Compartilhar via

Definições internas do Azure Policy para o Microsoft Defender para Nuvem

  • Artigo

Esta página é um índice de definições de políticas internas do Azure Policy relacionadas ao Microsoft Defender para Nuvem. Os seguintes agrupamentos de definições de política estão disponíveis:

Para obter mais informações sobre políticas de segurança, confira Trabalhando com políticas de segurança. A fim de obter as demais políticas internas do Azure Policy para outros serviços, confira Definições internas do Azure Policy.

O nome de cada definição de política interna leva à definição da política no portal do Azure. Use o link na coluna Versão para exibir a origem no repositório GitHub do Azure Policy.

Iniciativas do Microsoft Defender para Nuvem

Para saber mais sobre as iniciativas internas monitoradas pelo Defender para Nuvem, confira a seguinte tabela:

Nome Descrição Políticas Versão
[Versão prévia]: Implantar o agente do Microsoft Defender para Ponto de Extremidade Implante o agente do Microsoft Defender para Ponto de Extremidade em imagens aplicáveis. 4 1.0.0 – versão prévia
Configurar a Proteção Avançada contra Ameaças como habilitada nos bancos de dados relacionais de código aberto Habilite a Proteção Avançada contra Ameaças nos seus bancos de dados relacionais open-source de nível Não Básico para detectar atividades anômalas que indiquem tentativas incomuns e possivelmente prejudiciais no sentido de acessar ou explorar bancos de dados. Consulte https://aka.ms/AzDforOpenSourceDBsDocu. 5 1.2.0
Configure o Azure Defender para ser habilitado em Servidores SQL e instâncias gerenciadas de SQL Habilite o Azure Defender em seus servidores SQL e instâncias gerenciadas de SQL para detectar atividades anômalas que indicam tentativas incomuns e potencialmente prejudiciais de acessar ou explorar bancos de dados. 3 3.0.0
Configurar os planos do Microsoft Defender para Nuvem O Microsoft Defender para Nuvem fornece proteções abrangentes e nativas de nuvem do desenvolvimento ao runtime em ambientes de várias nuvens. Use a iniciativa de política para configurar os planos e extensões do Defender para Nuvem a serem habilitados em escopos selecionados. 11 1.0.0
Configurar para que o Microsoft Defender para Banco de Dados seja habilitado Configure o Microsoft Defender para Bancos de Dados para proteger seus bancos de dados SQL do Azure, instâncias gerenciadas, bancos de dados relacionais de software livre e Cosmos DB. 4 1.0.0
Definir várias configurações de integração do Microsoft Defender para Ponto de Extremidade com o Microsoft Defender para Nuvem Defina as várias configurações de integração do Microsoft Defender para Ponto de Extremidade com o Microsoft Defender para Nuvem (WDATP, WDATP_EXCLUDE_LINUX_PUBLIC_PREVIEW, WDATP_UNIFIED_SOLUTION etc.). Confira: https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpointpara obter mais informações. 3 1.0.0
Configurar VMs do SQL e SQL Servers habilitados para o Arc para instalar o Microsoft Defender para SQL e o AMA com um workspace do Log Analytics O Microsoft Defender para SQL coleta eventos dos agentes e os usa para fornecer alertas de segurança e tarefas de proteção personalizadas (recomendações). Cria um grupo de recursos e uma Regra de Coleta de Dados (DCR) e um workspace do Log Analytics na mesma região do computador. 9 1.3.0
Configurar VMs do SQL e SQL Servers habilitados para o Arc para instalar o Microsoft Defender para SQL e o AMA com um workspace do Log Analytics definido pelo usuário O Microsoft Defender para SQL coleta eventos dos agentes e os usa para fornecer alertas de segurança e tarefas de proteção personalizadas (recomendações). Cria um grupo de recursos e uma Regra de Coleta de Dados na mesma região do workspace do Log Analytics definido pelo usuário. 8 1.2.0
Microsoft Cloud Security Benchmark A iniciativa de parâmetro de comparação de segurança em nuvem da Microsoft representa as políticas e os controles que implementam as recomendações de segurança definidas no parâmetro de comparação de segurança em nuvem da Microsoft, confira https://aka.ms/azsecbm. Ela também funciona como a iniciativa de política padrão do Microsoft Defender para Nuvem. Você pode atribuir essa iniciativa diretamente ou gerenciar as políticas e os resultados de conformidade no Microsoft Defender para Nuvem. 228 57.45.0

Iniciativa padrão do Microsoft Defender para Nuvem (Microsoft Cloud Security Benchmark)

Para saber mais sobre as políticas internas monitoradas pelo Defender para Nuvem, confira a seguinte tabela:

Nome de política
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
[Versão prévia]: todo o tráfego da Internet deve ser roteado por meio do Firewall do Azure implantado A Central de Segurança do Azure identificou que algumas de suas sub-redes não estão protegidas com um firewall de última geração. Proteja suas sub-redes de ameaças potenciais restringindo o acesso a elas com o Firewall do Azure ou um firewall de última geração compatível AuditIfNotExists, desabilitado 3.0.0 – versão prévia
[Versão prévia]: os clusters do Kubernetes habilitados para Azure Arc devem ter a extensão do Microsoft Defender para Nuvem instalada A extensão do Microsoft Defender para Nuvem no Azure Arc oferece proteção contra ameaças para os clusters Kubernetes habilitados para Arc. A extensão coleta dados de todos os nós no cluster e os envia para o back-end do Azure Defender para Kubernetes na nuvem para análise posterior. Saiba mais em https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc. AuditIfNotExists, desabilitado 6.0.0-preview
O servidor flexível do MySQL do Azure deve ter a Autenticação Somente Do Microsoft Entra habilitada Desabilitar os métodos de autenticação local e permitir apenas a autenticação do Microsoft Entra melhora a segurança, garantindo que o servidor flexível do PostgreSQL do Azure possa ser acessado exclusivamente pelas identidades do Microsoft Entra. Audit, desabilitado 1.0.0 – versão prévia
[Versão prévia]: os servidores do Azure Stack HCI devem ter políticas de controle de aplicativo implementadas com consistência No mínimo, aplique a política básica do WDAC da Microsoft no modo implementado em todos os servidores do Azure Stack HCI. As políticas aplicadas do Controle de Aplicativos do Windows Defender (WDAC) devem ser consistentes em todos os servidores do mesmo cluster. Audit, Disabled, AuditIfNotExists 1.0.0 – versão prévia
[Versão prévia]: os servidores do Azure Stack HCI devem cumprir os requisitos de núcleo seguro Certifique-se de que todos os servidores do Azure Stack HCI cumpram os requisitos de núcleo seguro. Para habilitar os requisitos de servidor de núcleo protegido: 1. Na página de clusters do Azure Stack HCI, acesse o Windows Admin Center e selecione Conectar. 2. Acesse a extensão Segurança e selecione Núcleo Protegido. 3. Selecione qualquer configuração que não esteja habilitada e clique em Habilitar. Audit, Disabled, AuditIfNotExists 1.0.0 – versão prévia
[Versão prévia]: os sistemas do Azure Stack HCI devem ter volumes criptografados Usar o BitLocker para criptografar o sistema operacional e os volumes de dados nos sistemas do Azure Stack HCI. Audit, Disabled, AuditIfNotExists 1.0.0 – versão prévia
[Versão prévia]: a extensão Atestado de Convidado deve ser instalada nas máquinas virtuais do Linux compatíveis Instale a extensão Atestado de Convidado em máquinas virtuais do Linux compatíveis a fim de permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. Após a instalação, a integridade da inicialização será atestada por meio do atestado remoto. Essa avaliação se aplica às máquinas virtuais do Linux Confidenciais e de Início Confiável. AuditIfNotExists, desabilitado 6.0.0-preview
[Versão prévia]: a extensão Atestado de Convidado deve ser instalada nos conjuntos de dimensionamento de máquinas virtuais do Linux compatíveis Instale a extensão Atestado de Convidado em conjuntos de dimensionamento de máquinas virtuais do Linux compatíveis a fim de permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. Após a instalação, a integridade da inicialização será atestada por meio do atestado remoto. Essa avaliação se aplica aos conjuntos de dimensionamento de máquinas virtuais de início confiável e Linux Confidencial. AuditIfNotExists, desabilitado 5.1.0-preview
[Versão prévia]: a extensão Atestado de Convidado deve ser instalada em máquinas virtuais do Windows compatíveis Instale a extensão Atestado de Convidado em máquinas virtuais compatíveis a fim de permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. Após a instalação, a integridade da inicialização será atestada por meio do atestado remoto. Essa avaliação se aplica às máquinas virtuais do Windows Confidenciais e de Início Confiável. AuditIfNotExists, desabilitado 4.0.0 – versão prévia
[Versão prévia]: a extensão Atestado de Convidado deve ser instalada nos conjuntos de dimensionamento de máquinas virtuais do Windows compatíveis Instale a extensão Atestado de Convidado em conjuntos de dimensionamento de máquinas virtuais compatíveis a fim de permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. Após a instalação, a integridade da inicialização será atestada por meio do atestado remoto. Essa avaliação se aplica aos conjuntos de dimensionamento de máquinas virtuais de início confiável e Windows Confidencial. AuditIfNotExists, desabilitado 3.1.0 – versão prévia
[Versão prévia]: a rede do host e de VMs deve ser protegida nos sistemas do Azure Stack HCI Proteja os dados na rede do host do Azure Stack HCI e nas conexões da rede de máquinas virtuais. Audit, Disabled, AuditIfNotExists 1.0.0 – versão prévia
[Versão prévia]: as máquinas virtuais do Linux devem usar somente componentes de inicialização confiáveis e assinados Todos os componentes de inicialização do sistema operacional (carregador de inicialização, kernel, drivers do kernel) devem ser assinados por fornecedores confiáveis. O Defender para Nuvem identificou componentes de inicialização de sistema operacional não confiáveis em um ou mais de seus computadores Linux. Para proteger seus computadores contra componentes potencialmente mal-intencionados, adicione-os à lista de permissão ou remova os componentes identificados. AuditIfNotExists, desabilitado 1.0.0 – versão prévia
[Pré-visualização]: a extensão do Log Analytics deve ser instalada nos computadores Linux do Azure Arc Esta política audita computadores Linux do Azure Arc se a extensão do Log Analytics não estiver instalada. AuditIfNotExists, desabilitado 1.0.1 – versão prévia
[Pré-visualização]: A extensão do Log Analytics deve ser instalada nos computadores Windows do Azure Arc Esta política auditará os computadores Windows do Azure Arc se a extensão do Log Analytics não estiver instalada. AuditIfNotExists, desabilitado 1.0.1 – versão prévia
[Versão Prévia]: o agente de coleta de dados de tráfego de rede deve ser instalado nas máquinas virtuais Linux A Central de Segurança usa o Microsoft Dependency Agent para coletar dados de tráfego de rede de suas máquinas virtuais do Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas. AuditIfNotExists, desabilitado 1.0.2 – versão prévia
[Versão Prévia]: o agente de coleta de dados de tráfego de rede deve ser instalado nas máquinas virtuais Windows A Central de Segurança usa o Microsoft Dependency Agent para coletar dados de tráfego de rede de suas máquinas virtuais do Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas. AuditIfNotExists, desabilitado 1.0.2 – versão prévia
[Versão prévia]: a Inicialização Segura deve estar habilitada em máquinas virtuais Windows compatíveis Habilite a Inicialização Segura nas máquinas virtuais do Windows compatíveis para atenuar alterações mal-intencionadas e não autorizadas na cadeia de inicialização. Depois que ele for habilitado, somente os carregadores de inicialização, o kernel e os drivers de kernel poderão ser executados. Essa avaliação se aplica às máquinas virtuais do Windows Confidenciais e de Início Confiável. Audit, desabilitado 4.0.0 – versão prévia
[Versão prévia]: O acesso público da conta de armazenamento não deve ser permitido O acesso de leitura público anônimo a contêineres e blobs no Armazenamento do Azure é uma forma conveniente de compartilhar dados, mas pode representar riscos de segurança. Para evitar violações de dados causadas por acesso anônimo indesejado, a Microsoft recomenda impedir o acesso público a uma conta de armazenamento, a menos que o seu cenário exija isso. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 3.1.0 – versão prévia
[Versão prévia]: o vTPM deve estar habilitado nas máquinas virtuais compatíveis Habilite o dispositivo TPM virtual em máquinas virtuais compatíveis para facilitar Inicialização Medida e outros recursos de segurança do sistema operacional que exigem um TPM. Depois que ele for habilitado, o vTPM pode ser usado para atestar a integridade da inicialização. Essa avaliação só se aplica a máquinas virtuais habilitadas para início confiável. Audit, desabilitado 2.0.0-preview
Um máximo de três proprietários deve ser designado para sua assinatura Recomenda-se designar até 3 proprietários de assinaturas para reduzir o potencial de violação por parte de um proprietário comprometido. AuditIfNotExists, desabilitado 3.0.0
Um administrador do Microsoft Entra deve ser provisionado para servidores MySQL Audite o provisionamento de um administrador do Microsoft Entra para seu servidor MySQL para habilitar a autenticação do Microsoft Entra. A autenticação do Microsoft Entra permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidades dos usuários de banco de dados e de outros serviços da Microsoft AuditIfNotExists, desabilitado 1.1.1
Um administrador do Microsoft Entra deve ser provisionado para servidores PostgreSQL Audite o provisionamento de um administrador do Microsoft Entra para seu servidor PostgreSQL para habilitar a autenticação do Microsoft Entra. A autenticação do Microsoft Entra permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidades dos usuários de banco de dados e de outros serviços da Microsoft AuditIfNotExists, desabilitado 1.0.1
Uma solução de avaliação de vulnerabilidade deve ser habilitada nas máquinas virtuais Audita as máquinas virtuais para detectar se elas estão executando uma solução de avaliação de vulnerabilidade compatível. Um componente principal de cada programa de segurança e risco cibernético é a identificação e a análise das vulnerabilidades. O tipo de preço padrão da Central de Segurança do Azure inclui a verificação de vulnerabilidade para as máquinas virtuais sem custo adicional. Além disso, a Central de Segurança pode implantar essa ferramenta automaticamente para você. AuditIfNotExists, desabilitado 3.0.0
Contas com permissões de proprietário em recursos do Azure devem estar habilitadas para MFA A autenticação Multifator do Microsoft Azure (MFA) deve ser ativada para todas as contas de assinatura com permissões de proprietário para evitar uma quebra de contas ou recursos. AuditIfNotExists, desabilitado 1.0.0
Contas com permissões de leitura em recursos do Azure devem estar habilitadas para MFA A autenticação Multifator do Microsoft Azure (MFA) deve ser ativada para todas as contas de assinatura com privilégios de leitura para evitar uma quebra de contas ou recursos. AuditIfNotExists, desabilitado 1.0.0
Contas com permissões de gravação em recursos do Azure devem estar habilitadas para MFA A autenticação Multifator do Microsoft Azure (MFA) deve estar habilitada para todas as contas de assinatura com privilégios de gravação para evitar uma quebra de contas ou recursos. AuditIfNotExists, desabilitado 1.0.0
Todas as portas de rede devem ser restritas nos grupos de segurança de rede associados à sua máquina virtual A Central de Segurança do Azure identificou algumas das regras de entrada de seus grupos de segurança de rede como permissivas demais. As regras de entrada não devem permitir o acesso por meio de intervalos "Qualquer" ou "Internet". Isso tem o potencial de tornar seus recursos alvos de invasores. AuditIfNotExists, desabilitado 3.0.0
Um administrador do Azure Active Directory deve ser provisionado para servidores SQL Audite o provisionamento de um administrador do Active Directory Domain Services do Azure para o seu servidor SQL para habilitar a autenticação do AD do Azure. A autenticação do Microsoft Azure Active Directory permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidades dos usuários de banco de dados e de outros serviços da Microsoft AuditIfNotExists, desabilitado 1.0.0
Os pontos de extremidade de API no Gerenciamento de API do Azure devem ser autenticados Os pontos de extremidade de API publicados no Gerenciamento de API do Azure devem impor a autenticação para ajudar a minimizar o risco de segurança. Às vezes, os mecanismos de autenticação são implementados incorretamente ou estão ausentes. Isso permite que os invasores explorem falhas de implementação e acessem dados. Saiba mais sobre a ameaça de API OWASP para autenticação de usuário quebrada aqui: https://learn.microsoft.com/azure/api-management/mitigate-owasp-api-threats#broken-user-authentication AuditIfNotExists, desabilitado 1.0.1
Os pontos de extremidade de API que não são usados devem ser desabilitados e removidos do serviço de Gerenciamento de API do Azure Como prática recomendada de segurança, os pontos de extremidade de API que não recebem tráfego há 30 dias são considerados não utilizados e devem ser removidos do serviço de Gerenciamento de API do Azure. Manter pontos de extremidade de API não utilizados pode representar um risco de segurança para sua organização. Podem ser APIs que deveriam ter sido preteridas do serviço de Gerenciamento de API do Azure, mas que podem ter sido acidentalmente deixadas ativas. Normalmente, essas APIs não recebem a cobertura de segurança mais atualizada. AuditIfNotExists, desabilitado 1.0.1
As APIs do Gerenciamento de API devem usar apenas protocolos criptografados Para garantir a segurança dos dados em trânsito, as APIs devem estar disponíveis apenas por meio de protocolos criptografados, como HTTPS ou WSS. Evite usar protocolos inseguros, como HTTP ou WS. Auditoria, desabilitado, negação 2.0.2
As chamadas do Gerenciamento de API para back-ends de API devem ser autenticadas As chamadas do Gerenciamento de API para back-ends devem usar alguma forma de autenticação, seja por meio de certificados ou credenciais. Não se aplica aos back-ends do Service Fabric. Auditoria, desabilitado, negação 1.0.1
As chamadas do Gerenciamento de API para back-ends de API não devem ignorar a impressão digital do certificado ou a validação de nome Para melhorar a segurança da API, o Gerenciamento de API deve validar o certificado do servidor de back-end para todas as chamadas à API. Habilite a validação da impressão digital e do nome do certificado SSL. Auditoria, desabilitado, negação 1.0.2
O ponto de extremidade de gerenciamento direto do Gerenciamento de API não deve estar habilitado A API REST de gerenciamento direto no Gerenciamento de API do Azure ignora os mecanismos de controle de acesso, autorização e limitação baseados em função do Azure Resource Manager, aumentando assim a vulnerabilidade do serviço. Auditoria, desabilitado, negação 1.0.2
A versão mínima da API do Gerenciamento de API deve ser definida como 2019-12-01 ou superior Para evitar que os segredos do serviço sejam compartilhados com usuários somente leitura, a versão mínima da API deve ser definida como 2019-12-01 ou superior. Audit, Deny, desabilitado 1.0.1
Os valores secretos nomeados do Gerenciamento de API devem ser armazenados no Azure Key Vault Os valores nomeados são uma coleção global de pares de nome/valor em cada serviço do Gerenciamento de API. Os valores secretos podem ser armazenados como texto criptografado no Gerenciamento de API (segredos personalizados) ou referenciando segredos no Azure Key Vault. Para melhorar a segurança de Gerenciamento de API e segredos, faça referência a valores nomeados do segredo do Azure Key Vault. O Azure Key Vault dá suporte a políticas de rotação de segredo e gerenciamento de acesso granulares. Auditoria, desabilitado, negação 1.0.2
Os serviços do Gerenciamento de API devem usar uma rede virtual A implantação da Rede Virtual do Azure fornece isolamento e segurança aprimorada e permite que você coloque o serviço de Gerenciamento de API em uma rede roteável não ligada à Internet para a qual você controla o acesso. Essas redes podem ser conectadas às suas redes locais usando várias tecnologias de VPN, o que permite o acesso aos seus serviços de back-end na rede e/ou locais. O portal do desenvolvedor e o gateway de API podem ser configurados para serem acessados pela Internet ou somente na rede virtual. Audit, Deny, desabilitado 1.0.2
O Gerenciamento de APIs deve desabilitar o acesso à rede pública nos pontos de extremidade de configuração do serviço Para melhorar a segurança dos serviços de Gerenciamento de API, restrinja a conectividade com pontos de extremidade de configuração de serviço, como a API de gerenciamento de acesso direto, o ponto de extremidade de gerenciamento de configuração do Git ou o ponto de extremidade de configuração de gateways auto-hospedados. AuditIfNotExists, desabilitado 1.0.1
As assinaturas de Gerenciamento de API não devem ter escopo para todas as APIs As assinaturas do Gerenciamento de API devem ter escopo para um produto ou uma API individual em vez de todas as APIs, o que pode resultar em uma exposição excessiva de dados. Auditoria, desabilitado, negação 1.1.0
A Configuração de Aplicativos deve usar um link privado O Link Privado do Azure permite que você conecte sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado manipula a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Mapeando seus pontos de extremidade privados para suas instâncias de configuração de aplicativos, em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/appconfig/private-endpoint. AuditIfNotExists, desabilitado 1.0.2
Os aplicativos do Serviço de Aplicativo devem ter os 'Certificados do Cliente (Certificados do cliente recebidos)' habilitados Os certificados de cliente permitem que o aplicativo solicite um certificado para solicitações recebidas. Somente clientes que possuem um certificado válido poderão acessar o aplicativo. Essa política se aplica a aplicativos com a versão Http definida como 1.1. AuditIfNotExists, desabilitado 1.0.0
Os aplicativos do Serviço de Aplicativo devem ter a depuração remota desativada A depuração remota exige que as portas de entrada estejam abertas em um aplicativo do Serviço de Aplicativo. A depuração remota deve ser desligada. AuditIfNotExists, desabilitado 2.0.0
Os aplicativos do Serviço de Aplicativo devem ter logs de recursos habilitados Auditar a habilitação de logs de recurso no aplicativo. Isso permite recriar trilhas de atividades para fins de investigação se ocorrer um incidente de segurança ou se sua rede estiver comprometida. AuditIfNotExists, desabilitado 2.0.1
Os aplicativos do Serviço de Aplicativo não devem ter o CORS configurado para permitir que todos os recursos acessem seus aplicativos O compartilhamento de recurso de origem cruzada (CORS) não deve permitir que todos os domínios acessem seu aplicativo. Permita que apenas os domínios necessários interajam com seu aplicativo. AuditIfNotExists, desabilitado 2.0.0
Os aplicativos do Serviço de Aplicativo só devem ser acessíveis por HTTPS O uso do HTTPS garante a autenticação do servidor/serviço e protege os dados em trânsito de ataques de interceptação de camada de rede. Auditoria, desabilitado, negação 4.0.0
Os aplicativos do Serviço de Aplicativo devem exigir apenas o FTPS Habilite a imposição de FTPS para reforçar a segurança. AuditIfNotExists, desabilitado 3.0.0
Os aplicativos do Serviço de Aplicativo devem usar a identidade gerenciada Usar uma identidade gerenciada para uma segurança de autenticação aprimorada AuditIfNotExists, desabilitado 3.0.0
Os aplicativos do Serviço de Aplicativo devem usar a versão mais recente do TLS Periodicamente, versões mais recentes são lançadas para o TLS, devido a falhas de segurança, para incluir funcionalidades adicionais e aprimorar a velocidade. Atualize para a versão mais recente do TLS para aplicativos do Serviço de Aplicativo para aproveitar as correções de segurança, se houver, e/ou as novas funcionalidades da versão mais recente. AuditIfNotExists, desabilitado 2.1.0
Auditoria o uso de funções personalizadas do RBAC Auditar funções internas, como 'Proprietário, Contribuidor, Leitor', em vez de funções RBAC personalizadas, que são propensas a erros. O uso de funções personalizadas é tratado como uma exceção e requer uma revisão rigorosa e uma modelagem de ameaças Audit, desabilitado 1.0.1
A auditoria no SQL Server deve ser habilitada A auditoria no SQL Server deve ser habilitada para acompanhar as atividades de banco de dados em todos os bancos de dados no servidor e salvá-las em um log de auditoria. AuditIfNotExists, desabilitado 2.0.0
A autenticação para computadores Linux deve exigir chaves SSH Embora o SSH em si forneça uma conexão criptografada, usar senhas com SSH ainda deixa a VM vulnerável a ataques de força bruta. A opção mais segura para autenticação em uma máquina virtual Linux do Azure por SSH é com um par de chaves pública-privada, também conhecido como chaves SSH. Saiba mais: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed. AuditIfNotExists, desabilitado 3.2.0
Os intervalos de IP autorizados devem ser definidos nos Serviços do Kubernetes Restrinja o acesso à API de Gerenciamento de Serviços do Kubernetes permitindo acesso à API somente aos endereços IP em intervalos específicos. Recomendamos limitar o acesso aos intervalos de IP autorizados para garantir que somente os aplicativos de redes permitidas possam acessar o cluster. Audit, desabilitado 2.0.1
As variáveis da conta de automação devem ser criptografadas É importante habilitar a criptografia dos ativos variáveis da conta de Automação do Azure ao armazenar dados confidenciais Audit, Deny, desabilitado 1.1.0
Os recursos dos Serviços de IA do Azure devem criptografar os dados inativos com uma chave gerenciada pelo cliente (CMK) O uso de chaves gerenciadas pelo cliente para criptografar dados inativos oferece mais controle sobre o ciclo de vida da chave, incluindo rotação e gerenciamento. Isso é particularmente relevante para organizações com requisitos de conformidade relacionados. Isso não é avaliado por padrão e só deve ser aplicado quando exigido por requisitos de conformidade ou de política restritiva. Se não estiver habilitado, os dados serão criptografados usando chaves gerenciadas pela plataforma. Para implementar isso, atualize o parâmetro "Efeito" na Política de Segurança para o escopo aplicável. Audit, Deny, desabilitado 2.2.0
Os recursos dos Serviços de IA do Azure devem ter o acesso de chave desabilitado (desabilitar a autenticação local) Recomenda-se que o acesso à chave (autenticação local) seja desabilitado por segurança. O Azure OpenAI Studio, normalmente usado em desenvolvimento/teste, requer acesso a chaves e não funcionará se o acesso a chaves estiver desabilitado. Após ser desabilitado, o Microsoft Entra ID se torna o único método de acesso, o que permite a manutenção do princípio de privilégio mínimo e o controle granular. Saiba mais em: https://aka.ms/AI/auth Audit, Deny, desabilitado 1.1.0
Os recursos dos Serviços de IA do Azure devem restringir p acesso à rede Ao restringir o acesso à rede, você poderá garantir que apenas as redes permitidas possam acessar o serviço. Isso pode ser alcançado configurando regras de rede para que apenas aplicativos de redes permitidas possam acessar o serviço de IA do Azure. Audit, Deny, desabilitado 3.2.0
Os recursos dos Serviços de IA do Azure devem usar o Link Privado do Azure O Link Privado do Azure permite que você conecte sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado reduz os riscos de vazamento de dados manipulando a conectividade entre o consumidor e os serviços pela rede de backbone do Azure. Saiba mais sobre links privados em: https://aka.ms/AzurePrivateLink/Overview Audit, desabilitado 1.0.0
A versão da plataforma de Gerenciamento de API do Azure deve ser stv2 A versão da plataforma de computação STV1 do Gerenciamento de API do Azure será desativada a partir de 31 de agosto de 2024 e essas instâncias devem ser migradas para a plataforma de computação stv2 para suporte contínuo. Saiba mais em https://learn.microsoft.com/azure/api-management/breaking-changes/stv1-platform-retirement-august-2024 Audit, Deny, desabilitado 1.0.0
Os clusters do Kubernetes habilitados para Azure Arc devem ter a extensão Azure Policy instalada A extensão Azure Policy para Azure Arc fornece imposições em escala e proteções em seus clusters do Kubernetes habilitados para Arc de maneira centralizada e consistente. Saiba mais em https://aka.ms/akspolicydoc. AuditIfNotExists, desabilitado 1.1.0
O Backup do Azure deve ser habilitado para máquinas virtuais Garanta a proteção de suas Máquinas Virtuais do Azure habilitando o Backup do Azure. O Backup do Azure é uma solução de proteção de dados segura e econômica para o Azure. AuditIfNotExists, desabilitado 3.0.0
O Cache do Azure para Redis deve usar um link privado Os pontos de extremidade privados permitem que você conecte a sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. Quando os pontos de extremidade privados são mapeados para as instâncias do Cache do Azure para Redis, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link. AuditIfNotExists, desabilitado 1.0.0
As contas do Azure Cosmos DB devem ter regras de firewall As regras de firewall devem ser definidas em suas contas do Azure Cosmos DB para evitar o tráfego de fontes não autorizadas. As contas que têm pelo menos uma regra de IP definida com o filtro de rede virtual habilitado são consideradas em conformidade. As contas que desabilitam o acesso público também são consideradas em conformidade. Audit, Deny, desabilitado 2.1.0
As contas do Azure Cosmos DB devem usar chaves gerenciadas pelo cliente para criptografar os dados inativos Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso do seu Azure Cosmos DB. Por padrão, os dados são criptografados em repouso com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Azure Key Vault criada por você e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/cosmosdb-cmk. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 1.1.0
O Azure Cosmos DB deve desabilitar o acesso à rede pública A desabilitação do acesso à rede pública aprimora a segurança, garantindo que a conta do CosmosDB não seja exposta na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição da conta do CosmosDB. Saiba mais em: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints#blocking-public-network-access-during-account-creation. Audit, Deny, desabilitado 1.0.0
Os clusters do Azure Databricks devem desabilitar o IP público A desativação do IP público de clusters nos Workspaces do Azure Databricks melhora a segurança, garantindo que os clusters não sejam expostos na Internet pública. Saiba mais em: https://learn.microsoft.com/azure/databricks/security/secure-cluster-connectivity. Audit, Deny, desabilitado 1.0.1
Os Workspaces do Azure Databricks devem estar em uma rede virtual As Redes Virtuais do Microsoft Azure fornecem segurança e isolamento aprimorados para seus Workspaces do Azure Databricks, bem como sub-redes, políticas de controle de acesso e outros recursos para restringir ainda mais o acesso. Saiba mais em: https://docs.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/vnet-inject. Audit, Deny, desabilitado 1.0.2
Os espaços de trabalho do Azure Databricks devem desabilitar o acesso à rede pública A desabilitação do acesso à rede pública melhora a segurança, garantindo que o recurso não seja exposto na Internet pública. Em vez disso, você pode controlar a exposição dos seus recursos criando pontos de extremidade privados. Saiba mais em: https://learn.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/private-link. Audit, Deny, desabilitado 1.0.1
Os Workspaces do Azure Databricks devem usar o link privado O Link Privado do Azure permite que você conecte suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de Link Privado manipula a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para workspaces do Azure Databricks, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/adbpe. Audit, desabilitado 1.0.2
A Proteção contra DDoS do Azure deve ser habilitada A Proteção contra DDoS deve ser habilitada para todas as redes virtuais com uma sub-rede que seja parte de um gateway de aplicativo com um IP público. AuditIfNotExists, desabilitado 3.0.1
O Azure Defender para o Serviço de Aplicativo deve estar habilitado O Azure Defender para o Serviço de Aplicativo utiliza a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns aos aplicativos Web. AuditIfNotExists, desabilitado 1.0.3
O Azure Defender para servidores do Banco de Dados SQL do Azure deve estar habilitado O Azure Defender para SQL oferece funcionalidade para expor e reduzir possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que podem indicar ameaças aos Bancos de Dados SQL e descobrir e classificar dados confidenciais. AuditIfNotExists, desabilitado 1.0.2
O Azure Defender para Key Vault deve estar habilitado O Azure Defender para Key Vault oferece uma camada adicional de proteção e inteligência de segurança ao detectar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar as contas do Key Vault. AuditIfNotExists, desabilitado 1.0.3
O Azure Defender para bancos de dados relacionais de código aberto deve ser habilitado O Azure Defender para bancos de dados relacionais de código aberto detecta atividades anômalas, indicando tentativas incomuns e possivelmente prejudiciais de acesso ou exploração de bancos de dados. Saiba mais sobre os recursos do Azure Defender para bancos de dados relacionais de código aberto em https://aka.ms/AzDforOpenSourceDBsDocu. Importante: a habilitação deste plano resultará em encargos de proteção de seus bancos de dados relacionais de código aberto. Saiba mais sobre os preços na página de preços da Central de Segurança: https://aka.ms/pricing-security-center AuditIfNotExists, desabilitado 1.0.0
O Azure Defender para Resource Manager deve ser habilitado O Azure Defender para o Resource Manager monitora de modo automático todas as operações de gerenciamento de recursos executadas em sua organização. O Azure Defender detecta ameaças e emite alertas sobre atividades suspeitas. Saiba mais sobre as funcionalidade do Azure Defender para o Resource Manager em https://aka.ms/defender-for-resource-manager. Habilitar este plano do Azure Defender resultará em determinados encargos. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center. AuditIfNotExists, desabilitado 1.0.0
O Azure Defender para servidores deve estar habilitado O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho do servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas. AuditIfNotExists, desabilitado 1.0.3
O Azure Defender para servidores SQL em computadores deve estar habilitado O Azure Defender para SQL oferece funcionalidade para expor e reduzir possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que podem indicar ameaças aos Bancos de Dados SQL e descobrir e classificar dados confidenciais. AuditIfNotExists, desabilitado 1.0.2
O Azure Defender para SQL deve ser habilitado para servidores SQL do Azure desprotegidos Auditar servidores SQL sem Segurança de Dados Avançada AuditIfNotExists, desabilitado 2.0.1
O Azure Defender para SQL deve ser habilitado para servidor flexíveis do MySQL desprotegidos Auditar servidores flexíveis do MySQL sem Segurança de Dados Avançada AuditIfNotExists, desabilitado 1.0.0
O Azure Defender para SQL deve ser habilitado para servidores flexíveis do PostgreSQL desprotegidos Auditar os servidores flexíveis do PostgreSQL sem Segurança de Dados Avançada AuditIfNotExists, desabilitado 1.0.0
O Azure Defender para SQL deve ser habilitado para Instâncias Gerenciadas de SQL desprotegidas Audite cada Instância Gerenciada de SQL sem a segurança de dados avançada. AuditIfNotExists, desabilitado 1.0.2
Os domínios da Grade de Eventos do Azure devem usar um link privado O Link Privado do Azure permite que você conecte sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de Link Privado manipula a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Por meio do mapeamento de pontos de extremidade privados para o seu domínio de Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints. Audit, desabilitado 1.0.2
Os tópicos da Grade de Eventos do Azure devem usar um link privado O Link Privado do Azure permite que você conecte sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de Link Privado manipula a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Por meio do mapeamento de pontos de extremidade privados para o seu tópico de Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints. Audit, desabilitado 1.0.2
O Azure Key Vault deve ter o firewall habilitado Habilite o firewall do cofre de chaves para que o cofre de chaves não seja acessível por padrão a nenhum IP público. Opcionalmente, você pode configurar intervalos de IP específicos para limitar o acesso a essas redes. Saiba mais em: https://docs.microsoft.com/azure/key-vault/general/network-security Audit, Deny, desabilitado 3.2.1
Os Azure Key Vaults devem usar um link privado O Link Privado do Azure permite que você conecte suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de Link Privado manipula a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Com o mapeamento dos pontos de extremidade privados para o cofre de chaves, você poderá reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/akvprivatelink. [parameters('audit_effect')] 1.2.1
Os clusters de Serviço de Kubernetes do Azure devem ter o perfil do Defender habilitado O Microsoft Defender para Contêineres fornece recursos de segurança para Kubernetes nativos de nuvem incluindo proteção de ambiente, proteção de cargas de trabalho e de tempo de execução. Quando você habilita o SecurityProfile.AzureDefender em seu cluster do Serviço de Kubernetes do Azure, um agente é implantado no cluster para coletar dados de eventos de segurança. Saiba mais sobre o Microsoft Defender para Contêineres em https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks Audit, desabilitado 2.0.1
As instâncias de computação do Azure Machine Learning devem ser recriadas para obter as atualizações de software mais recentes Certifique-se de que as instâncias de computação do Azure Machine Learning sejam executadas no sistema operacional mais recente disponível. A segurança é melhorada e as vulnerabilidades reduzidas pela execução dos últimos patches de segurança. Para obter mais informações, visite https://aka.ms/azureml-ci-updates/. [parameters('effects')] 1.0.3
Os Computadores do Azure Machine Learning devem estar em uma rede virtual As Redes Virtuais do Azure fornecem segurança e isolamento aprimorados para seus Clusters e Instâncias de Computação do Azure Machine Learning, bem como sub-redes, políticas de controle de acesso e outros recursos para restringir ainda mais o acesso. Quando uma computação é configurada com uma rede virtual, ela não é endereçável publicamente e só pode ser acessada a partir de máquinas e aplicativos virtuais dentro da rede virtual. Audit, desabilitado 1.0.1
Os Computadores do Azure Machine Learning devem ter os métodos de autenticação local desabilitados A desativação dos métodos de autenticação local melhora a segurança, garantindo que os Computadores do Machine Learning exijam identidades do Azure Active Directory exclusivamente para autenticação. Saiba mais em: https://aka.ms/azure-ml-aad-policy. Audit, Deny, desabilitado 2.1.0
Os workspaces do Azure Machine Learning devem ser criptografados com uma chave gerenciada pelo cliente Gerencie a criptografia em repouso dos dados do Workspace do Azure Machine Learning com chaves gerenciadas pelo cliente. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Azure Key Vault criada por você e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/azureml-workspaces-cmk. Audit, Deny, desabilitado 1.1.0
Os Workspaces do Azure Machine Learning devem desabilitar o acesso à rede pública A desativação do acesso à rede pública aumenta a segurança, garantindo que os Workspaces do Machine Learning não sejam expostos na Internet pública. Em vez disso, você pode controlar a exposição dos seus espaços de trabalho criando pontos de extremidade privados. Saiba mais em: https://learn.microsoft.com/azure/machine-learning/how-to-configure-private-link?view=azureml-api-2&tabs=azure-portal. Audit, Deny, desabilitado 2.0.1
Os workspaces do Azure Machine Learning devem usar um link privado O Link Privado do Azure permite que você conecte sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de Link Privado manipula a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para workspaces do Azure Machine Learning, os riscos de vazamento de dados serão reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link. Audit, desabilitado 1.0.0
O servidor flexível do MySQL do Azure deve ter a Autenticação Somente Do Microsoft Entra habilitada Desabilitar os métodos de autenticação local e permitir apenas a autenticação do Microsoft Entra melhora a segurança, garantindo que o servidor flexível do MySQL do Azure possam ser acessadas exclusivamente pelas identidades do Microsoft Entra. AuditIfNotExists, desabilitado 1.0.1
O Complemento do Azure Policy para o AKS (serviço de Kubernetes) deve estar instalado e habilitado nos clusters O Complemento do Azure Policy para o AKS (serviço de Kubernetes) estende o Gatekeeper v3, um webhook do controlador de admissão para o OPA (Open Policy Agent), para aplicar as garantias e imposições em escala aos seus clusters de maneira centralizada e consistente. Audit, desabilitado 1.0.2
As imagens de contêiner do registro do Azure devem ter as vulnerabilidades resolvidas (da plataforma Gerenciamento de Vulnerabilidades do Microsoft Defender) A avaliação de vulnerabilidade das imagens de contêiner examina seu registro em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado de vulnerabilidades para cada imagem. A resolução de vulnerabilidades pode melhorar muito sua postura de segurança, garantindo que as imagens sejam seguras para uso antes da implantação. AuditIfNotExists, desabilitado 1.0.1
As imagens de contêiner em execução do Azure devem ter as vulnerabilidades resolvidas (da plataforma Gerenciamento de Vulnerabilidades do Microsoft Defender) A avaliação de vulnerabilidade das imagens de contêiner examina seu registro em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado de vulnerabilidades para cada imagem. Essa recomendação fornece visibilidade para as imagens vulneráveis atualmente em execução nos seus clusters do Kubernetes. Corrigir vulnerabilidades em imagens de contêiner que estão em execução no momento é fundamental para aprimorar sua postura de segurança, reduzindo de forma significativa a superfície de ataque das suas cargas de trabalho conteinerizadas. AuditIfNotExists, desabilitado 1.0.1
O Serviço do Azure SignalR deve usar o link privado O Link Privado do Azure permite que você conecte sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado manipula a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu recurso do Serviço do Azure SignalR em vez de todo o serviço, você reduzirá riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/asrs/privatelink. Audit, desabilitado 1.0.0
O Azure Spring Cloud deve usar injeção de rede As instâncias do Azure Spring Cloud devem usar injeção de rede virtual para as seguintes finalidades: 1. Isole o Azure Spring Cloud da Internet. 2. Habilite a interação do Azure Spring Cloud com sistemas em data centers locais ou no serviço do Azure em outras redes virtuais. 3. Capacite os clientes a controlar comunicações de rede de entrada e saída para o Azure Spring Cloud. Auditoria, desabilitado, negação 1.2.0
O Banco de Dados SQL do Azure deve estar executando o TLS versão 1.2 ou mais recente Definir a versão do TLS como 1.2 ou mais recente aprimora a segurança garantindo que seu Banco de Dados SQL do Azure só possa ser acessado de clientes que usam o TLS 1.2 ou mais recente. O uso de versões do TLS inferiores à 1.2 não é recomendado, pois elas têm vulnerabilidades de segurança bem documentadas. Auditoria, desabilitado, negação 2.0.0
O Banco de Dados SQL do Azure deve ter a autenticação somente do Microsoft Entra habilitada Exigir que os servidores lógicos de SQL do Azure usem a autenticação somente do Microsoft Entra. Essa política não impede que os servidores sejam criados com a autenticação local habilitada. Ela impede que a autenticação local seja habilitada nos recursos após a criação. Considere usar a iniciativa "Autenticação somente do Microsoft Entra" para exigir ambos. Saiba mais em: https://aka.ms/adonlycreate. Audit, Deny, desabilitado 1.0.0
O Banco de Dados SQL do Azure deve ter a autenticação somente do Microsoft Entra habilitada durante a criação Exigir que os servidores lógicos do SQL do Azure sejam criados com a autenticação somente do Microsoft Entra. Essa política não impede que a autenticação local seja reabilitada nos recursos após a criação. Considere usar a iniciativa "Autenticação somente do Microsoft Entra" para exigir ambos. Saiba mais em: https://aka.ms/adonlycreate. Audit, Deny, desabilitado 1.2.0
A Instância Gerenciada de SQL do Azure deve ter a autenticação somente do Microsoft Entra habilitada Exigir que a Instância Gerenciada de SQL do Azure use a autenticação somente do Microsoft Entra. Essa política não impede que instâncias gerenciadas de SQL do Azure sejam criadas com a autenticação local habilitada. Ela impede que a autenticação local seja habilitada nos recursos após a criação. Considere usar a iniciativa "Autenticação somente do Microsoft Entra" para exigir ambos. Saiba mais em: https://aka.ms/adonlycreate. Audit, Deny, desabilitado 1.0.0
As Instâncias Gerenciadas de SQL do Azure devem desabilitar o acesso à rede pública Desabilitar o acesso à rede pública (ponto de extremidade público) em Instância Gerenciada de SQL do Azure melhora a segurança, garantindo que elas só possam ser acessadas de dentro de suas redes virtuais ou por meio de pontos de extremidade privados. Para saber mais sobre o acesso à rede pública, visite https://aka.ms/mi-public-endpoint. Audit, Deny, desabilitado 1.0.0
Instâncias gerenciada de SQL do Azure devem ter a autenticação somente do Microsoft Entra habilitada durante a criação Exigir que a Instância Gerenciada de SQL do Azure seja criada com a autenticação somente do Microsoft Entra. Essa política não impede que a autenticação local seja reabilitada nos recursos após a criação. Considere usar a iniciativa "Autenticação somente do Microsoft Entra" para exigir ambos. Saiba mais em: https://aka.ms/adonlycreate. Audit, Deny, desabilitado 1.2.0
O Firewall de Aplicativo Web do Azure deve ser habilitado em pontos de entrada do Azure Front Door Implante o WAF (Firewall de Aplicativo Web) do Azure na frente de aplicativos Web voltados para o público para que haja uma inspeção adicional do tráfego de entrada. O WAF (Firewall de Aplicativo Web) fornece proteção centralizada de seus aplicativos Web contra vulnerabilidades e explorações comuns como injeções de SQL, Cross-Site Scripting e execuções de arquivo locais e remotas. Você também pode restringir o acesso aos seus aplicativos Web de países, intervalos de endereços IP e outros parâmetros http(s) por meio de regras personalizadas. Audit, Deny, desabilitado 1.0.2
As contas bloqueadas com permissões de proprietário em recursos do Azure devem ser removidas Contas descontinuadas com permissões de proprietário devem ser removidas da sua assinatura. Contas descontinuadas são contas que foram impedidas de fazer login. AuditIfNotExists, desabilitado 1.0.0
As contas bloqueadas com permissões de leitura e gravação em recursos do Azure devem ser removidas Contas descontinuadas devem ser removidas de suas assinaturas. Contas descontinuadas são contas que foram impedidas de fazer login. AuditIfNotExists, desabilitado 1.0.0
Os certificados devem ter o período máximo de validade especificado Gerenciar seus requisitos de conformidade organizacional especificando o período de tempo máximo em que um certificado permanece válido no cofre de chaves. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 2.2.1
Os registros de contêiner devem ser criptografados com uma chave gerenciada pelo cliente Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso no conteúdo dos seus Registros. Por padrão, os dados são criptografados em repouso com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Azure Key Vault criada por você e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/acr/CMK. Audit, Deny, desabilitado 1.1.2
Os registros de contêiner não devem permitir acesso irrestrito à rede Por padrão, os registros de contêiner do Azure aceitam conexões pela Internet de hosts em qualquer rede. Para proteger seus Registros contra possíveis ameaças, permita o acesso somente de pontos de extremidade privados, endereços IP públicos ou intervalos de endereços específicos. Se o Registro não tiver regras de rede configuradas, ele será exibido nos recursos não íntegros. Saiba mais sobre as regras de rede do Registro de Contêiner aqui: https://aka.ms/acr/privatelink, https://aka.ms/acr/portal/public-network e https://aka.ms/acr/vnet. Audit, Deny, desabilitado 2.0.0
Os registros de contêiner devem usar um link privado O Link Privado do Azure permite que você conecte sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone do Azure. Por meio do mapeamento de pontos de extremidade privados para seus registros de contêiner, em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/acr/private-link. Audit, desabilitado 1.0.1
As contas de banco de dados do Cosmos DB devem ter os métodos de autenticação local desabilitados Desabilitar os métodos de autenticação local aprimora a segurança, garantindo que as contas de banco de dados do Cosmos DB exijam identidades do Azure Active Directory exclusivamente para autenticação. Saiba mais em: https://docs.microsoft.com/azure/cosmos-db/how-to-setup-rbac#disable-local-auth. Audit, Deny, desabilitado 1.1.0
As contas do CosmosDB devem usar um link privado O Link Privado do Azure permite que você conecte sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de Link Privado manipula a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Quando os pontos de extremidade privados são mapeados para a conta do CosmosDB, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints. Audit, desabilitado 1.0.0
Os logs de diagnóstico nos recursos dos serviços de IA do Azure devem ser habilitados Habilite os logs dos recursos dos serviços de IA do Azure. Isso permite recriar trilhas de atividade para fins de investigação, quando ocorrer um incidente de segurança ou sua rede for comprometida AuditIfNotExists, desabilitado 1.0.0
A notificação por email para alertas de severidade alta deve ser habilitada Para que as pessoas relevantes em sua organização sejam notificadas quando houver uma potencial violação de segurança em uma das suas assinaturas, habilite notificações por email para alertas de severidade alta na Central de Segurança. AuditIfNotExists, desabilitado 1.2.0
A notificação por email para o proprietário da assinatura para alertas de severidade alta deve ser habilitada Para que os proprietários de assinatura sejam notificados quando houver uma potencial violação de segurança na assinatura deles, defina que notificações para alertas de severidade alta sejam enviadas por email para os proprietários da assinatura na Central de Segurança. AuditIfNotExists, desabilitado 2.1.0
'Impor conexão SSL' deve ser habilitada para servidores de banco de dados MySQL O Banco de Dados do Azure para MySQL dá suporte à conexão de seu servidor de Banco de Dados do Azure para MySQL para aplicativos cliente usando o protocolo SSL. Impor conexões SSL entre seu servidor de banco de dados e os aplicativos cliente ajuda a proteger contra ataques de "intermediários" criptografando o fluxo de dados entre o servidor e seu aplicativo. Essa configuração impõe que o SSL sempre esteja habilitado para acessar seu servidor de banco de dados. Audit, desabilitado 1.0.1
'Impor conexão SSL' deve ser habilitada para servidores de banco de dados PostgreSQL O Banco de Dados do Azure para PostgreSQL dá suporte à conexão de seu servidor de Banco de Dados do Azure para PostgreSQL para aplicativos cliente usando o protocolo SSL. Impor conexões SSL entre seu servidor de banco de dados e os aplicativos cliente ajuda a proteger contra ataques de "intermediários" criptografando o fluxo de dados entre o servidor e seu aplicativo. Essa configuração impõe que o SSL sempre esteja habilitado para acessar seu servidor de banco de dados. Audit, desabilitado 1.0.1
Os Aplicativos de funções devem ter a depuração remota desativada A depuração remota exige que as portas de entrada estejam abertas em Aplicativos de funções. A depuração remota deve ser desligada. AuditIfNotExists, desabilitado 2.0.0
Os aplicativos de funções não devem ter o CORS configurado para permitir que todos os recursos acessem seus aplicativos O CORS (compartilhamento de recurso de origem cruzada) não deve permitir que todos os domínios acessem seu aplicativo de funções. Permitir que apenas os domínios necessários interajam com seu aplicativo de funções. AuditIfNotExists, desabilitado 2.0.0
Os aplicativos de funções só devem ser acessíveis por HTTPS O uso do HTTPS garante a autenticação do servidor/serviço e protege os dados em trânsito de ataques de interceptação de camada de rede. Auditoria, desabilitado, negação 5.0.0
Os aplicativos de funções devem exigir apenas o FTPS Habilite a imposição de FTPS para reforçar a segurança. AuditIfNotExists, desabilitado 3.0.0
Os aplicativos de funções devem usar a identidade gerenciada Usar uma identidade gerenciada para uma segurança de autenticação aprimorada AuditIfNotExists, desabilitado 3.0.0
Os aplicativos de funções devem usar a versão mais recente do TLS Periodicamente, versões mais recentes são lançadas para o TLS, devido a falhas de segurança, para incluir funcionalidades adicionais e aprimorar a velocidade. Atualize para a última versão do TLS para os aplicativos de funções, a fim de aproveitar as correções de segurança, se houver, e/ou as novas funcionalidades da última versão. AuditIfNotExists, desabilitado 2.1.0
O backup com redundância geográfica deve ser habilitado para o Banco de Dados do Azure para MariaDB O Banco de Dados do Azure para MariaDB permite que você escolha a opção de redundância para seu servidor de banco de dados. Ele pode ser definido como um armazenamento de backup com redundância geográfica no qual os dados não são armazenados apenas na região em que o servidor está hospedado, mas também é replicado para uma região emparelhada para dar a opção de recuperação em caso de falha de região. A configuração do armazenamento com redundância geográfica para backup só é permitida durante a criação do servidor. Audit, desabilitado 1.0.1
O backup com redundância geográfica deve ser habilitado para o Banco de Dados do Azure para MySQL O Banco de Dados do Azure para MySQL permite que você escolha a opção de redundância para seu servidor de banco de dados. Ele pode ser definido como um armazenamento de backup com redundância geográfica no qual os dados não são armazenados apenas na região em que o servidor está hospedado, mas também é replicado para uma região emparelhada para dar a opção de recuperação em caso de falha de região. A configuração do armazenamento com redundância geográfica para backup só é permitida durante a criação do servidor. Audit, desabilitado 1.0.1
O backup com redundância geográfica deve ser habilitado para o Banco de Dados do Azure para PostgreSQL O Banco de Dados do Azure para PostgreSQL permite que você escolha a opção de redundância para seu servidor de banco de dados. Ele pode ser definido como um armazenamento de backup com redundância geográfica no qual os dados não são armazenados apenas na região em que o servidor está hospedado, mas também é replicado para uma região emparelhada para dar a opção de recuperação em caso de falha de região. A configuração do armazenamento com redundância geográfica para backup só é permitida durante a criação do servidor. Audit, desabilitado 1.0.1
As contas de convidado com permissões de proprietário em recursos do Azure devem ser removidas Contas externas com permissões de proprietário devem ser removidas da sua assinatura para evitar o acesso não monitorado. AuditIfNotExists, desabilitado 1.0.0
As contas de convidado com permissões de leitura em recursos do Azure devem ser removidas Contas externas com privilégios de leitura devem ser removidas da sua assinatura para evitar o acesso não monitorado. AuditIfNotExists, desabilitado 1.0.0
As contas de convidado com permissões de gravação em recursos do Azure devem ser removidas Contas externas com privilégios de gravação devem ser removidas da sua assinatura para evitar o acesso não monitorado. AuditIfNotExists, desabilitado 1.0.0
A extensão de Configuração de Convidado deve ser instalada nos seus computadores Para garantir configurações seguras de configurações no convidado de seu computador, instale a extensão de Configuração de Convidado. As configurações no convidado que a extensão monitora incluem a configuração do sistema operacional, a configuração ou a presença do aplicativo e as configurações do ambiente. Depois de instaladas, as políticas no convidado estarão disponíveis, como 'O Windows Exploit Guard deve estar habilitado'. Saiba mais em https://aka.ms/gcpol. AuditIfNotExists, desabilitado 1.0.3
As máquinas virtuais para a Internet devem ser protegidas com grupos de segurança de rede Proteja suas máquinas virtuais contra possíveis ameaças, restringindo o acesso a elas com um NSG (grupo de segurança de rede). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc AuditIfNotExists, desabilitado 3.0.0
O encaminhamento IP na máquina virtual deve ser desabilitado A habilitação do encaminhamento de IP na NIC de uma máquina virtual permite que o computador receba o tráfego endereçado a outros destinos. O encaminhamento de IP raramente é necessário (por exemplo, ao usar a VM como uma solução de virtualização de rede) e, portanto, isso deve ser examinado pela equipe de segurança de rede. AuditIfNotExists, desabilitado 3.0.0
As chaves do Key Vault devem ter uma data de validade As chaves de criptografia devem ter uma data de validade definida e não ser permanentes. As chaves válidas para sempre dão a um invasor potencial mais tempo para comprometer a chave. Uma prática de segurança recomendada é definir as datas de validade em chaves de criptografia. Audit, Deny, desabilitado 1.0.2
Os segredos do Key Vault devem ter uma data de validade Os segredos devem ter uma data de validade definida e não ser permanentes. Os segredos são válidos para sempre dão a um invasor potencial mais tempo para comprometê-las. Uma prática de segurança recomendada é definir datas de validade nos segredos. Audit, Deny, desabilitado 1.0.2
Os cofres de chaves devem ter a proteção contra exclusão habilitadas A exclusão mal-intencionada de um cofre de chaves pode levar à perda permanente de dados. Você pode evitar a perda permanente de dados habilitando a proteção contra limpeza e a exclusão temporária. A proteção de limpeza protege você contra ataques de invasores impondo um período de retenção obrigatório para cofres de chaves de exclusão temporária. Ninguém dentro de sua organização nem a Microsoft poderá limpar os cofres de chaves durante o período de retenção de exclusão temporária. Lembre-se de que os cofres de chaves criados após 1º de setembro de 2019 têm a exclusão temporária habilitada por padrão. Audit, Deny, desabilitado 2.1.0
Os cofres de chaves devem ter a exclusão temporária habilitada A exclusão de um cofre de chaves sem a exclusão temporária habilitada permanentemente exclui todos os segredos, as chaves e os certificados armazenados no cofre de chaves. A exclusão acidental de um cofre de chaves pode levar à perda permanente de dados. A exclusão temporária permite recuperar um cofre de chaves excluído acidentalmente por um período de retenção configurável. Audit, Deny, desabilitado 3.0.0
Os limites de CPU e de recursos de memória do contêiner do cluster do Kubernetes não devem exceder os limites especificados Impor limites de recursos de memória e CPU de contêiner para evitar ataques de esgotamento de recursos em um cluster do Kubernetes. Essa política está em disponibilidade geral para o AKS (Serviço do Kubernetes) e em versão prévia para o Azure Arc habilitado para Kubernetes. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 9.3.0
Os contêineres de cluster do Kubernetes não devem compartilhar a ID do processo do host nem o namespace de IPC do host Impedir que os contêineres de pod compartilhem o namespace da ID do processo do host e o namespace do IPC do host em um cluster do Kubernetes. Essa recomendação faz parte do CIS 5.2.2 e do CIS 5.2.3, que se destinam a aprimorar a segurança de seus ambientes do Kubernetes. Essa política está em disponibilidade geral para o AKS (Serviço do Kubernetes) e em versão prévia para o Azure Arc habilitado para Kubernetes. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 5.2.0
Os contêineres de cluster do Kubernetes devem usar somente os perfis do AppArmor permitidos Os contêineres devem usar somente os perfis do AppArmor permitidos em um cluster do Kubernetes. Essa política está em disponibilidade geral para o AKS (Serviço do Kubernetes) e em versão prévia para o Azure Arc habilitado para Kubernetes. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 6.2.0
Os contêineres de cluster do Kubernetes devem usar somente as funcionalidades permitidas Restringir as funcionalidades para reduzir a superfície de ataque de contêineres em um cluster do Kubernetes. Essa recomendação faz parte do CIS 5.2.8 e do CIS 5.2.9, que se destinam a aprimorar a segurança de seus ambientes do Kubernetes. Essa política está em disponibilidade geral para o AKS (Serviço do Kubernetes) e em versão prévia para o Azure Arc habilitado para Kubernetes. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 6.2.0
Os contêineres de cluster do Kubernetes devem usar somente as imagens permitidas Use imagens de Registros confiáveis para reduzir o risco de exposição do cluster do Kubernetes a vulnerabilidades desconhecidas, problemas de segurança e imagens mal-intencionadas. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 9.3.0
Os contêineres de cluster do Kubernetes devem ser executados com um sistema de arquivos raiz somente leitura Execute contêineres com um sistema de arquivos raiz somente leitura para protegê-los contra alterações em runtime com binários mal-intencionados sendo adicionados a PATH em um cluster do Kubernetes. Essa política está em disponibilidade geral para o AKS (Serviço do Kubernetes) e em versão prévia para o Azure Arc habilitado para Kubernetes. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 6.3.0
Os volumes de hostPath do pod do cluster do Kubernetes devem usar somente os caminhos do host permitidos Limite as montagens de volume de pod de HostPath aos caminhos de host permitidos em um cluster do Kubernetes. Essa política está em disponibilidade geral para o AKS (Serviço do Kubernetes) e para o Azure Arc habilitado para Kubernetes. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 6.2.0
Os pods e os contêineres de cluster do Kubernetes devem ser executados somente com IDs de usuário e de grupo aprovadas Controle as IDs de usuário, de grupo primário, de grupo complementar e de grupo do sistema de arquivos que os pods e os contêineres podem usar para a execução em um Cluster do Kubernetes. Essa política está em disponibilidade geral para o AKS (Serviço do Kubernetes) e em versão prévia para o Azure Arc habilitado para Kubernetes. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 6.2.0
Os pods do cluster do Kubernetes devem usar somente o intervalo de portas e a rede do host aprovados Restrinja o acesso do pod à rede do host e ao intervalo de portas de host permitido em um cluster do Kubernetes. Essa recomendação faz parte do CIS 5.2.4, que se destina a aprimorar a segurança de seus ambientes do Kubernetes. Essa política está em disponibilidade geral para o AKS (Serviço do Kubernetes) e em versão prévia para o Azure Arc habilitado para Kubernetes. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 6.2.0
Os serviços de cluster do Kubernetes devem escutar somente em portas permitidas Restringir serviços para escutar somente nas portas permitidas para proteger o acesso ao cluster do Kubernetes. Essa política está em disponibilidade geral para o AKS (Serviço do Kubernetes) e em versão prévia para o Azure Arc habilitado para Kubernetes. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 8.2.0
O cluster do Kubernetes não deve permitir contêineres privilegiados Não permita a criação de contêineres com privilégios no cluster do Kubernetes. Essa recomendação faz parte do CIS 5.2.1, que se destina a aprimorar a segurança de seus ambientes do Kubernetes. Essa política está em disponibilidade geral para o AKS (Serviço do Kubernetes) e em versão prévia para o Azure Arc habilitado para Kubernetes. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 9.2.0
Os clusters do Kubernetes devem ser acessíveis somente via HTTPS O uso do HTTPS garante a autenticação e protege os dados em trânsito de ataques de interceptação de camada de rede. Atualmente, essa funcionalidade está em disponibilidade geral para o AKS (Serviço do Kubernetes) e em versão prévia para o Kubernetes habilitado para Azure Arc. Para obter mais informações, visite https://aka.ms/kubepolicydoc auditar, Auditar, negar, Negar, desabilitado, Desabilitado 8.2.0
Os clusters do Kubernetes devem desabilitar as credenciais de API montagem automática Desabilite as credenciais da API de montagem automática para evitar que um recurso Pod potencialmente comprometido execute comandos de API em clusters do Kubernetes. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 4.2.0
Os clusters do Kubernetes não devem permitir a elevação de privilégio de contêiner Não permita que os contêineres sejam executados com escalonamento de privilégios para a raiz em um cluster do Kubernetes. Essa recomendação faz parte do CIS 5.2.5, que se destina a aprimorar a segurança de seus ambientes do Kubernetes. Essa política está em disponibilidade geral para o AKS (Serviço do Kubernetes) e em versão prévia para o Azure Arc habilitado para Kubernetes. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 7.2.0
Os clusters do Kubernetes não devem conceder capacidades de segurança CAP_SYS_ADMIN Para reduzir a superfície de ataque dos seus contêineres, restrinja as funcionalidades CAP_SYS_ADMIN do Linux. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 5.1.0
Os clusters do Kubernetes não devem usar o namespace padrão Impeça o uso do namespace padrão em clusters do Kubernetes para proteger contra acesso não autorizado para tipos de recursos ConfigMap, Pod, Segredo, Serviço e ServiceAccount. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 4.2.0
Os computadores Linux devem atender aos requisitos da linha de base de segurança de computação do Azure Requer que os pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. Os computadores não estarão em conformidade se não estiverem configurados corretamente para uma das recomendações na linha de base de segurança de computação do Azure. AuditIfNotExists, desabilitado 2.2.0
As máquinas virtuais do Linux devem habilitar o Azure Disk Encryption ou EncryptionAtHost. Embora o sistema operacional e os discos de dados de uma máquina virtual sejam criptografados em repouso por padrão usando chaves gerenciadas pela plataforma, discos de recurso (discos temporários), caches de dados e dados que fluem entre recursos de computação e armazenamento não são criptografados. Use o Azure Disk Encryption ou EncryptionAtHost para corrigir. Visite https://aka.ms/diskencryptioncomparison para comparar as ofertas de criptografia. Esta política requer dois pré-requisitos a serem implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. AuditIfNotExists, desabilitado 1.2.1
Os computadores devem ser configurados para verificar periodicamente se há atualizações do sistema ausentes Para garantir que as avaliações periódicas de atualizações do sistema ausentes sejam disparadas automaticamente a cada 24 horas, a propriedade AssessmentMode deve ser definida como 'AutomaticByPlatform'. Saiba mais sobre a propriedade AssessmentMode para Windows: https://aka.ms/computevm-windowspatchassessmentmode, para Linux: https://aka.ms/computevm-linuxpatchassessmentmode. Audit, Deny, desabilitado 3.7.0
Os computadores devem ter as descobertas secretas resolvidas Audita máquinas virtuais para detectar se elas contêm descobertas secretas das soluções de verificação do segredo em suas máquinas virtuais. AuditIfNotExists, desabilitado 1.0.2
As portas de gerenciamento de máquinas virtuais devem ser protegidas com o controle de acesso à rede just-in-time O possível acesso JIT (Just In Time) da rede será monitorado pela Central de Segurança do Azure como recomendação AuditIfNotExists, desabilitado 3.0.0
Portas de gerenciamento devem ser fechadas nas máquinas virtuais As portas abertas de gerenciamento remoto estão expondo sua VM a um alto nível de risco de ataques baseados na Internet. Estes ataques tentam obter credenciais por força bruta para obter acesso de administrador à máquina. AuditIfNotExists, desabilitado 3.0.0
O GPSN do Microsoft Defender deve estar habilitado O GPSN (gerenciamento da postura de segurança na nuvem) do Defender oferece funcionalidades de postura aprimoradas e um novo grafo de segurança de nuvem inteligente para ajudar a identificar, priorizar e reduzir riscos. O GPSN do Defender está disponível além das funcionalidades básicas gratuitas de postura de segurança ativadas por padrão no Defender para Nuvem. AuditIfNotExists, desabilitado 1.0.0
O Microsoft Defender para APIs deve estar habilitado O Microsoft Defender para APIs traz uma nova cobertura de descoberta, proteção, detecção e resposta para monitorar ataques comuns e configurações incorretas de segurança baseados em API. AuditIfNotExists, desabilitado 1.0.3
O Microsoft Defender para Contêineres deve estar habilitado O Microsoft Defender para Contêineres fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes do Azure, híbridos e de várias nuvens. AuditIfNotExists, desabilitado 1.0.0
O Microsoft Defender para SQL deve ser habilitado nos workspaces do Azure Synapse desprotegidos Habilite o Defender para SQL para proteger os workspaces do Azure Synapse. O Defender para SQL monitora o SQL do Synapse para detectar atividades anômalas que indiquem tentativas incomuns e possivelmente prejudiciais de acessar ou explorar bancos de dados. AuditIfNotExists, desabilitado 1.0.0
O status do Microsoft Defender para SQL deve ser protegido para SQL Servers habilitados para Arc O Microsoft Defender para SQL oferece funcionalidade para expor e reduzir possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que podem indicar ameaças aos Bancos de Dados SQL, descobrir e classificar dados confidenciais. Uma vez habilitado, o status de proteção indica que o recurso é monitorado ativamente. Mesmo quando o Defender está habilitado, várias definições de configuração devem ser validadas no agente, no computador, no workspace e no SQL Server para garantir a proteção ativa. Audit, desabilitado 1.0.1
O Microsoft Defender para Armazenamento deve estar habilitado O Microsoft Defender para Armazenamento detecta ameaças potenciais às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e dados corrompidos. O novo plano do Defender para Armazenamento inclui Verificação de Malware e Detecção de Ameaças a Dados Confidenciais. Este plano também fornece uma estrutura de preços previsível (por conta de armazenamento) para controle da cobertura e dos custos. AuditIfNotExists, desabilitado 1.0.0
Os servidores MySQL devem usar chaves gerenciadas pelo cliente para criptografar dados inativos Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso de seus servidores MySQL. Por padrão, os dados são criptografados em repouso com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Azure Key Vault criada por você e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. AuditIfNotExists, desabilitado 1.0.4
O Observador de Rede deve ser habilitado O Observador de Rede é um serviço regional que permite monitorar e diagnosticar as condições em um nível do cenário da rede em, para e a partir do Azure. O monitoramento de nível do cenário permite diagnosticar problemas em um modo de exibição de nível de rede de ponta a ponta. É necessário ter um grupo de recursos do Observador de Rede a ser criado em todas as regiões em que uma rede virtual está presente. Um alerta será habilitado se um grupo de recursos do Observador de Rede não estiver disponível em uma região específica. AuditIfNotExists, desabilitado 3.0.0
Máquinas virtuais não voltadas para a Internet devem ser protegidas com grupos de segurança de rede Proteja suas máquinas virtuais não voltadas para a Internet contra possíveis ameaças, restringindo o acesso com um NSG (grupo de segurança de rede). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc AuditIfNotExists, desabilitado 3.0.0
Somente conexões seguras com o Cache do Azure para Redis devem ser habilitadas Auditoria de habilitação de somente conexões via SSL ao Cache Redis do Azure. O uso de conexões seguras garante a autenticação entre o servidor e o serviço e protege os dados em trânsito dos ataques de camada de rede, como man-in-the-middle, espionagem e sequestro de sessão Audit, Deny, desabilitado 1.0.0
Os servidores PostgreSQL devem usar chaves gerenciadas pelo cliente para criptografar dados inativos Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso de seus servidores PostgreSQL. Por padrão, os dados são criptografados em repouso com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Azure Key Vault criada por você e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. AuditIfNotExists, desabilitado 1.0.4
As conexões de ponto de extremidade privado nos Banco de Dados SQL do Azure devem ser habilitadas As conexões de ponto de extremidade privado impõem comunicações seguras habilitando a conectividade privada ao Banco de Dados SQL do Azure. Audit, desabilitado 1.1.0
O ponto de extremidade privado deve ser habilitado para servidores MariaDB As conexões de ponto de extremidade privado impõem comunicações seguras habilitando a conectividade privada ao Banco de Dados do Azure para MariaDB. Configure uma conexão de ponto de extremidade privado para habilitar o acesso ao tráfego proveniente somente de redes conhecidas e impedir o acesso de todos os outros endereços IP, incluindo no Azure. AuditIfNotExists, desabilitado 1.0.2
O ponto de extremidade privado deve ser habilitado para servidores MySQL As conexões de ponto de extremidade privado impõem comunicações seguras habilitando a conectividade privada ao Banco de Dados do Azure para MySQL. Configure uma conexão de ponto de extremidade privado para habilitar o acesso ao tráfego proveniente somente de redes conhecidas e impedir o acesso de todos os outros endereços IP, incluindo no Azure. AuditIfNotExists, desabilitado 1.0.2
O ponto de extremidade privado deve ser habilitado para servidores PostgreSQL As conexões de ponto de extremidade privado impõem comunicações seguras habilitando a conectividade privada ao Banco de Dados do Azure para PostgreSQL. Configure uma conexão de ponto de extremidade privado para habilitar o acesso ao tráfego proveniente somente de redes conhecidas e impedir o acesso de todos os outros endereços IP, incluindo no Azure. AuditIfNotExists, desabilitado 1.0.2
O acesso à rede pública no Banco de Dados SQL do Azure deve ser desabilitado Desabilitar a propriedade de acesso à rede pública aprimora a segurança garantindo que o Banco de Dados SQL do Azure só possa ser acessado de um ponto de extremidade privado. Essa configuração nega todos os logons que correspondam às regras de firewall baseadas em rede virtual ou em IP. Audit, Deny, desabilitado 1.1.0
O acesso à rede pública deve ser desabilitado para servidores MariaDB Desabilitar a propriedade de acesso à rede pública aprimora a segurança e garantir que o Banco de Dados do Azure para MariaDB só possa ser acessado de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os logons que correspondam a regras de firewall baseadas em IP ou em rede virtual. Audit, Deny, desabilitado 2.0.0
O acesso à rede pública deve ser desabilitado para servidores MySQL Desabilitar a propriedade de acesso à rede pública aprimora a segurança e garantir que o Banco de Dados do Azure para MySQL só possa ser acessado de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os logons que correspondam a regras de firewall baseadas em IP ou em rede virtual. Audit, Deny, desabilitado 2.0.0
O acesso à rede pública deve ser desabilitado para servidores PostgreSQL Desabilitar a propriedade de acesso à rede pública aprimora a segurança e garantir que o Banco de Dados do Azure para PostgreSQL só possa ser acessado de um ponto de extremidade privado. Essa configuração desabilita o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os logons que correspondam a regras de firewall baseadas em IP ou em rede virtual. Audit, Deny, desabilitado 2.0.1
Os logs de recurso no Azure Data Lake Storage devem estar habilitados Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida AuditIfNotExists, desabilitado 5.0.0
Os registros de recursos nos Workspaces do Azure Databricks devem estar habilitados Os logs de recursos permitem a recriação de trilhas de atividades para uso em investigações quando ocorre um incidente de segurança ou quando sua rede é comprometida. AuditIfNotExists, desabilitado 1.0.1
Os logs de recursos no Serviço de Kubernetes do Azure devem ser habilitados Os logs de recurso do Serviço de Kubernetes do Azure podem ajudar a recriar trilhas de atividades ao investigar incidentes de segurança. Habilite-o para garantir que os logs existam quando necessário AuditIfNotExists, desabilitado 1.0.0
Os logs de recursos nos Workspaces do Azure Machine Learning devem estar habilitados Os logs de recursos permitem a recriação de trilhas de atividades para uso em investigações quando ocorre um incidente de segurança ou quando sua rede é comprometida. AuditIfNotExists, desabilitado 1.0.1
Os logs de recurso no Azure Stream Analytics devem estar habilitados Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida AuditIfNotExists, desabilitado 5.0.0
Os logs de recurso em contas do Lote devem estar habilitados Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida AuditIfNotExists, desabilitado 5.0.0
Os logs de recurso no Data Lake Analytics devem estar habilitados Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida AuditIfNotExists, desabilitado 5.0.0
Os logs de recurso no Hub de Eventos devem estar habilitados Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida AuditIfNotExists, desabilitado 5.0.0
Os logs de recurso no Hub IoT devem estar habilitados Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida AuditIfNotExists, desabilitado 3.1.0
Os logs de recurso no Key Vault devem estar habilitados Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida AuditIfNotExists, desabilitado 5.0.0
Os logs de recurso nos Aplicativos Lógicos devem estar habilitados Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida AuditIfNotExists, desabilitado 5.1.0
Os logs de recurso nos serviços de pesquisa devem estar habilitados Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida AuditIfNotExists, desabilitado 5.0.0
Os logs de recurso no Barramento de Serviço devem estar habilitados Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida AuditIfNotExists, desabilitado 5.0.0
O RBAC (controle de acesso baseado em função) deve ser usado nos Serviços de Kubernetes Para fornecer filtragem granular das ações que os usuários podem executar, use o RBAC (controle de acesso baseado em função) para gerenciar permissões nos clusters do Serviço de Kubernetes e configurar políticas de autorização relevantes. Audit, desabilitado 1.0.4
A transferência segura para contas de armazenamento deve ser habilitada Exigência de auditoria de transferência segura em sua conta de armazenamento. A transferência segura é uma opção que força a sua conta de armazenamento a aceitar somente solicitações de conexões seguras (HTTPS). O uso de HTTPS garante a autenticação entre o servidor e o serviço e protege dados em trânsito de ataques de camada de rede, como ataques intermediários, interceptação e sequestro de sessão Audit, Deny, desabilitado 2.0.0
A propriedade ClusterProtectionLevel dos clusters do Service Fabric deve ser definida como EncryptAndSign O Service Fabric fornece três níveis de proteção (Nenhum, Sinal e EncryptAndSign) para comunicação de nó a nó usando um certificado de cluster principal. Defina o nível de proteção para garantir que todas as mensagens de nó a nó sejam criptografadas e assinadas digitalmente Audit, Deny, desabilitado 1.1.0
Os clusters do Service Fabric só devem usar o Azure Active Directory para autenticação de cliente Auditar o uso da autenticação do cliente somente por meio do Active Directory do Azure no Service Fabric Audit, Deny, desabilitado 1.1.0
Os bancos de dados SQL devem ter as descobertas de vulnerabilidade resolvidas Monitore os resultados da verificação da avaliação de vulnerabilidades e as recomendações sobre como corrigir as vulnerabilidades do banco de dados. AuditIfNotExists, desabilitado 4.1.0
As instâncias gerenciadas de SQL devem usar chaves gerenciadas pelo cliente para criptografar dados inativos Implementar a TDE (Transparent Data Encryption) com chave própria proporciona maior transparência e controle sobre o protetor de TDE, mais segurança com um serviço externo com suporte a HSM e promoção de separação de tarefas. Essa recomendação se aplica a organizações com um requisito de conformidade relacionado. Audit, Deny, desabilitado 2.0.0
O provisionamento automático direcionado ao SQL Server deve ser habilitado para servidores SQL no plano de computadores Para garantir que as VMs do SQL e os SQL Servers habilitados para Arc estejam protegidos, verifique se o Agente de Monitoramento do Azure direcionado ao SQL está configurado para implantar automaticamente. Isso também é necessário se você já configurou o provisionamento automático do Microsoft Monitoring Agent, pois esse componente está sendo preterido. Saiba mais: https://aka.ms/SQLAMAMigration AuditIfNotExists, desabilitado 1.0.0
Os servidores SQL em computadores devem ter as descobertas de vulnerabilidade resolvidas A avaliação de vulnerabilidades do SQL examina o banco de dados em busca de vulnerabilidades de segurança e expõe os desvios das melhores práticas como configurações incorretas, permissões excessivas e dados confidenciais desprotegidos. Resolver as vulnerabilidades encontradas pode melhorar muito a postura de segurança de seu banco de dados. AuditIfNotExists, desabilitado 1.0.0
Os SQL Servers devem usar chaves gerenciadas pelo cliente para criptografar dados inativos Implementar a TDE (Transparent Data Encryption) com sua chave proporciona maior transparência e controle sobre o protetor de TDE, mais segurança com um serviço externo com suporte a HSM e promoção de separação de tarefas. Essa recomendação se aplica a organizações com um requisito de conformidade relacionado. Audit, Deny, desabilitado 2.0.1
Os servidores SQL com auditoria para o destino da conta de armazenamento devem ser configurados com retenção de 90 dias ou mais Para fins de investigação de incidentes, é recomendável configurar a retenção de dados para a auditoria do SQL Server no destino de conta de armazenamento para pelo menos 90 dias. Confirme que você está cumprindo as regras de retenção necessárias para as regiões em que está operando. Às vezes, isso é necessário para que você tenha conformidade com os padrões regulatórios. AuditIfNotExists, desabilitado 3.0.0
As contas de armazenamento devem ser migradas para os novos recursos do Azure Resource Manager Use o novo Azure Resource Manager para suas contas de armazenamento para fornecer aprimoramentos de segurança, como: controle de acesso (RBAC) mais forte, melhor auditoria, implantação e controle com base no Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves por segredos, autenticação baseada no Azure AD e suporte para marcas e grupos de recursos para facilitar o gerenciamento de segurança Audit, Deny, desabilitado 1.0.0
As contas de armazenamento devem impedir o acesso de chave compartilhada Requisito de auditoria do Azure AD (Azure Active Directory) para autorizar solicitações para sua conta de armazenamento. Por padrão, as solicitações podem ser autorizadas com as credenciais do Azure Active Directory ou usando a chave de acesso da conta para a autorização de chave compartilhada. Desses dois tipos de autorização, o Azure AD fornece segurança superior e facilidade de uso em relação à chave compartilhada e é recomendado pela Microsoft. Audit, Deny, desabilitado 2.0.0
As contas de armazenamento devem restringir o acesso da rede O acesso da rede às contas de armazenamento deve ser restrito. Configure as regras de rede de tal forma que somente os aplicativos das redes permitidas possam acessar a conta de armazenamento. Para permitir conexões de clientes específicos locais ou da Internet, o acesso pode ser permitido para o tráfego de redes virtuais específicas do Azure ou para intervalos de endereços IP públicos da Internet Audit, Deny, desabilitado 1.1.1
As contas de armazenamento devem restringir o acesso à rede usando regras de rede virtual Proteja suas contas de armazenamento contra possíveis ameaças usando regras de rede virtual como um método preferencial, em vez de filtragem baseada em IP. Desabilitar filtragem baseada em IP impede que IPs públicos acessem suas contas de armazenamento. Audit, Deny, desabilitado 1.0.1
As contas de armazenamento devem usar uma chave gerenciada pelo cliente para criptografia Proteja sua conta de armazenamento de blobs e arquivos com maior flexibilidade usando chaves gerenciadas pelo cliente. Quando você especifica uma chave gerenciada pelo cliente, essa chave é usada para proteger e controlar o acesso à chave que criptografa os dados. O uso de chaves gerenciadas pelo cliente fornece funcionalidades adicionais para controlar a rotação da principal chave de criptografia ou para apagar dados criptograficamente. Audit, desabilitado 1.0.3
As contas de armazenamento devem usar um link privado O Link Privado do Azure permite que você conecte sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de Link Privado manipula a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Quando os pontos de extremidade privados são mapeados para a conta de armazenamento, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em https://aka.ms/azureprivatelinkoverview AuditIfNotExists, desabilitado 2.0.0
As sub-redes devem ser associadas a um Grupo de Segurança de Rede Proteja sua sub-rede contra possíveis ameaças, restringindo o acesso a ela com um NSG (Grupo de Segurança de Rede). Os NSGs contêm uma lista de regras de ACL (lista de controle de acesso) que permitem ou negam o tráfego de rede para sua sub-rede. AuditIfNotExists, desabilitado 3.0.0
As assinaturas devem ter um endereço de email de contato para problemas de segurança Para que as pessoas relevantes em sua organização sejam notificadas quando houver uma potencial violação de segurança em uma das suas assinaturas, defina um contato de segurança para receber notificações por email da Central de Segurança. AuditIfNotExists, desabilitado 1.0.1
Os Workspaces do Synapse devem ter a autenticação somente do Microsoft Entra habilitada Exigir que os workspaces do Synapse usem a autenticação somente do Microsoft Entra. Essa política não impede que workspaces sejam criados com a autenticação local habilitada. Ela impede que a autenticação local seja habilitada nos recursos após a criação. Considere usar a iniciativa "Autenticação somente do Microsoft Entra" para exigir ambos. Saiba mais em: https://aka.ms/Synapse. Audit, Deny, desabilitado 1.0.0
Os Workspaces do Synapse devem usar apenas as identidades do Microsoft Entra para autenticação durante a criação do workspace Exigir que workspaces do Synapse sejam criados com a autenticação somente do Microsoft Entra. Essa política não impede que a autenticação local seja reabilitada nos recursos após a criação. Considere usar a iniciativa "Autenticação somente do Microsoft Entra" para exigir ambos. Saiba mais em: https://aka.ms/Synapse. Audit, Deny, desabilitado 1.2.0
As atualizações do sistema devem ser instaladas em seus computadores (da plataforma de atualização) As atualizações de sistema, segurança e críticas estão ausentes em seus computadores. As atualizações de software geralmente incluem patches críticos para brechas de segurança. Essas brechas costumam ser exploradas em ataques de malware, portanto, é vital manter seu software atualizado. Para instalar todos os patches pendentes e proteger seus computadores, siga as etapas de correção. AuditIfNotExists, desabilitado 1.0.1
Deve haver mais de um proprietário atribuído à sua assinatura Recomenda-se designar mais de um proprietário de assinatura para ter redundância de acesso de administrador. AuditIfNotExists, desabilitado 3.0.0
A Transparent Data Encryption em bancos de dados SQL deve ser habilitada A Transparent Data Encryption deve ser habilitada para proteger os dados em repouso e atender aos requisitos de conformidade AuditIfNotExists, desabilitado 2.0.0
As máquinas virtuais e os conjuntos de dimensionamento de máquinas virtuais devem ter criptografia no host habilitada Use a criptografia no host para obter criptografia de ponta a ponta para sua máquina virtual e dados do conjunto de dimensionamento de máquinas virtuais. A criptografia no host habilita a criptografia em repouso para o disco temporário e caches de disco de dados/do sistema operacional. Discos do sistema operacional temporários e efêmeros são criptografados com chaves gerenciadas pela plataforma quando a criptografia no host está habilitada. Caches de disco de dados/do sistema operacional são criptografados em repouso com chave de criptografia gerenciada pela plataforma ou pelo cliente, dependendo do tipo de criptografia selecionado no disco. Saiba mais em https://aka.ms/vm-hbe. Audit, Deny, desabilitado 1.0.0
As máquinas virtuais devem ser migradas para os novos recursos do Azure Resource Manager Use o novo Azure Resource Manager para suas máquinas virtuais a fim de fornecer melhorias de segurança como: RBAC (controle de acesso) mais forte, melhor auditoria, implantação e governança baseadas no Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves para segredos, autenticação baseada no Azure AD e suporte para marcas e grupos de recursos visando facilitar o gerenciamento da segurança Audit, Deny, desabilitado 1.0.0
A extensão de Configuração de Convidado das máquinas virtuais deve ser implantada com a identidade gerenciada atribuída ao sistema A extensão de configuração de convidado exige uma identidade gerenciada atribuída ao sistema. As máquinas virtuais do Azure no escopo desta política não estarão em conformidade quando tiverem a extensão de Configuração de Convidado instalada, mas não tiverem uma identidade gerenciada atribuída ao sistema. Saiba mais em https://aka.ms/gcpol AuditIfNotExists, desabilitado 1.0.1
Os modelos do Construtor de Imagens de VM devem usar o link privado O Link Privado do Azure permite que você conecte sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de Link Privado manipula a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus recursos de criação do Construtor de Imagens de VM, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet. Auditoria, desabilitado, negação 1.1.0
Os gateways de VPN devem usar somente a autenticação do Azure AD (Active Directory) para usuários de ponto a site Desabilitar os métodos de autenticação local melhora a segurança, garantindo que os gateways de VPN usem apenas identidades do Azure Active Directory para a autenticação. Para saber mais sobre a autenticação do Azure AD, confira https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant Audit, Deny, desabilitado 1.0.0
As vulnerabilidades da configuração de segurança nas máquinas devem ser corrigidas Os servidores que não atenderem à linha de base configurada serão monitorados pela Central de Segurança do Azure como recomendações AuditIfNotExists, desabilitado 3.1.0
A avaliação de vulnerabilidades deve estar habilitada na Instância Gerenciada de SQL Audite cada Instância Gerenciada de SQL que não tem verificações recorrentes de avaliação de vulnerabilidade habilitadas. A avaliação de vulnerabilidades pode descobrir, acompanhar e ajudar a corrigir possíveis vulnerabilidades do banco de dados. AuditIfNotExists, desabilitado 1.0.1
A avaliação da vulnerabilidade deve ser habilitada nos servidores SQL Audite os servidores SQL do Azure sem verificações recorrentes de avaliação de vulnerabilidade ativadas. A avaliação de vulnerabilidades pode descobrir, acompanhar e ajudar a corrigir possíveis vulnerabilidades do banco de dados. AuditIfNotExists, desabilitado 3.0.0
O WAF (Firewall do Aplicativo Web) deve ser habilitado para o Gateway de Aplicativo Implante o WAF (Firewall de Aplicativo Web) do Azure na frente de aplicativos Web voltados para o público para que haja uma inspeção adicional do tráfego de entrada. O WAF (Firewall de Aplicativo Web) fornece proteção centralizada de seus aplicativos Web contra vulnerabilidades e explorações comuns como injeções de SQL, Cross-Site Scripting e execuções de arquivo locais e remotas. Você também pode restringir o acesso aos seus aplicativos Web de países, intervalos de endereços IP e outros parâmetros http(s) por meio de regras personalizadas. Audit, Deny, desabilitado 2.0.0
O Microsoft Defender Exploit Guard deve estar habilitado nos computadores O Microsoft Defender Exploit Guard usa o agente de Configuração de Convidado do Azure Policy. O Exploit Guard tem quatro componentes que foram projetados para bloquear dispositivos contra uma ampla variedade de vetores de ataque e comportamentos de bloqueio comumente usados em ataques de malware, permitindo que as empresas encontrem um equilíbrio entre os requisitos de produtividade e o risco de segurança enfrentados (somente Windows). AuditIfNotExists, desabilitado 2.0.0
Os computadores Windows devem ser configurados para usar protocolos de comunicação seguros Para proteger a privacidade das informações comunicadas pela Internet, os computadores devem usar a última versão do protocolo de criptografia padrão do setor, o protocolo TLS. O TLS protege as comunicações em uma rede criptografando uma conexão entre computadores. AuditIfNotExists, desabilitado 4.1.1
Os computadores Windows devem atender aos requisitos da linha de base de segurança de computação do Azure Requer que os pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. Os computadores não estarão em conformidade se não estiverem configurados corretamente para uma das recomendações na linha de base de segurança de computação do Azure. AuditIfNotExists, desabilitado 2.0.0
As máquinas virtuais do Windows devem habilitar o Azure Disk Encryption ou EncryptionAtHost. Embora o sistema operacional e os discos de dados de uma máquina virtual sejam criptografados em repouso por padrão usando chaves gerenciadas pela plataforma, discos de recurso (discos temporários), caches de dados e dados que fluem entre recursos de computação e armazenamento não são criptografados. Use o Azure Disk Encryption ou EncryptionAtHost para corrigir. Visite https://aka.ms/diskencryptioncomparison para comparar as ofertas de criptografia. Esta política requer dois pré-requisitos a serem implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. AuditIfNotExists, desabilitado 1.1.1

Categoria do Microsoft Defender para Nuvem

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
[Versão prévia]: o agente de Segurança do Azure deve ser instalado nos seus computadores Linux do Arc Instale o agente de Segurança do Azure nos seus computadores Linux do Arc para monitorar os computadores em busca de configurações e vulnerabilidades. Os resultados das avaliações podem ser vistos e gerenciados na Central de Segurança do Azure. AuditIfNotExists, desabilitado 1.0.0 – versão prévia
[Versão prévia]: o agente de Segurança do Azure deve ser instalado nos seus conjuntos de dimensionamento de máquinas virtuais do Linux Instale o agente de Segurança do Azure nos conjuntos de dimensionamento de máquinas virtuais do Linux para monitorar as configurações de segurança e as vulnerabilidades de seus computadores. Os resultados das avaliações podem ser vistos e gerenciados na Central de Segurança do Azure. AuditIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: o agente de Segurança do Azure deve ser instalado nas suas máquinas virtuais do Linux Instale o agente de Segurança do Azure em suas máquinas virtuais Linux para monitorar as configurações de segurança e as vulnerabilidades de seus computadores. Os resultados das avaliações podem ser vistos e gerenciados na Central de Segurança do Azure. AuditIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: o agente de Segurança do Azure deve ser instalado nos seus computadores Windows do Arc Instale o agente de Segurança do Azure nos seus computadores Windows do Arc para monitorar os computadores em busca de configurações e vulnerabilidades. Os resultados das avaliações podem ser vistos e gerenciados na Central de Segurança do Azure. AuditIfNotExists, desabilitado 1.0.0 – versão prévia
[Versão prévia]: o agente de Segurança do Azure deve ser instalado nos seus conjuntos de dimensionamento de máquinas virtuais do Windows Instale o agente de Segurança do Azure em seus conjuntos de dimensionamento de máquinas virtuais do Windows para monitorar as configurações e as vulnerabilidades de segurança de seus computadores. Os resultados das avaliações podem ser vistos e gerenciados na Central de Segurança do Azure. AuditIfNotExists, desabilitado 2.1.0 – versão prévia
[Versão prévia]: o agente de Segurança do Azure deve ser instalado nas suas máquinas virtuais do Windows Instale o agente de segurança do Azure em suas máquinas virtuais do Windows para monitorar as configurações de segurança e as vulnerabilidades de seus computadores. Os resultados das avaliações podem ser vistos e gerenciados na Central de Segurança do Azure. AuditIfNotExists, desabilitado 2.1.0 – versão prévia
[Versão prévia]: a extensão ChangeTracking deve ser instalada em seu computador Linux do Arc Instale a extensão ChangeTracking nos computadores Linux do Arc para habilitar o FIM (monitoramento de integridade do arquivo) na Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, Registros do Windows, softwares de aplicativo, arquivos do sistema Linux e muito mais, verificando alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e em locais com suporte do Agente de Monitoramento do Azure. AuditIfNotExists, desabilitado 1.0.0 – versão prévia
[Versão prévia]: a extensão ChangeTracking deve ser instalada em sua máquina virtual Linux Instale a extensão ChangeTracking em máquinas virtuais do Linux para habilitar o FIM (monitoramento de integridade do arquivo) na Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, Registros do Windows, softwares de aplicativo, arquivos do sistema Linux e muito mais, verificando alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e em locais com suporte do Agente de Monitoramento do Azure. AuditIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: a extensão ChangeTracking deve ser instalada em seus conjuntos de dimensionamento de máquinas virtuais do Linux Instale a extensão ChangeTracking em conjuntos de dimensionamento de máquinas virtuais do Linux para habilitar o FIM (monitoramento de integridade do arquivo) na Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, Registros do Windows, softwares de aplicativo, arquivos do sistema Linux e muito mais, verificando alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e em locais com suporte do Agente de Monitoramento do Azure. AuditIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: a extensão ChangeTracking deve ser instalada em seu computador Windows do Arc Instale a extensão ChangeTracking nos computadores Windows do Arc para habilitar o FIM (monitoramento de integridade do arquivo) na Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, Registros do Windows, softwares de aplicativo, arquivos do sistema Linux e muito mais, verificando alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e em locais com suporte do Agente de Monitoramento do Azure. AuditIfNotExists, desabilitado 1.0.0 – versão prévia
[Versão prévia]: a extensão ChangeTracking deve ser instalada em sua máquina virtual do Windows Instale a extensão ChangeTracking em máquinas virtuais do Windows para habilitar o FIM (monitoramento de integridade do arquivo) na Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, Registros do Windows, softwares de aplicativo, arquivos do sistema Linux e muito mais, verificando alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e em locais com suporte do Agente de Monitoramento do Azure. AuditIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: a extensão ChangeTracking deve ser instalada em seus conjuntos de dimensionamento de máquinas virtuais do Windows Instale a extensão ChangeTracking em conjuntos de dimensionamento de máquinas virtuais do Windows para habilitar o FIM (monitoramento de integridade do arquivo) na Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, Registros do Windows, softwares de aplicativo, arquivos do sistema Linux e muito mais, verificando alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e em locais com suporte do Agente de Monitoramento do Azure. AuditIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: configurar o Azure Defender para SQL Agent na máquina virtual Configure computadores Windows para instalarem automaticamente o Azure Defender para SQL Agent em que o agente do Azure Monitor está instalado. A Central de Segurança coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas de proteção personalizadas (recomendações). Cria um grupo de recursos e um workspace do Log Analytics na mesma região que a do computador. As máquinas virtuais de destino devem estar em um local com suporte. DeployIfNotExists, desabilitado 1.0.0 – versão prévia
[Versão prévia]: configurar a Extensão ChangeTracking para computadores Linux do Arc Configure computadores Linux do Arc para instalar automaticamente a extensão ChangeTracking a fim de habilitar o FIM (monitoramento de integridade do arquivo) na Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, Registros do Windows, softwares de aplicativo, arquivos do sistema Linux e muito mais, verificando alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e em locais com suporte do Agente do Azure Monitor. DeployIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: configurar a extensão ChangeTracking para conjuntos de dimensionamento de máquinas virtuais do Linux Configure conjuntos de dimensionamento de máquinas virtuais do Linux para instalar automaticamente a extensão ChangeTracking a fim de habilitar o FIM (monitoramento de integridade do arquivo) na Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, Registros do Windows, softwares de aplicativo, arquivos do sistema Linux e muito mais, verificando alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e em locais com suporte do Agente do Azure Monitor. DeployIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: configurar a extensão ChangeTracking para máquinas virtuais do Linux Configure máquinas virtuais do Linux para instalar automaticamente a extensão ChangeTracking a fim de habilitar o FIM (monitoramento de integridade do arquivo) na Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, Registros do Windows, softwares de aplicativo, arquivos do sistema Linux e muito mais, verificando alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e em locais com suporte do Agente do Azure Monitor. DeployIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: configurar a Extensão ChangeTracking para computadores Windows do Arc Configure computadores Windows do Arc para instalar automaticamente a extensão ChangeTracking a fim de habilitar o FIM (monitoramento de integridade do arquivo) na Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, Registros do Windows, softwares de aplicativo, arquivos do sistema Linux e muito mais, verificando alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e em locais com suporte do Agente do Azure Monitor. DeployIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: configurar a Extensão ChangeTracking para conjuntos de dimensionamento de máquinas virtuais do Windows Configure conjuntos de dimensionamento de máquinas virtuais Windows para instalar automaticamente a extensão ChangeTracking a fim de habilitar o FIM (monitoramento de integridade do arquivo) na Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, Registros do Windows, softwares de aplicativo, arquivos do sistema Linux e muito mais, verificando alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e em locais com suporte do Agente do Azure Monitor. DeployIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: configurar a Extensão ChangeTracking para máquinas virtuais do Windows Configure máquinas virtuais do Windows para instalar automaticamente a extensão ChangeTracking a fim de habilitar o FIM (monitoramento de integridade do arquivo) na Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, Registros do Windows, softwares de aplicativo, arquivos do sistema Linux e muito mais, verificando alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e em locais com suporte do Agente do Azure Monitor. DeployIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: configurar os computadores Linux do Arc compatíveis para instalar automaticamente o agente de Segurança do Azure Configure os computadores Linux do Arc compatíveis para instalar automaticamente o agente de Segurança do Azure. A Central de Segurança coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas de proteção personalizadas (recomendações). Os computadores Linux do Arc de destino precisam estar em uma localização com suporte. DeployIfNotExists, desabilitado 1.0.0 – versão prévia
[Versão prévia]: configurar os conjuntos de dimensionamento de máquinas virtuais do Linux compatíveis para instalar automaticamente o agente de Segurança do Azure Configure as máquinas virtuais do Linux compatíveis para instalar automaticamente o agente de Segurança do Azure. A Central de Segurança coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas de proteção personalizadas (recomendações). As máquinas virtuais de destino devem estar em um local com suporte. DeployIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: configurar os conjuntos de dimensionamento de máquinas virtuais do Linux compatíveis para instalar automaticamente a extensão de Atestado de Convidado Configure os conjuntos de dimensionamento de máquinas virtuais do Linux compatíveis para instalar automaticamente a extensão Atestado de Convidado a fim de permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. A integridade da inicialização é atestada por meio do atestado remoto. DeployIfNotExists, desabilitado 6.1.0 – versão prévia
[Versão prévia]: configurar máquinas virtuais do Linux compatíveis para habilitar a Inicialização Segura automaticamente Configure as máquinas virtuais do Linux compatíveis para habilitar automaticamente a Inicialização Segura a fim de atenuar alterações mal-intencionadas e não autorizadas na cadeia de inicialização. Depois que ele for habilitado, somente os carregadores de inicialização, o kernel e os drivers de kernel poderão ser executados. DeployIfNotExists, desabilitado Versão prévia do 5.0.0
[Versão prévia]: configurar as máquinas virtuais do Linux compatíveis para instalar automaticamente o agente de Segurança do Azure Configure as máquinas virtuais do Linux compatíveis para instalar automaticamente o agente de Segurança do Azure. A Central de Segurança coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas de proteção personalizadas (recomendações). As máquinas virtuais de destino devem estar em um local com suporte. DeployIfNotExists, desabilitado 7.0.0-preview
[Versão prévia]: configurar as máquinas virtuais do Linux compatíveis para instalar automaticamente a extensão Atestado de Convidado Configure as máquinas virtuais do Linux compatíveis para instalar automaticamente a extensão Atestado de Convidado a fim de permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. A integridade da inicialização é atestada por meio do atestado remoto. DeployIfNotExists, desabilitado 7.1.0-preview
[Versão prévia]: configurar máquinas virtuais com suporte para habilitar vTPM automaticamente Configure máquinas virtuais compatíveis para habilitar automaticamente o vTPM a fim de facilitar a Inicialização Medida e outros recursos de segurança do sistema operacional que exigem um TPM. Depois que ele for habilitado, o vTPM pode ser usado para atestar a integridade da inicialização. DeployIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: configurar os computadores Windows do Arc com suporte para instalar automaticamente o agente de Segurança do Azure Configure os computadores Windows do Arc com suporte para instalar automaticamente o agente de Segurança do Azure. A Central de Segurança coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas de proteção personalizadas (recomendações). Os computadores Windows do Arc de destino precisam estar em uma localização com suporte. DeployIfNotExists, desabilitado 1.0.0 – versão prévia
[Versão prévia]: configurar computadores Windows com suporte para instalar automaticamente o agente de segurança do Azure Configurar computadores Windows com suporte para instalar automaticamente o agente de Segurança do Azure. A Central de Segurança coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas de proteção personalizadas (recomendações). As máquinas virtuais de destino devem estar em um local com suporte. DeployIfNotExists, desabilitado 5.1.0-preview
[Versão prévia]: configurar os conjuntos de dimensionamento de máquinas virtuais do Windows compatíveis para instalar automaticamente o agente de Segurança do Azure Configurar os conjuntos de dimensionamento de máquinas virtuais do Windows compatíveis para instalar automaticamente o agente de Segurança do Azure. A Central de Segurança coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas de proteção personalizadas (recomendações). Os Windows de escala de máquina virtual de destino devem estar em um local com suporte. DeployIfNotExists, desabilitado 2.1.0 – versão prévia
[Versão prévia]: configurar os conjuntos de dimensionamento de máquinas virtuais do Windows compatíveis para instalar automaticamente a extensão Atestado de Convidado Configure os conjuntos de dimensionamento de máquinas virtuais do Windows compatíveis para instalar automaticamente a extensão Atestado de Convidado a fim de permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. A integridade da inicialização é atestada por meio do atestado remoto. DeployIfNotExists, desabilitado 4.1.0 – versão prévia
[Versão prévia]: configurar máquinas virtuais do Windows com suporte para habilitar a Inicialização Segura automaticamente Configure as máquinas virtuais do Windows compatíveis para habilitar automaticamente a Inicialização Segura a fim de atenuar alterações mal-intencionadas e não autorizadas na cadeia de inicialização. Depois que ele for habilitado, somente os carregadores de inicialização, o kernel e os drivers de kernel poderão ser executados. DeployIfNotExists, desabilitado 3.0.0 – versão prévia
[Versão prévia]: configurar as máquinas virtuais do Windows compatíveis para instalar automaticamente a extensão Atestado de Convidado Configure as máquinas virtuais do Windows compatíveis para instalar automaticamente a extensão Atestado de Convidado a fim de permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. A integridade da inicialização é atestada por meio do atestado remoto. DeployIfNotExists, desabilitado 5.1.0-preview
[Versão prévia]: configurar VMs criadas com imagens da Galeria de Imagens Compartilhadas para instalar a extensão Atestado de Convidado Configure as máquinas virtuais criadas com as imagens da Galeria de Imagens Compartilhadas para instalar automaticamente a extensão Atestado de Convidado para permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. A integridade da inicialização é atestada por meio do atestado remoto. DeployIfNotExists, desabilitado 2.0.0-preview
[Versão prévia]: configurar VMSS criados com imagens da Galeria de Imagens Compartilhadas para instalar a extensão de Atestado de Convidado Configure os VMSS criados com as imagens da Galeria de Imagens Compartilhadas para instalar automaticamente a extensão Atestado de Convidado para permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. A integridade da inicialização é atestada por meio do atestado remoto. DeployIfNotExists, desabilitado 2.1.0 – versão prévia
[Versão prévia]: implantar o agente do Microsoft Defender para Ponto de Extremidade em computadores híbridos do Linux Implanta o agente do Microsoft Defender para Ponto de Extremidade em máquinas híbridas do Linux DeployIfNotExists, AuditIfNotExists, Desabilitado 2.0.1 – versão prévia
[Versão prévia]: implantar o agente do Microsoft Defender para Ponto de Extremidade para máquinas virtuais do Linux Implanta o agente do Microsoft Defender para Ponto de Extremidade em imagens de VM do Linux aplicáveis. DeployIfNotExists, AuditIfNotExists, Desabilitado 3.0.0 – versão prévia
[Versão prévia]: implantar o agente do Microsoft Defender para Ponto de Extremidade em computadores do Azure Arc do Windows Implanta o Microsoft Defender para Ponto de Extremidade em computadores do Azure Arc do Windows. DeployIfNotExists, AuditIfNotExists, Desabilitado 2.0.1 – versão prévia
[Versão prévia]: implantar o agente do Microsoft Defender para Ponto de Extremidade em máquinas virtuais do Windows Implanta o Microsoft Defender para Ponto de Extremidade em imagens de VM do Windows aplicáveis. DeployIfNotExists, AuditIfNotExists, Desabilitado 2.0.1 – versão prévia
[Versão prévia]: a extensão Atestado de Convidado deve ser instalada nas máquinas virtuais do Linux compatíveis Instale a extensão Atestado de Convidado em máquinas virtuais do Linux compatíveis a fim de permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. Após a instalação, a integridade da inicialização será atestada por meio do atestado remoto. Essa avaliação se aplica às máquinas virtuais do Linux Confidenciais e de Início Confiável. AuditIfNotExists, desabilitado 6.0.0-preview
[Versão prévia]: a extensão Atestado de Convidado deve ser instalada nos conjuntos de dimensionamento de máquinas virtuais do Linux compatíveis Instale a extensão Atestado de Convidado em conjuntos de dimensionamento de máquinas virtuais do Linux compatíveis a fim de permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. Após a instalação, a integridade da inicialização será atestada por meio do atestado remoto. Essa avaliação se aplica aos conjuntos de dimensionamento de máquinas virtuais de início confiável e Linux Confidencial. AuditIfNotExists, desabilitado 5.1.0-preview
[Versão prévia]: a extensão Atestado de Convidado deve ser instalada em máquinas virtuais do Windows compatíveis Instale a extensão Atestado de Convidado em máquinas virtuais compatíveis a fim de permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. Após a instalação, a integridade da inicialização será atestada por meio do atestado remoto. Essa avaliação se aplica às máquinas virtuais do Windows Confidenciais e de Início Confiável. AuditIfNotExists, desabilitado 4.0.0 – versão prévia
[Versão prévia]: a extensão Atestado de Convidado deve ser instalada nos conjuntos de dimensionamento de máquinas virtuais do Windows compatíveis Instale a extensão Atestado de Convidado em conjuntos de dimensionamento de máquinas virtuais compatíveis a fim de permitir que a Central de Segurança do Azure ateste e monitore de maneira proativa a integridade da inicialização. Após a instalação, a integridade da inicialização será atestada por meio do atestado remoto. Essa avaliação se aplica aos conjuntos de dimensionamento de máquinas virtuais de início confiável e Windows Confidencial. AuditIfNotExists, desabilitado 3.1.0 – versão prévia
[Versão prévia]: as máquinas virtuais do Linux devem usar somente componentes de inicialização confiáveis e assinados Todos os componentes de inicialização do sistema operacional (carregador de inicialização, kernel, drivers do kernel) devem ser assinados por fornecedores confiáveis. O Defender para Nuvem identificou componentes de inicialização de sistema operacional não confiáveis em um ou mais de seus computadores Linux. Para proteger seus computadores contra componentes potencialmente mal-intencionados, adicione-os à lista de permissão ou remova os componentes identificados. AuditIfNotExists, desabilitado 1.0.0 – versão prévia
[Versão prévia]: as máquinas virtuais do Linux devem usar a Inicialização Segura Para proteger contra a instalação de rootkits baseados em malware e kits de inicialização, habilite a Inicialização Segura em máquinas virtuais do Linux compatíveis. A Inicialização segura garante que somente os drivers e sistemas operacionais assinados tenham permissão para serem executados. Essa avaliação só se aplica a máquinas virtuais do Linux com o agente do Azure Monitor instalado. AuditIfNotExists, desabilitado 1.0.0 – versão prévia
[Versão prévia]: os computadores devem ter portas fechadas que possam expor vetores de ataque Os termos de uso do Azure proíbem o uso de serviços do Azure de maneiras que possam danificar, desabilitar, sobrecarregar ou prejudicar qualquer servidor da Microsoft ou a rede. As portas expostas identificadas por essa recomendação precisam ser fechadas para a manutenção da sua segurança. Para cada porta identificada, a recomendação também fornece uma explicação da ameaça potencial. AuditIfNotExists, desabilitado 1.0.0 – versão prévia
[Versão prévia]: a Inicialização Segura deve estar habilitada em máquinas virtuais Windows compatíveis Habilite a Inicialização Segura nas máquinas virtuais do Windows compatíveis para atenuar alterações mal-intencionadas e não autorizadas na cadeia de inicialização. Depois que ele for habilitado, somente os carregadores de inicialização, o kernel e os drivers de kernel poderão ser executados. Essa avaliação se aplica às máquinas virtuais do Windows Confidenciais e de Início Confiável. Audit, desabilitado 4.0.0 – versão prévia
[Versão prévia]: o status de atestado de convidado de máquinas virtuais deve ser íntegro O atestado de convidado é executado enviando um TCGLog (log confiável) para um servidor de atestado. O servidor usa esses logs para determinar se os componentes de inicialização são confiáveis. Essa avaliação destina-se a detectar comprometimentos da cadeia de inicialização que podem ser o resultado de uma infecção do kit de inicialização ou do rootkit. Essa avaliação só se aplica a máquinas virtuais habilitadas para Início Confiável que têm a extensão de Atestado de Convidado instalada. AuditIfNotExists, desabilitado 1.0.0 – versão prévia
[Versão prévia]: o vTPM deve estar habilitado nas máquinas virtuais compatíveis Habilite o dispositivo TPM virtual em máquinas virtuais compatíveis para facilitar Inicialização Medida e outros recursos de segurança do sistema operacional que exigem um TPM. Depois que ele for habilitado, o vTPM pode ser usado para atestar a integridade da inicialização. Essa avaliação só se aplica a máquinas virtuais habilitadas para início confiável. Audit, desabilitado 2.0.0-preview
Um máximo de três proprietários deve ser designado para sua assinatura Recomenda-se designar até 3 proprietários de assinaturas para reduzir o potencial de violação por parte de um proprietário comprometido. AuditIfNotExists, desabilitado 3.0.0
Uma solução de avaliação de vulnerabilidade deve ser habilitada nas máquinas virtuais Audita as máquinas virtuais para detectar se elas estão executando uma solução de avaliação de vulnerabilidade compatível. Um componente principal de cada programa de segurança e risco cibernético é a identificação e a análise das vulnerabilidades. O tipo de preço padrão da Central de Segurança do Azure inclui a verificação de vulnerabilidade para as máquinas virtuais sem custo adicional. Além disso, a Central de Segurança pode implantar essa ferramenta automaticamente para você. AuditIfNotExists, desabilitado 3.0.0
Contas com permissões de proprietário em recursos do Azure devem estar habilitadas para MFA A autenticação Multifator do Microsoft Azure (MFA) deve ser ativada para todas as contas de assinatura com permissões de proprietário para evitar uma quebra de contas ou recursos. AuditIfNotExists, desabilitado 1.0.0
Contas com permissões de leitura em recursos do Azure devem estar habilitadas para MFA A autenticação Multifator do Microsoft Azure (MFA) deve ser ativada para todas as contas de assinatura com privilégios de leitura para evitar uma quebra de contas ou recursos. AuditIfNotExists, desabilitado 1.0.0
Contas com permissões de gravação em recursos do Azure devem estar habilitadas para MFA A autenticação Multifator do Microsoft Azure (MFA) deve estar habilitada para todas as contas de assinatura com privilégios de gravação para evitar uma quebra de contas ou recursos. AuditIfNotExists, desabilitado 1.0.0
Todas as portas de rede devem ser restritas nos grupos de segurança de rede associados à sua máquina virtual A Central de Segurança do Azure identificou algumas das regras de entrada de seus grupos de segurança de rede como permissivas demais. As regras de entrada não devem permitir o acesso por meio de intervalos "Qualquer" ou "Internet". Isso tem o potencial de tornar seus recursos alvos de invasores. AuditIfNotExists, desabilitado 3.0.0
Os pontos de extremidade de API no Gerenciamento de API do Azure devem ser autenticados Os pontos de extremidade de API publicados no Gerenciamento de API do Azure devem impor a autenticação para ajudar a minimizar o risco de segurança. Às vezes, os mecanismos de autenticação são implementados incorretamente ou estão ausentes. Isso permite que os invasores explorem falhas de implementação e acessem dados. Saiba mais sobre a ameaça de API OWASP para autenticação de usuário quebrada aqui: https://learn.microsoft.com/azure/api-management/mitigate-owasp-api-threats#broken-user-authentication AuditIfNotExists, desabilitado 1.0.1
Os pontos de extremidade de API que não são usados devem ser desabilitados e removidos do serviço de Gerenciamento de API do Azure Como prática recomendada de segurança, os pontos de extremidade de API que não recebem tráfego há 30 dias são considerados não utilizados e devem ser removidos do serviço de Gerenciamento de API do Azure. Manter pontos de extremidade de API não utilizados pode representar um risco de segurança para sua organização. Podem ser APIs que deveriam ter sido preteridas do serviço de Gerenciamento de API do Azure, mas que podem ter sido acidentalmente deixadas ativas. Normalmente, essas APIs não recebem a cobertura de segurança mais atualizada. AuditIfNotExists, desabilitado 1.0.1
Os intervalos de IP autorizados devem ser definidos nos Serviços do Kubernetes Restrinja o acesso à API de Gerenciamento de Serviços do Kubernetes permitindo acesso à API somente aos endereços IP em intervalos específicos. Recomendamos limitar o acesso aos intervalos de IP autorizados para garantir que somente os aplicativos de redes permitidas possam acessar o cluster. Audit, desabilitado 2.0.1
A Proteção contra DDoS do Azure deve ser habilitada A Proteção contra DDoS deve ser habilitada para todas as redes virtuais com uma sub-rede que seja parte de um gateway de aplicativo com um IP público. AuditIfNotExists, desabilitado 3.0.1
O Azure Defender para o Serviço de Aplicativo deve estar habilitado O Azure Defender para o Serviço de Aplicativo utiliza a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns aos aplicativos Web. AuditIfNotExists, desabilitado 1.0.3
O Azure Defender para servidores do Banco de Dados SQL do Azure deve estar habilitado O Azure Defender para SQL oferece funcionalidade para expor e reduzir possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que podem indicar ameaças aos Bancos de Dados SQL e descobrir e classificar dados confidenciais. AuditIfNotExists, desabilitado 1.0.2
O Azure Defender para Key Vault deve estar habilitado O Azure Defender para Key Vault oferece uma camada adicional de proteção e inteligência de segurança ao detectar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar as contas do Key Vault. AuditIfNotExists, desabilitado 1.0.3
O Azure Defender para bancos de dados relacionais de código aberto deve ser habilitado O Azure Defender para bancos de dados relacionais de código aberto detecta atividades anômalas, indicando tentativas incomuns e possivelmente prejudiciais de acesso ou exploração de bancos de dados. Saiba mais sobre os recursos do Azure Defender para bancos de dados relacionais de código aberto em https://aka.ms/AzDforOpenSourceDBsDocu. Importante: a habilitação deste plano resultará em encargos de proteção de seus bancos de dados relacionais de código aberto. Saiba mais sobre os preços na página de preços da Central de Segurança: https://aka.ms/pricing-security-center AuditIfNotExists, desabilitado 1.0.0
O Azure Defender para Resource Manager deve ser habilitado O Azure Defender para o Resource Manager monitora de modo automático todas as operações de gerenciamento de recursos executadas em sua organização. O Azure Defender detecta ameaças e emite alertas sobre atividades suspeitas. Saiba mais sobre as funcionalidade do Azure Defender para o Resource Manager em https://aka.ms/defender-for-resource-manager. Habilitar este plano do Azure Defender resultará em determinados encargos. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center. AuditIfNotExists, desabilitado 1.0.0
O Azure Defender para servidores deve estar habilitado O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho do servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas. AuditIfNotExists, desabilitado 1.0.3
O Azure Defender para servidores SQL em computadores deve estar habilitado O Azure Defender para SQL oferece funcionalidade para expor e reduzir possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que podem indicar ameaças aos Bancos de Dados SQL e descobrir e classificar dados confidenciais. AuditIfNotExists, desabilitado 1.0.2
O Azure Defender para SQL deve ser habilitado para servidor flexíveis do MySQL desprotegidos Auditar servidores flexíveis do MySQL sem Segurança de Dados Avançada AuditIfNotExists, desabilitado 1.0.0
O Azure Defender para SQL deve ser habilitado para servidores flexíveis do PostgreSQL desprotegidos Auditar os servidores flexíveis do PostgreSQL sem Segurança de Dados Avançada AuditIfNotExists, desabilitado 1.0.0
As imagens de contêiner do registro do Azure devem ter as vulnerabilidades resolvidas (da plataforma Gerenciamento de Vulnerabilidades do Microsoft Defender) A avaliação de vulnerabilidade das imagens de contêiner examina seu registro em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado de vulnerabilidades para cada imagem. A resolução de vulnerabilidades pode melhorar muito sua postura de segurança, garantindo que as imagens sejam seguras para uso antes da implantação. AuditIfNotExists, desabilitado 1.0.1
As imagens de contêiner em execução do Azure devem ter as vulnerabilidades resolvidas (da plataforma Gerenciamento de Vulnerabilidades do Microsoft Defender) A avaliação de vulnerabilidade das imagens de contêiner examina seu registro em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado de vulnerabilidades para cada imagem. Essa recomendação fornece visibilidade para as imagens vulneráveis atualmente em execução nos seus clusters do Kubernetes. Corrigir vulnerabilidades em imagens de contêiner que estão em execução no momento é fundamental para aprimorar sua postura de segurança, reduzindo de forma significativa a superfície de ataque das suas cargas de trabalho conteinerizadas. AuditIfNotExists, desabilitado 1.0.1
As contas bloqueadas com permissões de proprietário em recursos do Azure devem ser removidas Contas descontinuadas com permissões de proprietário devem ser removidas da sua assinatura. Contas descontinuadas são contas que foram impedidas de fazer login. AuditIfNotExists, desabilitado 1.0.0
As contas bloqueadas com permissões de leitura e gravação em recursos do Azure devem ser removidas Contas descontinuadas devem ser removidas de suas assinaturas. Contas descontinuadas são contas que foram impedidas de fazer login. AuditIfNotExists, desabilitado 1.0.0
As instâncias de função dos Serviços de Nuvem (suporte estendido) devem ser configuradas com segurança Proteja suas instâncias de função dos Serviços de Nuvem (suporte estendido) contra ataques, garantindo que elas não sejam expostas a vulnerabilidades do sistema operacional. AuditIfNotExists, desabilitado 1.0.0
As instâncias de função dos Serviços de Nuvem (suporte estendido) devem ter uma solução de proteção de ponto de extremidade instalada Proteja suas instâncias de função dos Serviços de Nuvem (suporte estendido) contra ameaças e vulnerabilidades, garantindo que uma solução de proteção de ponto de extremidade seja instalada nelas. AuditIfNotExists, desabilitado 1.0.0
As instâncias de função dos Serviços de Nuvem (suporte estendido) devem ter atualizações do sistema instaladas Proteja suas instâncias de função dos Serviços de Nuvem (suporte estendido), garantindo que as mais recentes atualizações críticas e de segurança sejam instaladas nelas. AuditIfNotExists, desabilitado 1.0.0
Configurar a Proteção Avançada contra Ameaças como habilitada nos servidores do Banco de Dados do Azure para MySQL Habilite a Proteção Avançada contra Ameaças nos seus servidores flexíveis do Banco de Dados do Azure para MySQL para detectar atividades anômalas que indiquem tentativas incomuns e possivelmente prejudiciais no sentido de acessar ou explorar bancos de dados. DeployIfNotExists, desabilitado 1.0.0
Configurar a Proteção Avançada contra Ameaças como habilitada no banco de dados do Azure para servidores flexíveis PostgreSQL Habilite a Proteção Avançada contra Ameaças nos seus bancos de dados do Azure para que os servidores flexíveis PostgreSQL detectem atividades anômalas que indiquem tentativas incomuns e possivelmente prejudiciais no sentido de acessar ou explorar bancos de dados. DeployIfNotExists, desabilitado 1.1.0
Configurar SQL Servers habilitados para Arc para instalar automaticamente o Agente do Azure Monitor Automatize a implantação da extensão do Agente do Azure Monitor nos SQL Servers habilitados para Arc do Windows. Saiba mais: https://aka.ms/AMAOverview. DeployIfNotExists, desabilitado 1.3.0
Configurar os SQL Servers habilitados para Arc para instalar automaticamente o Microsoft Defender para SQL Configure os SQL Servers habilitados para Arc do Windows para instalar automaticamente o agente do Microsoft Defender para SQL. O Microsoft Defender para SQL coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas personalizadas de reforço de proteção (recomendações). DeployIfNotExists, desabilitado 1.2.0
Configurar os SQL Servers habilitados para Arc para instalar automaticamente o Microsoft Defender para SQL e a DCR com um workspace do Log Analytics O Microsoft Defender para SQL coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas personalizadas de reforço de proteção (recomendações). Crie um grupo de recursos, uma regra de coleta de dados e um workspace do Log Analytics na mesma região do computador. DeployIfNotExists, desabilitado 1.5.0
Configurar os SQL Servers habilitados para Arc para instalar automaticamente o Microsoft Defender para SQL e a DCR com um workspace do Log Analytics definido pelo usuário O Microsoft Defender para SQL coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas personalizadas de reforço de proteção (recomendações). Crie um grupo de recursos e uma regra de coleta de dados na mesma região do workspace do Log Analytics definido pelo usuário. DeployIfNotExists, desabilitado 1.7.0
Configurar SQL Servers habilitados para o Arc com Associação de Regra de Coleta de Dados à DCR do Microsoft Defender para SQL Configure a associação entre os SQL Servers habilitados para Arc e a DCR do Microsoft Defender para SQL. A exclusão dessa associação interromperá a detecção de vulnerabilidades de segurança desse SQL Server habilitado para Arc. DeployIfNotExists, desabilitado 1.1.0
Configurar SQL Servers habilitados para o Arc com Associação de Regra de Coleta de Dados à DCR do Microsoft Defender para SQL definida pelo usuário Configure a associação entre os SQL Servers habilitados para Arc e a DCR do Microsoft Defender para SQL definida pelo usuário. A exclusão dessa associação interromperá a detecção de vulnerabilidades de segurança desse SQL Server habilitado para Arc. DeployIfNotExists, desabilitado 1.3.0
Configurar o Azure Defender para habilitar o Serviço de Aplicativo O Azure Defender para o Serviço de Aplicativo utiliza a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns aos aplicativos Web. DeployIfNotExists, desabilitado 1.0.1
Configurar o Azure Defender para habilitar o banco de dados SQL do Azure O Azure Defender para SQL oferece funcionalidade para expor e reduzir possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que podem indicar ameaças aos Bancos de Dados SQL e descobrir e classificar dados confidenciais. DeployIfNotExists, desabilitado 1.0.1
Configurar o Azure Defender para que bancos de dados relacionais de código aberto sejam habilitados O Azure Defender para bancos de dados relacionais de código aberto detecta atividades anômalas, indicando tentativas incomuns e possivelmente prejudiciais de acesso ou exploração de bancos de dados. Saiba mais sobre os recursos do Azure Defender para bancos de dados relacionais de código aberto em https://aka.ms/AzDforOpenSourceDBsDocu. Importante: a habilitação deste plano resultará em encargos de proteção de seus bancos de dados relacionais de código aberto. Saiba mais sobre os preços na página de preços da Central de Segurança: https://aka.ms/pricing-security-center DeployIfNotExists, desabilitado 1.0.0
Configurar o Azure Defender para habilitar o Resource Manager O Azure Defender para o Resource Manager monitora de modo automático todas as operações de gerenciamento de recursos executadas em sua organização. O Azure Defender detecta ameaças e emite alertas sobre atividades suspeitas. Saiba mais sobre as funcionalidade do Azure Defender para o Resource Manager em https://aka.ms/defender-for-resource-manager. Habilitar este plano do Azure Defender resultará em determinados encargos. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center. DeployIfNotExists, desabilitado 1.1.0
Configurar o Azure Defender para habilitar os servidores O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho do servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas. DeployIfNotExists, desabilitado 1.0.1
Configurar o Azure Defender para habilitar servidores SQL em computadores O Azure Defender para SQL oferece funcionalidade para expor e reduzir possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que podem indicar ameaças aos Bancos de Dados SQL e descobrir e classificar dados confidenciais. DeployIfNotExists, desabilitado 1.0.1
Configurar o Microsoft Defender básico para o Armazenamento que esteja habilitado (somente Monitoramento de Atividades) O Microsoft Defender para Armazenamento é uma camada nativa do Azure de inteligência de segurança que detecta possíveis ameaças às suas contas de armazenamento. Essa política habilitará os recursos básicos do Defender para Armazenamento (Monitoramento de Atividades). Para habilitar a proteção completa, que também inclui a Verificação de Software Mal-intencionado no upload e a Detecção de Ameaças a Dados Confidenciais, use a política de habilitação completa: aka.ms/DefenderForStoragePolicy. Para saber mais sobre as funcionalidades e benefícios do Defender para Armazenamento, visite aka.ms/DefenderForStorage. DeployIfNotExists, desabilitado 1.1.0
Configurar os computadores para receber um provedor de avaliação de vulnerabilidade O Azure Defender inclui uma verificação de vulnerabilidades para seus computadores sem custo adicional. Você não precisa de uma licença do Qualys nem de uma conta do Qualys: tudo é tratado diretamente na Central de Segurança. Quando você habilita essa política, o Azure Defender implanta automaticamente o agente de avaliação de vulnerabilidade do Qualys em todos os computadores compatíveis que ainda não o instalaram. DeployIfNotExists, desabilitado 4.0.0
Configurar o plano do Microsoft Defender CSPM O GPSN (gerenciamento da postura de segurança na nuvem) do Defender oferece funcionalidades de postura aprimoradas e um novo grafo de segurança de nuvem inteligente para ajudar a identificar, priorizar e reduzir riscos. O GPSN do Defender está disponível além das funcionalidades básicas gratuitas de postura de segurança ativadas por padrão no Defender para Nuvem. DeployIfNotExists, desabilitado 1.0.0
Configurar o GPSN do Microsoft Defender como habilitado O GPSN (gerenciamento da postura de segurança na nuvem) do Defender oferece funcionalidades de postura aprimoradas e um novo grafo de segurança de nuvem inteligente para ajudar a identificar, priorizar e reduzir riscos. O GPSN do Defender está disponível além das funcionalidades básicas gratuitas de postura de segurança ativadas por padrão no Defender para Nuvem. DeployIfNotExists, desabilitado 1.0.2
Configurar o Microsoft Defender para o Azure Cosmos DB a ser habilitado O Microsoft Defender para Azure Cosmos DB é uma camada de segurança nativa do Azure que detecta qualquer tentativa de explorar bancos de dados nas suas contas do Azure Cosmos DB. O Defender para Azure Cosmos DB detecta possíveis injeções de SQL, atores mal-intencionados conhecidos com base na Inteligência contra Ameaças da Microsoft, padrões de acesso suspeitos e exploração potencial do banco de dados por meio de identidades comprometidas ou de funcionários mal-intencionados. DeployIfNotExists, desabilitado 1.0.0
Configurar o plano do Microsoft Defender para contêineres Novos recursos estão sendo adicionados continuamente ao plano do Defender para contêineres, o que pode exigir a habilitação explícita do usuário. Use essa política para garantir que todos os novos recursos sejam habilitados. DeployIfNotExists, desabilitado 1.0.0
Configurar para que o Microsoft Defender para Contêineres seja habilitado O Microsoft Defender para Contêineres fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes do Azure, híbridos e de várias nuvens. DeployIfNotExists, desabilitado 1.0.1
Definir as configurações de integração do Microsoft Defender para Ponto de Extremidade com o Microsoft Defender para Nuvem (WDATP_EXCLUDE_LINUX...) Define as configurações de integração do Microsoft Defender para Ponto de Extremidade, no Microsoft Defender para Nuvem (também conhecido como WDATP_EXCLUDE_LINUX_...), para habilitar o provisionamento automático do MDE para servidores Linux. A configuração WDATP deve ser ativada para que essa configuração seja aplicada. Confira: https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpointpara obter mais informações. DeployIfNotExists, desabilitado 1.0.0
Definir as configurações de integração do Microsoft Defender para Ponto de Extremidade com o Microsoft Defender para Nuvem (WDATP_UNIFIED_SOLUTION) Define as configurações de integração do Microsoft Defender para Ponto de Extremidade, no Microsoft Defender para Nuvem (também conhecido como WDATP_UNIFIED_SOLUTION), para habilitar o provisionamento automático do Agente Unificado do MDE para Windows Server 2012R2 e 2016. A configuração WDATP deve ser ativada para que essa configuração seja aplicada. Confira: https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpointpara obter mais informações. DeployIfNotExists, desabilitado 1.0.0
Definir as configurações de integração do Microsoft Defender para Ponto de Extremidade com o Microsoft Defender para Nuvem (WDATP) Define as configurações de integração do Microsoft Defender para Ponto de Extremidade, no Microsoft Defender para Nuvem (também conhecido como WDATP), para computadores de nível inferior do Windows integrados ao MDE via MMA e provisionamento automático de MDE no Windows Server 2019, Área de Trabalho Virtual do Windows e versões superiores. Deve ser ativado para que as outras configurações (WDATP_UNIFIED etc.) funcionem. Confira: https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpointpara obter mais informações. DeployIfNotExists, desabilitado 1.0.0
Configurar o plano do Microsoft Defender para Key Vault O Microsoft Defender para Key Vault oferece uma camada adicional de proteção e inteligência de segurança ao detectar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar as contas do cofre de chaves. DeployIfNotExists, desabilitado 1.1.0
Configurar o plano do Microsoft Defender para servidores Novos recursos estão sendo adicionados continuamente ao Defender para servidores, o que pode exigir a habilitação explícita do usuário. Use essa política para garantir que todos os novos recursos sejam habilitados. DeployIfNotExists, desabilitado 1.0.0
Configurar o Microsoft Defender para SQL para ser habilitado em workspaces do Azure Synapse Habilite o Microsoft Defender para SQL nos workspaces do Azure Synapse para detectar atividades anômalas que indiquem tentativas incomuns e possivelmente prejudiciais de acessar ou explorar bancos de dados SQL. DeployIfNotExists, desabilitado 1.0.0
Configure o Microsoft Defender para Armazenamento (Clássico) para que esteja habilitado O Microsoft Defender para Armazenamento (Clássico) fornece detecções de tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas de armazenamento. DeployIfNotExists, desabilitado 1.0.2
Configure o Microsoft Defender for Storage para que esteja habilitado O Microsoft Defender para Armazenamento é uma camada nativa do Azure de inteligência de segurança que detecta possíveis ameaças às suas contas de armazenamento. Essa política habilitará todos os recursos do Defender para Armazenamento: Monitoramento de Atividades, Verificação de Software Mal-intencionado e Detecção de Ameaças a Dados Confidenciais. Para saber mais sobre as funcionalidades e benefícios do Defender para Armazenamento, visite aka.ms/DefenderForStorage. DeployIfNotExists, desabilitado 1.4.0
Configurar a proteção contra ameaças do Microsoft Defender para cargas de trabalho de IA Novos recursos estão sendo adicionados continuamente à proteção contra ameaças para cargas de trabalho de IA, o que pode exigir a habilitação explícita do usuário. Use essa política para garantir que todos os novos recursos sejam habilitados. DeployIfNotExists, desabilitado 1.0.0
Configurar as Máquinas Virtuais do SQL para instalar automaticamente o Agente do Azure Monitor Automatize a implantação da extensão do Agente do Azure Monitor nas suas Máquinas Virtuais do SQL do Windows. Saiba mais: https://aka.ms/AMAOverview. DeployIfNotExists, desabilitado 1.5.0
Configurar as Máquinas Virtuais do SQL para instalar automaticamente o Microsoft Defender para SQL Configure as Máquinas Virtuais do SQL do Windows para instalar automaticamente a extensão Microsoft Defender para SQL. O Microsoft Defender para SQL coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas personalizadas de reforço de proteção (recomendações). DeployIfNotExists, desabilitado 1.5.0
Configurar as Máquinas Virtuais do SQL para instalar automaticamente o Microsoft Defender para SQL e a DCR com um workspace do Log Analytics O Microsoft Defender para SQL coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas personalizadas de reforço de proteção (recomendações). Crie um grupo de recursos, uma regra de coleta de dados e um workspace do Log Analytics na mesma região do computador. DeployIfNotExists, desabilitado 1.7.0
Configurar as Máquinas Virtuais do SQL para instalar automaticamente o Microsoft Defender para SQL e a DCR com um workspace do LA definido pelo usuário O Microsoft Defender para SQL coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas personalizadas de reforço de proteção (recomendações). Crie um grupo de recursos e uma regra de coleta de dados na mesma região do workspace do Log Analytics definido pelo usuário. DeployIfNotExists, desabilitado 1.8.0
Configurar o Microsoft Defender do SQL para o workspace do Log Analytics O Microsoft Defender para SQL coleta eventos do agente e os usa para fornecer alertas de segurança e tarefas personalizadas de reforço de proteção (recomendações). Crie um grupo de recursos e um workspace do Log Analytics na mesma região do computador. DeployIfNotExists, desabilitado 1.4.0
Criar e atribuir uma identidade gerenciada interna atribuída pelo usuário Crie e atribua identidades gerenciadas integradas atribuídas pelo usuário às máquinas virtuais do SQL em larga escala. AuditIfNotExists, DeployIfNotExists, desabilitado 1.7.0
Implantar – Configurar regras de supressão para alertas da Central de Segurança do Azure Suprime os alertas da Central de Segurança do Azure para reduzir o excesso de alertas implantando regras de supressão no grupo de gerenciamento ou na assinatura. deployIfNotExists 1.0.0
Implante a exportação para o Hub de Eventos como um serviço confiável para os dados do Microsoft Defender para Nuvem Habilite a exportação para o Hub de Eventos como um serviço confiável de dados do Microsoft Defender para Nuvem. Essa política implanta uma exportação para o Hub de Eventos como uma configuração de serviço confiável com suas condições e o Hub de Eventos de destino no escopo atribuído. Para implantar essa política em assinaturas criadas recentemente, abra a guia de conformidade, selecione a atribuição não compatível relevante e crie uma tarefa de correção. DeployIfNotExists, desabilitado 1.0.0
Implantar a exportação para o Hub de Eventos para dados do Microsoft Defender para Nuvem Habilitar a exportação para o Hub de Eventos de dados do Microsoft Defender para Nuvem. Esta política implanta uma configuração de exportação para o Hub de Eventos com suas condições e o Hub de Eventos de destino no escopo atribuído. Para implantar essa política em assinaturas criadas recentemente, abra a guia de conformidade, selecione a atribuição não compatível relevante e crie uma tarefa de correção. deployIfNotExists 4.2.0
Implantar exportação para o workspace do Log Analytics para dados do Microsoft Defender para Nuvem Habilitar a exportação para o workspace do Log Analytics de dados do Microsoft Defender para Nuvem. Esta política implanta uma configuração de exportação para o workspace do Log Analytics com suas condições e workspace de destino no escopo atribuído. Para implantar essa política em assinaturas criadas recentemente, abra a guia de conformidade, selecione a atribuição não compatível relevante e crie uma tarefa de correção. deployIfNotExists 4.1.0
Implantar a Automação de Fluxo de Trabalho para alertas do Microsoft Defender para Nuvem Habilitar a automação de alertas do Microsoft Defender para Nuvem. Esta política implanta uma automação de fluxo de trabalho com suas condições e gatilhos no escopo atribuído. Para implantar essa política em assinaturas criadas recentemente, abra a guia de conformidade, selecione a atribuição não compatível relevante e crie uma tarefa de correção. deployIfNotExists 5.0.1
Implantar a Automação de Fluxo de Trabalho para recomendações do Microsoft Defender para Nuvem Habilitar a automação de recomendações do Microsoft Defender para Nuvem. Esta política implanta uma automação de fluxo de trabalho com suas condições e gatilhos no escopo atribuído. Para implantar essa política em assinaturas criadas recentemente, abra a guia de conformidade, selecione a atribuição não compatível relevante e crie uma tarefa de correção. deployIfNotExists 5.0.1
Implantar a Automação de Fluxo de Trabalho para conformidade regulatória do Microsoft Defender para Nuvem Habilitar a automação de conformidade regulatória do Microsoft Defender para Nuvem. Esta política implanta uma automação de fluxo de trabalho com suas condições e gatilhos no escopo atribuído. Para implantar essa política em assinaturas criadas recentemente, abra a guia de conformidade, selecione a atribuição não compatível relevante e crie uma tarefa de correção. deployIfNotExists 5.0.1
A notificação por email para alertas de severidade alta deve ser habilitada Para que as pessoas relevantes em sua organização sejam notificadas quando houver uma potencial violação de segurança em uma das suas assinaturas, habilite notificações por email para alertas de severidade alta na Central de Segurança. AuditIfNotExists, desabilitado 1.2.0
A notificação por email para o proprietário da assinatura para alertas de severidade alta deve ser habilitada Para que os proprietários de assinatura sejam notificados quando houver uma potencial violação de segurança na assinatura deles, defina que notificações para alertas de severidade alta sejam enviadas por email para os proprietários da assinatura na Central de Segurança. AuditIfNotExists, desabilitado 2.1.0
Habilitar o Microsoft Defender para Nuvem em sua assinatura Identifica assinaturas existentes que não são monitoradas pelo Microsoft Defender para Nuvem e as protege com os recursos gratuitos do Defender para Nuvem. As assinaturas já monitoradas serão consideradas em conformidade. Para registrar assinaturas criadas recentemente, abra a guia de conformidade, selecione a atribuição relevante que não esteja em conformidade e crie uma tarefa de correção. deployIfNotExists 1.0.1
Habilitar o provisionamento automático da Central de Segurança do agente do Log Analytics em suas assinaturas com o workspace personalizado. Permitir que a Central de Segurança provisione automaticamente o agente do Log Analytics em suas assinaturas para monitorar e coletar dados de segurança usando um workspace personalizado. DeployIfNotExists, desabilitado 1.0.0
Habilitar o provisionamento automático da Central de Segurança do agente do Log Analytics em suas assinaturas com o workspace padrão. Permitir que a Central de Segurança provisione automaticamente o agente do Log Analytics em suas assinaturas para monitorar e coletar dados de segurança usando um workspace padrão da ASC. DeployIfNotExists, desabilitado 1.0.0
Habilitar a proteção contra ameaças para cargas de trabalho de IA A proteção contra ameaças da Microsoft para cargas de trabalho de IA fornece alertas de segurança contextualizados e baseados em evidência destinados a proteger aplicativos internos de IA generativa DeployIfNotExists, desabilitado 1.0.0
Os problemas de integridade do Endpoint protection devem ser resolvidos nos seus computadores Resolva problemas de integridade da proteção de ponto de extremidade em suas máquinas virtuais para protegê-las contra ameaças e vulnerabilidades mais recentes. As soluções de proteção de ponto de extremidade compatíveis com a Central de Segurança do Azure estão documentadas aqui: https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. A avaliação da proteção de ponto de extremidade está documentada aqui: https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, desabilitado 1.0.0
O Endpoint Protection deve ser instalado nos computadores Para proteger seus computadores contra ameaças e vulnerabilidades, instale uma solução de proteção de ponto de extremidade com suporte. AuditIfNotExists, desabilitado 1.0.0
A solução de proteção de ponto de extremidade deve ser instalada nos conjuntos de dimensionamento de máquinas virtuais Faça a auditoria da existência de uma solução de proteção de ponto de extremidade e da sua integridade nos seus conjuntos de dimensionamento de máquinas virtuais, para protegê-los contra ameaças e vulnerabilidades. AuditIfNotExists, desabilitado 3.0.0
As contas de convidado com permissões de proprietário em recursos do Azure devem ser removidas Contas externas com permissões de proprietário devem ser removidas da sua assinatura para evitar o acesso não monitorado. AuditIfNotExists, desabilitado 1.0.0
As contas de convidado com permissões de leitura em recursos do Azure devem ser removidas Contas externas com privilégios de leitura devem ser removidas da sua assinatura para evitar o acesso não monitorado. AuditIfNotExists, desabilitado 1.0.0
As contas de convidado com permissões de gravação em recursos do Azure devem ser removidas Contas externas com privilégios de gravação devem ser removidas da sua assinatura para evitar o acesso não monitorado. AuditIfNotExists, desabilitado 1.0.0
A extensão de Configuração de Convidado deve ser instalada nos seus computadores Para garantir configurações seguras de configurações no convidado de seu computador, instale a extensão de Configuração de Convidado. As configurações no convidado que a extensão monitora incluem a configuração do sistema operacional, a configuração ou a presença do aplicativo e as configurações do ambiente. Depois de instaladas, as políticas no convidado estarão disponíveis, como 'O Windows Exploit Guard deve estar habilitado'. Saiba mais em https://aka.ms/gcpol. AuditIfNotExists, desabilitado 1.0.3
As máquinas virtuais para a Internet devem ser protegidas com grupos de segurança de rede Proteja suas máquinas virtuais contra possíveis ameaças, restringindo o acesso a elas com um NSG (grupo de segurança de rede). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc AuditIfNotExists, desabilitado 3.0.0
O encaminhamento IP na máquina virtual deve ser desabilitado A habilitação do encaminhamento de IP na NIC de uma máquina virtual permite que o computador receba o tráfego endereçado a outros destinos. O encaminhamento de IP raramente é necessário (por exemplo, ao usar a VM como uma solução de virtualização de rede) e, portanto, isso deve ser examinado pela equipe de segurança de rede. AuditIfNotExists, desabilitado 3.0.0
Os Serviços de Kubernetes devem ser atualizados para uma versão não vulnerável do Kubernetes Atualize o cluster do serviço de Kubernetes para a última versão do Kubernetes a fim de fornecer proteção contra as vulnerabilidades conhecidas na versão atual do Kubernetes. A vulnerabilidade CVE-2019-9946 foi corrigida nas versões do Kubernetes 1.11.9 e posterior, 1.12.7 e posterior, 1.13.5 e posterior e 1.14.0 e posterior Audit, desabilitado 1.0.2
O agente do Log Analytics deve ser instalado nas suas instâncias de função dos Serviços de Nuvem (suporte estendido) A Central de Segurança coleta dados das instâncias de função dos Serviços de Nuvem (suporte estendido) para monitorar vulnerabilidades e ameaças à segurança. AuditIfNotExists, desabilitado 2.0.0
Os computadores devem ter as descobertas secretas resolvidas Audita máquinas virtuais para detectar se elas contêm descobertas secretas das soluções de verificação do segredo em suas máquinas virtuais. AuditIfNotExists, desabilitado 1.0.2
As portas de gerenciamento de máquinas virtuais devem ser protegidas com o controle de acesso à rede just-in-time O possível acesso JIT (Just In Time) da rede será monitorado pela Central de Segurança do Azure como recomendação AuditIfNotExists, desabilitado 3.0.0
Portas de gerenciamento devem ser fechadas nas máquinas virtuais As portas abertas de gerenciamento remoto estão expondo sua VM a um alto nível de risco de ataques baseados na Internet. Estes ataques tentam obter credenciais por força bruta para obter acesso de administrador à máquina. AuditIfNotExists, desabilitado 3.0.0
O GPSN do Microsoft Defender deve estar habilitado O GPSN (gerenciamento da postura de segurança na nuvem) do Defender oferece funcionalidades de postura aprimoradas e um novo grafo de segurança de nuvem inteligente para ajudar a identificar, priorizar e reduzir riscos. O GPSN do Defender está disponível além das funcionalidades básicas gratuitas de postura de segurança ativadas por padrão no Defender para Nuvem. AuditIfNotExists, desabilitado 1.0.0
O Microsoft Defender para APIs deve estar habilitado O Microsoft Defender para APIs traz uma nova cobertura de descoberta, proteção, detecção e resposta para monitorar ataques comuns e configurações incorretas de segurança baseados em API. AuditIfNotExists, desabilitado 1.0.3
O Microsoft Defender para Azure Cosmos DB deve estar habilitado O Microsoft Defender para Azure Cosmos DB é uma camada de segurança nativa do Azure que detecta qualquer tentativa de explorar bancos de dados nas suas contas do Azure Cosmos DB. O Defender para Azure Cosmos DB detecta possíveis injeções de SQL, atores mal-intencionados conhecidos com base na Inteligência contra Ameaças da Microsoft, padrões de acesso suspeitos e exploração potencial do banco de dados por meio de identidades comprometidas ou de funcionários mal-intencionados. AuditIfNotExists, desabilitado 1.0.0
O Microsoft Defender para Contêineres deve estar habilitado O Microsoft Defender para Contêineres fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes do Azure, híbridos e de várias nuvens. AuditIfNotExists, desabilitado 1.0.0
O Microsoft Defender para SQL deve ser habilitado nos workspaces do Azure Synapse desprotegidos Habilite o Defender para SQL para proteger os workspaces do Azure Synapse. O Defender para SQL monitora o SQL do Synapse para detectar atividades anômalas que indiquem tentativas incomuns e possivelmente prejudiciais de acessar ou explorar bancos de dados. AuditIfNotExists, desabilitado 1.0.0
O status do Microsoft Defender para SQL deve ser protegido para SQL Servers habilitados para Arc O Microsoft Defender para SQL oferece funcionalidade para expor e reduzir possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que podem indicar ameaças aos Bancos de Dados SQL, descobrir e classificar dados confidenciais. Uma vez habilitado, o status de proteção indica que o recurso é monitorado ativamente. Mesmo quando o Defender está habilitado, várias definições de configuração devem ser validadas no agente, no computador, no workspace e no SQL Server para garantir a proteção ativa. Audit, desabilitado 1.0.1
O Microsoft Defender para Armazenamento deve estar habilitado O Microsoft Defender para Armazenamento detecta ameaças potenciais às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e dados corrompidos. O novo plano do Defender para Armazenamento inclui Verificação de Malware e Detecção de Ameaças a Dados Confidenciais. Este plano também fornece uma estrutura de preços previsível (por conta de armazenamento) para controle da cobertura e dos custos. AuditIfNotExists, desabilitado 1.0.0
Monitorar o Endpoint Protection ausente na Central de Segurança do Azure Servidores sem um agente do Endpoint Protection instalado serão monitorados pela Central de Segurança do Azure como recomendações AuditIfNotExists, desabilitado 3.0.0
Máquinas virtuais não voltadas para a Internet devem ser protegidas com grupos de segurança de rede Proteja suas máquinas virtuais não voltadas para a Internet contra possíveis ameaças, restringindo o acesso com um NSG (grupo de segurança de rede). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc AuditIfNotExists, desabilitado 3.0.0
O RBAC (controle de acesso baseado em função) deve ser usado nos Serviços de Kubernetes Para fornecer filtragem granular das ações que os usuários podem executar, use o RBAC (controle de acesso baseado em função) para gerenciar permissões nos clusters do Serviço de Kubernetes e configurar políticas de autorização relevantes. Audit, desabilitado 1.0.4
O tipo de preço Standard da Central de Segurança deve ser selecionado O tipo de preço standard habilita a detecção de ameaças para redes e máquinas virtuais, fornecendo inteligência contra ameaças, detecção de anomalias e análise de comportamento na Central de Segurança do Azure Audit, desabilitado 1.1.0
Configurar assinaturas para fazer a transição para uma solução alternativa de avaliação de vulnerabilidade O Microsoft Defender para nuvem oferece varredura de vulnerabilidades para suas máquinas sem custo adicional. A ativação dessa política fará com que o Defender para Nuvem propague automaticamente as descobertas da solução integrada de gerenciamento de vulnerabilidades do Microsoft Defender para todos os computadores compatíveis. DeployIfNotExists, desabilitado 1.0.0 – versão prévia
Os bancos de dados SQL devem ter as descobertas de vulnerabilidade resolvidas Monitore os resultados da verificação da avaliação de vulnerabilidades e as recomendações sobre como corrigir as vulnerabilidades do banco de dados. AuditIfNotExists, desabilitado 4.1.0
O provisionamento automático direcionado ao SQL Server deve ser habilitado para servidores SQL no plano de computadores Para garantir que as VMs do SQL e os SQL Servers habilitados para Arc estejam protegidos, verifique se o Agente de Monitoramento do Azure direcionado ao SQL está configurado para implantar automaticamente. Isso também é necessário se você já configurou o provisionamento automático do Microsoft Monitoring Agent, pois esse componente está sendo preterido. Saiba mais: https://aka.ms/SQLAMAMigration AuditIfNotExists, desabilitado 1.0.0
Os servidores SQL em computadores devem ter as descobertas de vulnerabilidade resolvidas A avaliação de vulnerabilidades do SQL examina o banco de dados em busca de vulnerabilidades de segurança e expõe os desvios das melhores práticas como configurações incorretas, permissões excessivas e dados confidenciais desprotegidos. Resolver as vulnerabilidades encontradas pode melhorar muito a postura de segurança de seu banco de dados. AuditIfNotExists, desabilitado 1.0.0
As sub-redes devem ser associadas a um Grupo de Segurança de Rede Proteja sua sub-rede contra possíveis ameaças, restringindo o acesso a ela com um NSG (Grupo de Segurança de Rede). Os NSGs contêm uma lista de regras de ACL (lista de controle de acesso) que permitem ou negam o tráfego de rede para sua sub-rede. AuditIfNotExists, desabilitado 3.0.0
As assinaturas devem ter um endereço de email de contato para problemas de segurança Para que as pessoas relevantes em sua organização sejam notificadas quando houver uma potencial violação de segurança em uma das suas assinaturas, defina um contato de segurança para receber notificações por email da Central de Segurança. AuditIfNotExists, desabilitado 1.0.1
As atualizações do sistema devem ser instaladas em seus computadores (da plataforma de atualização) As atualizações de sistema, segurança e críticas estão ausentes em seus computadores. As atualizações de software geralmente incluem patches críticos para brechas de segurança. Essas brechas costumam ser exploradas em ataques de malware, portanto, é vital manter seu software atualizado. Para instalar todos os patches pendentes e proteger seus computadores, siga as etapas de correção. AuditIfNotExists, desabilitado 1.0.1
Deve haver mais de um proprietário atribuído à sua assinatura Recomenda-se designar mais de um proprietário de assinatura para ter redundância de acesso de administrador. AuditIfNotExists, desabilitado 3.0.0
A extensão de Configuração de Convidado das máquinas virtuais deve ser implantada com a identidade gerenciada atribuída ao sistema A extensão de configuração de convidado exige uma identidade gerenciada atribuída ao sistema. As máquinas virtuais do Azure no escopo desta política não estarão em conformidade quando tiverem a extensão de Configuração de Convidado instalada, mas não tiverem uma identidade gerenciada atribuída ao sistema. Saiba mais em https://aka.ms/gcpol AuditIfNotExists, desabilitado 1.0.1
As vulnerabilidades da configuração de segurança nas máquinas devem ser corrigidas Os servidores que não atenderem à linha de base configurada serão monitorados pela Central de Segurança do Azure como recomendações AuditIfNotExists, desabilitado 3.1.0

Próximas etapas

Neste artigo, você aprendeu sobre as definições de política de segurança do Azure Policy no Defender para Nuvem. Para saber mais sobre iniciativas, políticas e como elas se relacionam com as recomendações do Defender para Nuvem, confira O que são políticas, iniciativas e recomendações de segurança?.