei criteri di Azure - Microsoft.Compute:
| Nome (portale di Azure) |
Descrizione | Effetto/i | Versione (GitHub) |
|---|---|---|---|
| I problemi di stato di Endpoint Protection dovrebbero essere risolti sui vostri computer | Risolvere i problemi di integrità di Endpoint Protection nelle macchine virtuali per proteggerli dalle minacce e dalle vulnerabilità più recenti. Le soluzioni di endpoint protection supportate dal Centro sicurezza di Azure sono documentate qui - https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. La valutazione di Endpoint Protection è documentata qui : https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. | VerificaSeNonEsiste, Disabilitato | 1.0.0 |
ES-3: Assicurarsi che il software antimalware e le firme siano aggiornate
Caratteristiche
Monitoraggio della salute della soluzione antimalware
Descrizione: La soluzione antimalware fornisce il monitoraggio dello stato di integrità della piattaforma, del motore e degli aggiornamenti automatici delle firme. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità della configurazione |
|---|---|---|
| Vero | Falso | Cliente |
Note sulle funzionalità: gli aggiornamenti di intelligence per la sicurezza e dei prodotti si applicano a Defender per Endpoint, che può essere installato sulle macchine virtuali Windows.
Linee guida alla configurazione: Configurare la soluzione antimalware per garantire che la piattaforma, il motore e le firme vengano aggiornati rapidamente e in modo consistente e che il relativo stato possa essere monitorato.
Monitoraggio di Microsoft Defender for Cloud
definizioni predefinite di Criteri di Azure - Microsoft.ClassicCompute:
| Nome (portale di Azure) |
Descrizione | Effetti | Versione (GitHub) |
|---|---|---|---|
| I problemi di salute di Endpoint Protection dovrebbero essere risolti nei tuoi computer | Risolvere i problemi di integrità di Endpoint Protection nelle macchine virtuali per proteggerli dalle minacce e dalle vulnerabilità più recenti. Le soluzioni di endpoint protection supportate dal Centro sicurezza di Azure sono documentate qui - https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. La valutazione di Endpoint Protection è documentata qui : https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. | AuditIfNotExists, Disabilitato | 1.0.0 |
definizioni predefinite di Criteri di Azure - Microsoft.Compute:
| Nome (portale di Azure) |
Descrizione | Effetti | Versione (GitHub) |
|---|---|---|---|
| I problemi di stato di Endpoint Protection dovrebbero essere risolti sui vostri computer | Risolvere i problemi di integrità di Endpoint Protection nelle macchine virtuali per proteggerli dalle minacce e dalle vulnerabilità più recenti. Le soluzioni di endpoint protection supportate dal Centro sicurezza di Azure sono documentate qui - https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. La valutazione di Endpoint Protection è documentata qui : https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. | AuditIfNotExists, Disabled | 1.0.0 |
Backup e ripristino
Per altre informazioni, vedere il benchmark della sicurezza cloud Microsoft : Backup e ripristino.
BR-1: Garantire backup automatici regolari
Caratteristiche
Azure Backup
Descrizione: il servizio può essere sottoposto a backup dal servizio Backup di Azure. Altre informazioni.
| Sostenuto | Abilitato per impostazione predefinita | Responsabilità di configurazione |
|---|---|---|
| Vero | Falso | Cliente |
Guida alla configurazione: abilitare Backup di Azure e configurare l'origine di backup (ad esempio macchine virtuali di Azure, SQL Server, database HANA o condivisioni file) in base alla frequenza desiderata e con un periodo di conservazione desiderato. Per le macchine virtuali di Azure, è possibile usare Criteri di Azure per abilitare i backup automatici.
riferimento: opzioni di backup e ripristino per le macchine virtuali in Azure
Monitoraggio di Microsoft Defender for Cloud
definizioni predefinite di Criteri di Azure - Microsoft.Compute:
| Nome (portale di Azure) |
Descrizione | Effetti | Versione (GitHub) |
|---|---|---|---|
| Backup di Azure deve essere abilitato per le macchine virtuali | Assicurarsi di proteggere le macchine virtuali di Azure abilitando Backup di Azure. Backup di Azure è una soluzione di protezione dei dati sicura e conveniente per Azure. | AuditIfNotExists, Disabilitato | 3.0.0 |