Linha de base de segurança do Azure para HDInsight
Essa linha de base de segurança aplica as diretrizes do Microsoft Cloud Security Benchmark versão 1.0 ao HDInsight. O parâmetro de comparação de segurança da nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao HDInsight.
Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. As definições do Azure Policy serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender para Nuvem.
Quando um recurso tem definições relevantes do Azure Policy, eles são listados nesta linha de base para ajudar você a medir a conformidade com as recomendações e controles de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano pago do Microsoft Defender para habilitar determinados cenários de segurança.
Observação
Os recursos não aplicáveis ao HDInsight foram excluídos. Para ver como o HDInsight é mapeado completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, consulte o arquivo completo de mapeamento de linha de base de segurança do HDInsight.
Perfil de segurança
O perfil de segurança resume os comportamentos de alto impacto do HDInsight, o que pode resultar em maiores considerações de segurança.
| Atributo de Comportamento do Serviço | Valor |
|---|---|
| Categoria do Produto | Análise |
| O cliente pode acessar o HOST / SO | Somente leitura |
| O serviço pode ser implantado na rede virtual do cliente | Verdadeiro |
| Armazena o conteúdo inativo do cliente | Verdadeiro |
Segurança de rede
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.
NS-1: estabelecer limites de segmentação de rede
Recursos
Integração de rede virtual
Descrição: O serviço dá suporte à implantação na rede virtual (VNet) privada do cliente. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Customer |
Observações sobre o recurso: a segurança de perímetro no Azure HDInsight é obtida por meio de redes virtuais. Um administrador corporativo pode criar um cluster dentro de uma rede virtual e usar um NSG (grupo de segurança de rede) para restringir o acesso à rede virtual.
Diretrizes de configuração: implante o serviço em uma rede virtual. Atribua IPs privados ao recurso (quando aplicável), a menos que haja um forte motivo para atribuir IPs públicos diretamente ao recurso.
Observação: com base em seus aplicativos e estratégia de segmentação corporativa, restrinja ou permita o tráfego entre recursos internos com base em suas regras de NSG. Para aplicativos específicos e bem definidos, como um aplicativo de três camadas, essa pode ser uma negação por padrão altamente segura.
Referência: Planejar uma rede virtual para o Azure HDInsight
Suporte a grupos de segurança de rede
Descrição: O tráfego de rede de serviço respeita a atribuição de regra de grupos de segurança de rede em suas sub-redes. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Customer |
Observações sobre o recurso: a segurança de perímetro no Azure HDInsight é obtida por meio de redes virtuais. Um administrador corporativo pode criar um cluster dentro de uma rede virtual e usar um NSG (grupo de segurança de rede) para restringir o acesso à rede virtual. Somente os endereços IP permitidos nas regras NSG de entrada podem se comunicar com o cluster Azure HDInsight. Essa configuração fornece segurança de perímetro. Todos os clusters implantados em uma rede virtual também terão um ponto de extremidade privado. O ponto de extremidade resolverá para um endereço IP privado dentro da Rede Virtual. Ele fornece acesso HTTP privado aos gateways de cluster.
Com base em seus aplicativos e estratégia de segmentação corporativa, restrinja ou permita o tráfego entre os recursos internos com base em suas regras de NSG. Para aplicativos específicos e bem definidos, como um aplicativo de três camadas, essa pode ser uma negação por padrão altamente segura.
Portas geralmente necessárias em todos os tipos de clusters:
22 a 23 - Acesso SSH aos recursos do cluster
443 - Ambari, API REST do WebHCat, ODBC e JDBC do HiveServer
Diretrizes de configuração: use grupos de segurança de rede (NSG) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras de NSG para restringir as portas abertas do serviço (como impedir que portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e de Azure Load Balancers.
Referência: Controlar o tráfego de rede no Azure HDInsight
NS-2: proteger serviços de nuvem com controles de rede
Recursos
Link Privado do Azure
Descrição: Funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não confundir com o NSG ou o Firewall do Azure). Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Customer |
Notas sobre o recurso: use o Link Privado do Azure para habilitar o acesso privado ao HDInsight de suas redes virtuais sem cruzar a Internet. O acesso privado adiciona uma medida de defesa em profundidade para a segurança de tráfego e a autenticação do Azure.
Diretrizes de configuração: implante pontos de extremidade privados para todos os recursos do Azure que dão suporte ao recurso Link Privado, para estabelecer um ponto de acesso privado para os recursos.
Observação: use o Link Privado do Azure para habilitar o acesso privado ao HDInsight de suas redes virtuais sem cruzar a Internet. O acesso privado adiciona uma medida de defesa em profundidade para a segurança de tráfego e a autenticação do Azure.
Referência: Habilitar Link Privado em um cluster HDInsight
Desabilitar o acesso à rede pública
Descrição: O serviço dá suporte à desabilitação do acesso à rede pública por meio do uso da regra de filtragem de ACL de IP no nível do serviço (não do NSG ou do Firewall do Azure) ou do uso de um comutador de alternância "Desabilitar acesso à rede pública". Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Customer |
Diretrizes de configuração: desabilite o acesso à rede pública usando a regra de filtragem de ACL IP de nível de serviço ou uma opção de alternância para acesso à rede pública.
Referência: restringir a conectividade pública no Azure HDInsight
Gerenciamento de identidades
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.
IM-1: usar um sistema centralizado de identidade e autenticação
Recursos
Autenticação do Azure AD necessária para acesso ao plano de dados
Descrição: O serviço dá suporte ao uso da autenticação do Azure AD para acesso ao plano de dados. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Customer |
Diretrizes de configuração: use o Azure Active Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de dados.
Referência: Visão geral da segurança corporativa no Azure HDInsight
Métodos de autenticação local para acesso ao plano de dados
Descrição: Métodos de autenticações locais compatíveis com o acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Verdadeiro | Microsoft |
Observações sobre o recurso: Quando um cluster HDI é criado, duas contas de administrador local são criadas no plano de dados (Apache Ambari). Um correspondente ao usuário para o qual a credencial é passada pelo criador do cluster. O outro é criado pelo plano de controle do HDI. O plano de controle HDI usa essa conta para fazer chamadas de plano de dados. Evite o uso de métodos ou contas de autenticação locais, eles devem ser desativados sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.
IM-3: gerenciar identidades de aplicativos de maneira segura e automática
Recursos
Identidades Gerenciadas
Descrição: As ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.
Entidades de Serviço
Descrição: O plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.
IM-7: restringir o acesso aos recursos com base nas condições
Recursos
Acesso condicional para o plano de dados
Descrição: O acesso ao plano de dados pode ser controlado usando as políticas de acesso condicional do Azure AD. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.
IM-8: restringir a exposição de credenciais e segredos
Recursos
Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault
Descrição: O plano de dados dá suporte ao uso nativo do Azure Key Vault para armazenamento de credenciais e segredos. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.
Acesso privilegiado
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.
PA-1: separar e limitar usuários altamente privilegiados/administrativos
Recursos
Contas de administrador local
Descrição: O serviço tem o conceito de uma conta administrativa local. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Verdadeiro | Microsoft |
Observações sobre o recurso: Quando um cluster HDI é criado, duas contas de administrador local são criadas no plano de dados (Apache Ambari). Um correspondente ao usuário para o qual a credencial é passada pelo criador do cluster. O outro é criado pelo plano de controle do HDI. O plano de controle HDI usa essa conta para fazer chamadas de plano de dados. Evite o uso de métodos ou contas de autenticação locais, eles devem ser desativados sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.
PA-7: Seguir a administração Just Enough (princípio de privilégios mínimos)
Recursos
RBAC do Azure para plano de dados
Descrição: O Controle de Acesso Baseado em Função (RBAC) do Azure pode ser usado para gerenciar o acesso às ações do plano de dados do serviço. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Falso | Não Aplicável | Não Aplicável |
Observações sobre o recurso: O plano de dados dá suporte apenas a funções baseadas em Ambari. O ACL de granulação fina é feito via Ranger.
Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.
PA-8: determinar o processo de acesso para suporte ao provedor de nuvem
Recursos
Sistema de Proteção de Dados do Cliente
Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso ao suporte da Microsoft. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Customer |
Notas de recurso: em cenários de suporte em que a Microsoft precisa acessar dados do cliente, o HDInsight dá suporte ao Sistema de Proteção de Dados do Cliente. Ele fornece uma interface para revisar solicitações de acesso de dados dos clientes e as aprove ou rejeite.
Diretrizes de configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Sistema de Proteção de Dados do Cliente para examinar e aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.
Referência: Sistema de Proteção de Dados do Cliente para Microsoft Azure
Proteção de dados
Para obter mais informações, consulte o parâmetro de comparação de segurança na nuvem da Microsoft: proteção de dados.
DP-1: descobrir, classificar e rotular dados confidenciais
Recursos
Descoberta e classificação de dados confidenciais
Descrição: ferramentas (como Azure Purview ou Proteção de Informações do Azure) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Customer |
Notas sobre o recurso: use marcas em recursos relacionados às implantações do Azure HDInsight para ajudar a acompanhar os recursos do Azure que armazenam ou processam informações confidenciais. Classifique e identifique dados confidenciais usando o Microsoft Purview. Use o serviço para os dados armazenados em bancos de dados SQL ou contas de Armazenamento do Azure associadas ao cluster do HDInsight.
Na plataforma subjacente gerenciada pela Microsoft, a Microsoft trata todo o conteúdo do cliente como confidencial. A Microsoft não poupa esforços para proteger contra perda e exposição de dados do cliente. Para garantir que os dados do cliente no Azure permaneçam seguros, a Microsoft implementou e mantém um conjunto de recursos e controles robustos de proteção de dados.
Diretrizes de configuração: use ferramentas como Azure Purview, Proteção de Informações do Azure e Descoberta e Classificação de Dados SQL do Azure para verificar, classificar e rotular centralmente todos os dados confidenciais que residem no Azure, local, Microsoft 365 ou outros locais.
Referência: Proteção de dados do cliente do Azure
DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais
Recursos
Prevenção de vazamento/perda de dados
Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.
DP-3: criptografar dados confidenciais ativos
Recursos
Criptografia de dados em trânsito
Descrição: O serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Compartilhado |
Observações sobre o recurso: o HDInsight dá suporte à criptografia de dados em trânsito com TLS v1.2 ou superior. Criptografar todas as informações confidenciais em trânsito. Verifique se os clientes que se conectam ao cluster do Azure HDInsight ou armazenamentos de dados de cluster (contas de armazenamento do Microsoft Azure ou Azure Data Lake Storage Gen1/Gen2) podem negociar o TLS 1.2 ou superior. Recursos do Microsoft Azure negociarão o TLS 1.2 por padrão.
Para complementar os controles de acesso, proteja os dados em trânsito contra ataques "fora de banda" como a captura de tráfego. Use a criptografia para garantir que os invasores não possam ler nem modificar os dados com facilidade.
Para gerenciamento remoto, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado. Versões e protocolos obsoletos de SSL, TLS, SSH e criptografias fracas devem ser desabilitados.
Diretrizes de configuração: habilite a transferência segura em serviços em que há um recurso nativo de criptografia de dados em trânsito integrado. Aplique o HTTPS em todos os aplicativos e serviços da Web e certifique-se de que o TLS v1.2 ou posterior seja usado. Versões legadas, como SSL 3.0, TLS v1.0, devem ser desativadas. Para gerenciamento remoto de Máquinas Virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.
Observação: O HDInsight dá suporte à criptografia de dados em trânsito com TLS v1.2 ou superior. Criptografar todas as informações confidenciais em trânsito. Verifique se os clientes que se conectam ao cluster do Azure HDInsight ou armazenamentos de dados de cluster (contas de armazenamento do Microsoft Azure ou Azure Data Lake Storage Gen1/Gen2) podem negociar o TLS 1.2 ou superior. Recursos do Microsoft Azure negociarão o TLS 1.2 por padrão.
Para complementar os controles de acesso, proteja os dados em trânsito contra ataques "fora de banda" como a captura de tráfego. Use a criptografia para garantir que os invasores não possam ler nem modificar os dados com facilidade.
Para gerenciamento remoto, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado. Versões e protocolos obsoletos de SSL, TLS, SSH e criptografias fracas devem ser desabilitados.
Por padrão, o Azure fornece criptografia para dados em trânsito entre os data centers do Azure.
DP-4: habilitar a criptografia de dados inativos por padrão
Recursos
Criptografia de dados em repouso usando chaves de plataforma
Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Compartilhado |
Observações sobre o recurso: se estiver usando o Banco de Dados SQL do Azure para armazenar metadados do Apache Hive e do Apache Oozie, verifique se os dados SQL sempre permanecem criptografados. Para contas de armazenamento do Azure e Data Lake Storage (Gen1 ou Gen2), é recomendável permitir que a Microsoft gerencie suas chaves de criptografia, no entanto, você tem a opção de gerenciar suas próprias chaves.
O HDInsight oferece suporte a vários tipos de criptografia em duas camadas diferentes:
SSE (Criptografia do Serviço de Armazenamento) – Executada pelo serviço de armazenamento. No HDInsight, a SSE é usada para criptografar discos do sistema operacional e discos de dados. Isso é habilitado por padrão. A SSE é um serviço de criptografia de camada 1.
Criptografia no host usando chave gerenciada por plataforma – Semelhante à SSE, esse tipo de criptografia é executado pelo serviço de armazenamento. No entanto, esse serviço é apenas para discos temporários e não é habilitado por padrão. A criptografia no host também é um serviço de criptografia de camada 1.
Criptografia em repouso usando chave gerenciada pelo cliente – Esse tipo de criptografia pode ser usado em discos de dados e temporários. Ele não é habilitado por padrão e exige que o cliente forneça sua própria chave por meio do Azure Key Vault. A criptografia em repouso é um serviço de criptografia de camada 2.
Diretrizes de configuração: habilite a criptografia de dados em repouso usando chaves gerenciadas pela plataforma (gerenciadas pela Microsoft) quando não configuradas automaticamente pelo serviço.
Observação: se estiver usando o Banco de Dados SQL do Azure para armazenar metadados do Apache Hive e do Apache Oozie, verifique se os dados SQL sempre permanecem criptografados. Para contas de armazenamento do Azure e Data Lake Storage (Gen1 ou Gen2), é recomendável permitir que a Microsoft gerencie suas chaves de criptografia, no entanto, você tem a opção de gerenciar suas próprias chaves.
O HDInsight oferece suporte a vários tipos de criptografia em duas camadas diferentes:
SSE (Criptografia do Serviço de Armazenamento) – Executada pelo serviço de armazenamento. No HDInsight, a SSE é usada para criptografar discos do sistema operacional e discos de dados. Isso é habilitado por padrão. A SSE é um serviço de criptografia de camada 1.
Criptografia no host usando chave gerenciada por plataforma – Semelhante à SSE, esse tipo de criptografia é executado pelo serviço de armazenamento. No entanto, esse serviço é apenas para discos temporários e não é habilitado por padrão. A criptografia no host também é um serviço de criptografia de camada 1.
Criptografia em repouso usando chave gerenciada pelo cliente – Esse tipo de criptografia pode ser usado em discos de dados e temporários. Ele não é habilitado por padrão e exige que o cliente forneça sua própria chave por meio do Azure Key Vault. A criptografia em repouso é um serviço de criptografia de camada 2.
Referência: criptografia dupla do Azure HDInsight para dados em repouso
DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário
Recursos
Criptografia de dados inativos usando a CMK
Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente é compatível com o conteúdo do cliente armazenado pelo serviço. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Compartilhado |
Observações sobre o recurso: se estiver usando o Banco de Dados SQL do Azure para armazenar metadados do Apache Hive e do Apache Oozie, verifique se os dados SQL sempre permanecem criptografados. Para contas de armazenamento do Azure e Data Lake Storage (Gen1 ou Gen2), é recomendável permitir que a Microsoft gerencie suas chaves de criptografia, no entanto, você tem a opção de gerenciar suas próprias chaves.
O HDInsight oferece suporte a vários tipos de criptografia em duas camadas diferentes:
SSE (Criptografia do Serviço de Armazenamento) – Executada pelo serviço de armazenamento. No HDInsight, a SSE é usada para criptografar discos do sistema operacional e discos de dados. Isso é habilitado por padrão. A SSE é um serviço de criptografia de camada 1.
Criptografia no host usando chave gerenciada por plataforma – Semelhante à SSE, esse tipo de criptografia é executado pelo serviço de armazenamento. No entanto, esse serviço é apenas para discos temporários e não é habilitado por padrão. A criptografia no host também é um serviço de criptografia de camada 1.
Criptografia em repouso usando chave gerenciada pelo cliente – Esse tipo de criptografia pode ser usado em discos de dados e temporários. Ele não é habilitado por padrão e exige que o cliente forneça sua própria chave por meio do Azure Key Vault. A criptografia em repouso é um serviço de criptografia de camada 2.
Diretrizes de configuração: se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados inativos usando a chave gerenciada pelo cliente para esses serviços.
Observação: se estiver usando o Banco de Dados SQL do Azure para armazenar metadados do Apache Hive e do Apache Oozie, verifique se os dados SQL sempre permanecem criptografados. Para contas de armazenamento do Azure e Data Lake Storage (Gen1 ou Gen2), é recomendável permitir que a Microsoft gerencie suas chaves de criptografia, no entanto, você tem a opção de gerenciar suas próprias chaves.
O HDInsight oferece suporte a vários tipos de criptografia em duas camadas diferentes:
SSE (Criptografia do Serviço de Armazenamento) – Executada pelo serviço de armazenamento. No HDInsight, a SSE é usada para criptografar discos do sistema operacional e discos de dados. Isso é habilitado por padrão. A SSE é um serviço de criptografia de camada 1.
Criptografia no host usando chave gerenciada por plataforma – Semelhante à SSE, esse tipo de criptografia é executado pelo serviço de armazenamento. No entanto, esse serviço é apenas para discos temporários e não é habilitado por padrão. A criptografia no host também é um serviço de criptografia de camada 1.
Criptografia em repouso usando chave gerenciada pelo cliente – Esse tipo de criptografia pode ser usado em discos de dados e temporários. Ele não é habilitado por padrão e exige que o cliente forneça sua própria chave por meio do Azure Key Vault. A criptografia em repouso é um serviço de criptografia de camada 2.
Referência: criptografia dupla do Azure HDInsight para dados em repouso
DP-6: usar um processo de gerenciamento de chaves seguro
Recursos
Gerenciamento de chaves no Azure Key Vault
Descrição: o serviço dá suporte à integração do Azure Key Vault para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Compartilhado |
Observações sobre o recurso: se estiver usando o Banco de Dados SQL do Azure para armazenar metadados do Apache Hive e do Apache Oozie, verifique se os dados SQL sempre permanecem criptografados. Para contas de armazenamento do Azure e Data Lake Storage (Gen1 ou Gen2), é recomendável permitir que a Microsoft gerencie suas chaves de criptografia, no entanto, você tem a opção de gerenciar suas próprias chaves.
O HDInsight oferece suporte a vários tipos de criptografia em duas camadas diferentes:
SSE (Criptografia do Serviço de Armazenamento) – Executada pelo serviço de armazenamento. No HDInsight, a SSE é usada para criptografar discos do sistema operacional e discos de dados. Isso é habilitado por padrão. A SSE é um serviço de criptografia de camada 1.
Criptografia no host usando chave gerenciada por plataforma – Semelhante à SSE, esse tipo de criptografia é executado pelo serviço de armazenamento. No entanto, esse serviço é apenas para discos temporários e não é habilitado por padrão. A criptografia no host também é um serviço de criptografia de camada 1.
Criptografia em repouso usando chave gerenciada pelo cliente – Esse tipo de criptografia pode ser usado em discos de dados e temporários. Ele não é habilitado por padrão e exige que o cliente forneça sua própria chave por meio do Azure Key Vault. A criptografia em repouso é um serviço de criptografia de camada 2.
Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Azure Key Vault e seu serviço com base em um agendamento definido ou quando houver uma desativação ou comprometimento de chave. Quando houver a necessidade de usar a CMK (chave gerenciada pelo cliente) no nível da carga de trabalho, do serviço ou do aplicativo, siga as práticas recomendadas para o gerenciamento de chaves: Use uma hierarquia de chaves para gerar uma DEK (chave de criptografia de dados) separada com sua KEK (chave de criptografia de chave) no cofre de chaves. Verifique se as chaves estão registradas no Azure Key Vault e referenciadas por meio de IDs de chave do serviço ou aplicativo. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Azure Key Vault), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chaves.
Observação: se você estiver usando o Azure Key Vault com sua implantação do Azure HDInsight, teste periodicamente a restauração de chaves gerenciadas pelo cliente com backup.
Referência: criptografia dupla do Azure HDInsight para dados em repouso
DP-7: usar um processo seguro de gerenciamento de certificados
Recursos
Gerenciamento de certificados no Azure Key Vault
Descrição: o serviço dá suporte à integração do Azure Key Vault para qualquer certificado de cliente. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Verdadeiro | Microsoft |
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.
Referência: criptografia dupla do Azure HDInsight para dados em repouso
Gerenciamento de Ativos
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de ativos.
AM-2: usar apenas serviços aprovados
Recursos
Suporte ao Azure Policy
Descrição: As configurações de serviço podem ser monitoradas e impostas por meio do Azure Policy. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Customer |
Observações sobre o recurso: use aliases do Azure Policy no namespace "Microsoft.HDInsight" para criar políticas personalizadas. Configure as políticas para auditar ou impor a configuração de rede de cluster do HDInsight.
Se você tiver uma assinatura do Rapid7, Qualys ou de outra plataforma de gerenciamento de vulnerabilidades, você terá opções. Você pode usar ações de script para instalar agentes de avaliação de vulnerabilidade em seus cluster do Azure HDInsight e gerenciar os nós por meio do respectivo portal.
Com o ESP do Azure HDInsight, você pode usar o Apache Ranger para criar e gerenciar políticas de controle de acesso e ofuscação de dados refinadas. Você pode fazer isso para seus dados armazenados em: Arquivos/Pastas/Bancos de Dados/Tabelas/Linhas/Colunas.
O administrador do Hadoop pode configurar o RBAC do Azure para proteger o Apache Hive, o HBase, o Kafka e o Spark usando esses plug-ins no Apache Ranger.
Diretrizes de configuração: use o Microsoft Defender para Nuvem para configurar o Azure Policy para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio da configuração detectado nos recursos. Use os efeitos [negar] e [implantar se não existir] do Azure Policy para impor a configuração segura entre os recursos do Azure.
Referência: definições internas do Azure Policy para o Azure HDInsight
AM-5: usar apenas aplicativos aprovados na máquina virtual
Recursos
Microsoft Defender para Nuvem – Controles de Aplicativo Adaptáveis
Descrição: o serviço pode limitar quais aplicativos do cliente são executados na máquina virtual usando Controles de Aplicativo Adaptáveis no Microsoft Defender para Nuvem. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Falso | Não Aplicável | Não Aplicável |
Notas sobre o recurso: o Azure HDInsight não dá suporte ao defender nativamente; no entanto, ele usa o ClamAV. Além disso, ao usar o ESP para HDInsight, você pode usar alguns dos recursos internos de detecção de ameaças do Microsoft Defender para Nuvem. Você também pode habilitar o Microsoft Defender para suas VMs associadas ao HDInsight.
Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.
Registro em log e detecção de ameaças
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: registro em log e detecção de ameaças.
LT-1: habilitar funcionalidades de detecção de ameaças
Recursos
Microsoft Defender para oferta de serviço/produto
Descrição: o serviço tem uma solução Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.
LT-4: habilitar o registro em log para investigação de segurança
Recursos
Azure Resource Logs
Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs específicos do serviço aprimorados. O cliente pode configurar esses logs de recursos e enviá-los para o seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Customer |
Notas sobre recursos: os registros de atividades estão disponíveis automaticamente. Os logs contêm todas as operações PUT, POST e DELETE, menos a GET, para seus recursos do HDInsight, exceto operações de leitura (GET). É possível usar os logs de atividade para encontrar erros ao solucionar problemas ou para monitorar como os usuários em sua organização modificaram recursos.
Habilite os logs de recursos do Azure para o HDInsight. Você pode usar o Microsoft Defender para Nuvem e o Azure Policy para habilitar os logs de recursos e a coleta de dados de log. Esses logs podem ser críticos para investigar incidentes de segurança e conduzir exercícios forenses.
O HDInsight também produz logs de auditoria de segurança para as contas de administração locais. Habilite estes logs de auditoria do administrador local.
Diretrizes de configuração: habilite os logs de recursos para o serviço. Por exemplo, o Key Vault dá suporte a logs de recursos adicionais para ações que obtêm um segredo de um cofre de chaves ou e o SQL do Azure tem logs de recursos que rastreiam solicitações para um banco de dados. O conteúdo de logs de recursos varia de acordo com o tipo de recurso e serviço do Azure.
Referência: gerenciar logs para um cluster HDInsight
Gerenciamento de vulnerabilidades e postura
Para obter mais informações, consulte o Microsoft Cloud Security Benchmark: Postura e gerenciamento de vulnerabilidades.
PV-3: definir e estabelecer configurações seguras para recursos de computação
Recursos
State Configuration da Automação do Azure
Descrição: o State Configuration da Automação do Azure pode ser usado para manter a configuração de segurança do sistema operacional. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Customer |
Notas sobre o recurso: as imagens do sistema operacional do Azure HDInsight são gerenciadas e mantidas pela Microsoft. No entanto, o cliente é responsável por implementar a configuração de estado no nível do sistema operacional para essa imagem. Os modelos de VM da Microsoft combinados à State Configuration da Automação do Azure podem ajudar a atender e manter os requisitos de segurança.
Diretrizes de configuração: use o State Configuration da Automação do Azure para manter a configuração de segurança do sistema operacional.
Referência: visão geral do State Configuration da Automação do Azure
Agente de Configuração de Convidado do Azure Policy
Descrição: o agente de configuração de convidado do Azure Policy pode ser instalado ou implantado como uma extensão para recursos de computação. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Customer |
Diretrizes de configuração: Não há diretrizes atuais da Microsoft para essa configuração de recursos. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: entender o recurso de configuração do computador do Gerenciamento Automatizado do Azure
Imagens de VM personalizadas
Descrição: o serviço dá suporte ao uso de imagens de VM fornecidas pelo usuário ou imagens pré-criadas do marketplace com determinadas configurações de linha de base pré-aplicadas. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.
Imagens de contêineres personalizados
Descrição: o serviço dá suporte ao uso de imagens de contêiner fornecidas pelo usuário ou imagens pré-criadas do marketplace com determinadas configurações de linha de base pré-aplicadas. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.
PV-5: realizar avaliações de vulnerabilidade
Recursos
Avaliação de vulnerabilidade usando o Microsoft Defender
Descrição: o serviço pode ser verificado para verificação de vulnerabilidade usando o Microsoft Defender para Nuvem ou outro recurso de avaliação de vulnerabilidade incorporado dos serviços do Microsoft Defender (incluindo Microsoft Defender para servidor, registro de contêiner, Serviço de Aplicativo, SQL e DNS). Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Customer |
Observações sobre o recurso: o Azure HDInsight não dá suporte nativo ao Microsoft Defender para avaliação de vulnerabilidades, ele usa o ClamAV para proteção contra malware. No entanto, ao usar o ESP para HDInsight, você pode usar alguns dos recursos de detecção de ameaças internas do Microsoft Defender para Nuvem. Você também pode habilitar o Microsoft Defender para suas VMs associadas ao HDInsight.
Encaminhe os logs do HDInsight para seu SIEM que podem ser usados para configurar detecções de ameaças personalizadas. Não deixe de monitorar diferentes tipos de ativos do Azure quanto a possíveis ameaças e anomalias. Concentre-se em obter alertas de alta qualidade para reduzir os falsos positivos para os analistas classificarem. Os alertas podem ser originados de dados de log, agentes ou outros dados.
Diretrizes de configuração: siga as recomendações do Microsoft Defender para Nuvem para executar avaliações de vulnerabilidade em suas máquinas virtuais do Azure, imagens de contêiner e servidores SQL.
Observação: o Azure HDInsight não dá suporte ao defender nativamente, ele usa o ClamAV. No entanto, ao usar o ESP para HDInsight, você pode usar alguns dos recursos de detecção de ameaças internas do Microsoft Defender para Nuvem. Você também pode habilitar o Microsoft Defender para suas VMs associadas ao HDInsight.
Encaminhe os logs do HDInsight para seu SIEM que podem ser usados para configurar detecções de ameaças personalizadas. Não deixe de monitorar diferentes tipos de ativos do Azure quanto a possíveis ameaças e anomalias. Concentre-se em obter alertas de alta qualidade para reduzir os falsos positivos para os analistas classificarem. Os alertas podem ser originados de dados de log, agentes ou outros dados.
PV-6: corrigir vulnerabilidades de forma rápida e automática
Recursos
Gerenciamento de Atualizações de Automação do Azure
Descrição: o serviço pode usar o Gerenciamento de Atualizações da Automação do Azure para implantar patches e atualizações automaticamente. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Compartilhado |
Notas sobre o recurso: as imagens do Ubuntu ficam disponíveis para a criação de um novo cluster do Azure HDInsight dentro de três meses após a publicação. Os clusters em execução não são corrigidos automaticamente. Os clientes devem usar ações de script ou outros mecanismos para aplicar o patch de um cluster em execução. Como prática recomendada, você pode executar essas ações de script e aplicar atualizações de segurança logo após a criação do cluster.
Diretrizes de configuração: use o Gerenciamento de Atualizações de Automação do Azure ou uma solução de terceiros para garantir que as atualizações de segurança mais recentes sejam instaladas em suas VMs do Windows e do Linux. Para VMs do Windows, verifique se o Windows Update foi habilitado e definido para atualização automática.
Observação: as imagens do Ubuntu ficam disponíveis para a criação de um novo cluster do Azure HDInsight dentro de três meses após a publicação. Clusters em execução não são corrigidos automaticamente. Os clientes devem usar ações de script ou outros mecanismos para aplicar o patch de um cluster em execução. Como prática recomendada, você pode executar essas ações de script e aplicar atualizações de segurança logo após a criação do cluster.
Referência: Visão geral do Gerenciamento de Atualizações
Segurança do ponto de extremidade
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de ponto de extremidade.
ES-1: usar EDR (detecção e resposta de ponto de extremidade)
Recursos
Solução EDR
Descrição: o recurso EDR (Detecção e Resposta de Ponto de Extremidade), como o Azure Defender para servidores, pode ser implantado no ponto de extremidade. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Verdadeiro | Microsoft |
Observações sobre o recurso: o Azure HDInsight não dá suporte nativo ao Microsoft Defender para Ponto de Extremidade, ele usa o ClamAV para proteção contra malware.
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.
Referência: Posso desabilitar Clamscan no meu cluster?
ES-2: use um software antimalware moderno
Recursos
Solução antimalware
Descrição: o recurso antimalware, como o Microsoft Defender Antivírus, o Microsoft Defender para Ponto de Extremidade pode ser implantado no ponto de extremidade. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Verdadeiro | Microsoft |
Notas sobre o recurso: o Azure HDInsight usa o ClamAV. Encaminhe os logs do ClamAV para um SIEM centralizado ou outro sistema de detecção e alerta.
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.
Referência: Segurança e Certificados
ES-3: garantir que as assinaturas e o software antimalware estejam atualizados
Recursos
Monitoramento da integridade da solução antimalware
Descrição: a solução antimalware fornece monitoramento do status de integridade para atualizações automáticas de plataforma, mecanismo e assinatura. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Verdadeiro | Microsoft |
Observações sobre o recurso: o Azure HDInsight vem com o Clamscan pré-instalado e habilitado para as imagens de nó de cluster. O clamscan executará atualizações de mecanismo e definição automaticamente e atualizará suas assinaturas antimalware com base no banco de dados oficial da assinatura de vírus do ClamAV.
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.
Referência: Segurança e Certificados
Backup e recuperação
Para obter mais informações, consulte o Microsoft Cloud Security Benchmark: Backup e recuperação.
BR-1: garantir backups automatizados regulares
Recursos
Serviço de Backup do Azure
Descrição: o backup do serviço pode ser feito pelo serviço de Backup do Azure. Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.
Capacidade de backup nativo do serviço
Descrição: O serviço dá suporte a sua própria funcionalidade de backup nativo (se não estiver usando o Backup do Azure). Saiba mais.
| Com suporte | Ativado por padrão | Responsabilidade da Configuração |
|---|---|---|
| Verdadeiro | Falso | Customer |
Observações sobre o recurso: A Exportação do HBase e a Replicação do HBase são maneiras comuns de habilitar a continuidade dos negócios entre clusters do HBase do HDInsight.
A exportação do HBase é um processo de replicação em lote que usa o utilitário de exportação do HBase para exportar tabelas do cluster do HBase primário para seu armazenamento subjacente no Azure Data Lake Storage Gen 2. Os dados exportados podem ser acessados por meio do cluster secundário do HBase e importados para tabelas que devem estar no secundário. Enquanto a exportação do HBase oferece granularidade de nível de tabela, em situações de atualização incremental, o mecanismo de automação de exportação controla o intervalo de linhas incrementais a serem incluídas em cada execução.
Diretrizes de configuração: Não há diretrizes atuais da Microsoft para essa configuração de recursos. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: configurar backup e replicação para Apache HBase e Apache Phoenix no HDInsight
Próximas etapas
- Confira a visão geral do Microsoft Cloud Security Benchmark
- Saiba mais sobre a Linhas de base de segurança do Azure