Compartilhar via

Linha de base de segurança do Azure para o Key Vault

  • Artigo

Essa linha de base de segurança aplica diretrizes do microsoft cloud security benchmark versão 1.0 para Key Vault. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis a Key Vault.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem definições de Azure Policy relevantes, eles são listados nesta linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetros de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.

Observação

Recursos não aplicáveis a Key Vault foram excluídos. Para ver como Key Vault mapeia completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, consulte o arquivo completo de mapeamento de linha de base de segurança Key Vault.

Perfil de segurança

O perfil de segurança resume comportamentos de alto impacto de Key Vault, o que pode resultar em maiores considerações de segurança.

Atributo de comportamento do serviço Valor
Categoria do Produto Segurança
O cliente pode acessar HOST/SO Sem Acesso
O serviço pode ser implantado na rede virtual do cliente True
Armazena o conteúdo do cliente em repouso True

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: o Azure Key Vault dá suporte a pontos de extremidade de serviço de rede virtual que permitem restringir o acesso do cofre de chaves a uma rede virtual especificada.

Referência: Segurança de Rede Key Vault do Azure

Suporte ao Grupo de Segurança de Rede

Descrição: o tráfego de rede de serviço respeita a atribuição de regra de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use NSG (grupos de segurança de rede) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras de NSG para restringir as portas abertas do serviço (como impedir que portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e de Azure Load Balancers.

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não deve ser confundida com NSG ou Firewall do Azure). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: implante pontos de extremidade privados para o Azure Key Vault para estabelecer um ponto de acesso privado para os recursos.

Referência: Key Vault Link Privado do Azure

Desabilitar o acesso à rede pública

Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: desabilite o acesso à rede pública usando as regras de filtragem de IP do firewall do Azure Key Vault.

Referência: segurança de rede do Azure Key Vault

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.KeyVault:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
O Azure Key Vault deve ter o firewall habilitado Habilite o firewall do cofre de chaves para que o cofre de chaves não seja acessível por padrão a nenhum IP público. Opcionalmente, você pode configurar intervalos de IP específicos para limitar o acesso a essas redes. Saiba mais em: https://docs.microsoft.com/azure/key-vault/general/network-security Audit, Deny, desabilitado 3.2.1

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: autenticação de Key Vault do Azure

Métodos de autenticação local para acesso ao plano de dados

Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Recursos

Identidades gerenciadas

Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, que podem se autenticar nos serviços e recursos do Azure que dão suporte à autenticação do Azure Active Directory (Azure AD). As credenciais de identidades gerenciadas são completamente gerenciadas, giradas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou arquivos de configuração.

Referência: autenticação de Key Vault do Azure

Entidades de Serviço

Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes adicionais: é recomendável usar identidades gerenciadas em vez de entidades de serviço. Quando as entidades de serviço precisam ser usadas, limite o uso para usar cenários de caso em que o acesso não baseado no usuário é necessário e não há suporte para identidades gerenciadas, como fluxos de automação ou integrações de sistema de terceiros.

Referência: autenticação de Key Vault do Azure

IM-7: restringir o acesso aos recursos com base nas condições

Recursos

Acesso condicional para o plano de dados

Descrição: o acesso ao plano de dados pode ser controlado usando Azure AD Políticas de Acesso Condicional. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: defina as condições e os critérios aplicáveis para o acesso condicional do Azure Active Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear o comportamento de entrada arriscado ou exigir dispositivos gerenciados pela organização para aplicativos específicos.

Referência: acesso condicional Key Vault do Azure

IM-8: restringir a exposição de credenciais e segredos

Recursos

Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault

Descrição: o plano de dados dá suporte ao uso nativo de Key Vault do Azure para armazenamento de credenciais e segredos. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: verifique se os segredos e as credenciais estão armazenados em locais seguros, como o Azure Key Vault, em vez de inseri-los em arquivos de código ou de configuração.

Referência: sobre segredos de Key Vault do Azure

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-1: separar e limitar usuários administrativos/altamente privilegiados

Recursos

Contas de Administração locais

Descrição: o serviço tem o conceito de uma conta administrativa local. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)

Recursos

RBAC do Azure para Plano de Dados

Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para acesso gerenciado às ações do plano de dados do serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use o RBAC (controle de acesso baseado em função) do Azure para gerenciar o acesso a recursos do Azure por meio de atribuições de função internas. As funções RBAC do Azure podem ser atribuídas a usuários, grupos, entidades de serviço e identidades gerenciadas.

Referência: suporte ao RBAC do Azure Key Vault

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Diretrizes adicionais: nenhuma configuração adicional é necessária, pois ela é gerenciada pela Plataforma Azure

Referência: recursos de segurança do Azure Key Vault

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Azure Key Vault repositório seguro de segredos e chaves

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário

Recursos

Criptografia de dados inativos usando a CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: a Key Vault do Azure é onde você armazena suas chaves para criptografia de CMK (chave gerenciada pelo cliente). Você tem a opção de usar chaves protegidas por software ou chaves protegidas por HSM (módulo de segurança de hardware) para sua solução cmk.

Observação: para obter detalhes de HSM e chave gerenciada pelo cliente, consulte: https://techcommunity.microsoft.com/t5/azure-confidential-computing/azure-key-vault-managed-hsm-control-your-data-in-the-cloud/ba-p/3359310

Referência: Azure Key Vault repositório seguro de segredos e chaves

DP-6: usar um processo de gerenciamento de chaves seguro

Recursos

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração de Key Vault do Azure para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: siga as melhores práticas do Azure Key Vault para gerenciar com segurança seu ciclo de vida de chave no cofre de chaves. Isso inclui a geração, distribuição, armazenamento, rotação e revogação de chaves.

Referência: gerenciamento de chaves do Azure Key Vault

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.KeyVault:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
As chaves do Key Vault devem ter uma data de validade As chaves de criptografia devem ter uma data de validade definida e não ser permanentes. As chaves válidas para sempre dão a um invasor potencial mais tempo para comprometer a chave. Uma prática de segurança recomendada é definir as datas de validade em chaves de criptografia. Audit, Deny, desabilitado 1.0.2

DP-7: usar um processo seguro de gerenciamento de certificados

Recursos

Gerenciamento de certificados no Azure Key Vault

Descrição: o serviço dá suporte à integração de Key Vault do Azure para todos os certificados do cliente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: siga as melhores práticas do Azure Key Vault para gerenciar com segurança o ciclo de vida do certificado no cofre de chaves. Isso inclui a criação/importação de chave, rotação, revogação, armazenamento e limpeza do certificado.

Referência: Gerenciamento de certificados Key Vault do Azure

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.KeyVault:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
Os certificados devem ter o período máximo de validade especificado Gerenciar seus requisitos de conformidade organizacional especificando o período de tempo máximo em que um certificado permanece válido no cofre de chaves. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 2.2.1

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use Microsoft Defender para Nuvem para configurar Azure Policy para auditar e impor configurações do Key Vault do Azure. Use o Azure Monitor para criar alertas quando houver um desvio da configuração detectado nos recursos. Use Azure Policy efeitos [negar] e [implantar se não existir] para impor a configuração segura entre os recursos do Azure.

Referência: política de Key Vault do Azure

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: habilite Microsoft Defender para Key Vault, quando você receber um alerta de Microsoft Defender para Key Vault, investigue e responda ao alerta.

Referência: Microsoft Defender para Key Vault do Azure

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: habilite os logs de recursos para o cofre de chaves. Os logs de recursos do Azure Key Vault podem registrar atividades de operação de chave, como criação, recuperação e exclusão de chaves.

Referência: registro em log de Key Vault do Azure

Backup e recuperação

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.

BR-1: garantir backups automatizados regulares

Recursos

Serviço de Backup do Azure

Descrição: o serviço pode ser feito com backup pelo serviço Backup do Azure. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Funcionalidade de backup nativo de serviço

Descrição: o serviço dá suporte à sua própria funcionalidade de backup nativo (se não estiver usando Backup do Azure). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes adicionais: use o recurso de backup nativo do Azure Key Vault para fazer backup de seus segredos, chaves e certificados e garantir que o serviço seja recuperável usando os dados de backup.

Referência: backup do Azure Key Vault

Próximas etapas