Compartilhar via

Linha de base de segurança do Azure para Aplicativos de Contêiner do Azure

  • Artigo

Essa linha de base de segurança aplica as diretrizes do Microsoft Cloud Security Benchmark versão 1.0 aos Aplicativos de Contêiner do Azure. O parâmetro de comparação de segurança da nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis aos Aplicativos de Contêiner do Azure.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. As definições do Azure Policy serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender para Nuvem.

Quando um recurso tem definições relevantes do Azure Policy, eles são listados nesta linha de base para ajudar você a medir a conformidade com as recomendações e controles de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano pago do Microsoft Defender para habilitar determinados cenários de segurança.

Observação

Os recursos não aplicáveis aos Aplicativos de Contêiner do Azure foram excluídos. Para ver como os Aplicativos de Contêiner do Azure são mapeados completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, confira o arquivo completo de mapeamento da linha de base de segurança dos Aplicativos de Contêiner do Azure.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto dos Aplicativos de Contêiner do Azure, o que pode resultar em maiores considerações de segurança.

Atributo de Comportamento do Serviço Valor
Categoria do Produto Contêineres
O cliente pode acessar o HOST / SO Sem Acesso
O serviço pode ser implantado na rede virtual do cliente Verdadeiro
Armazena o conteúdo inativo do cliente Verdadeiro

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: O serviço dá suporte à implantação na rede virtual (VNet) privada do cliente. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: implante o serviço em uma rede virtual. Atribua IPs privados ao recurso (quando aplicável), a menos que haja um forte motivo para atribuir IPs públicos diretamente ao recurso.

Referência: integração de rede virtual dos Aplicativos de Contêiner do Azure

Suporte a grupos de segurança de rede

Descrição: O tráfego de rede de serviço respeita a atribuição de regra de grupos de segurança de rede em suas sub-redes. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: use grupos de segurança de rede (NSG) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras de NSG para restringir as portas abertas do serviço (como impedir que portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e de Azure Load Balancers.

Referência: protegendo uma VNET personalizada em Aplicativos de Contêiner do Azure

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Desabilitar o acesso à rede pública

Descrição: O serviço dá suporte à desabilitação do acesso à rede pública por meio do uso da regra de filtragem de ACL de IP no nível do serviço (não do NSG ou do Firewall do Azure) ou do uso de um comutador de alternância "Desabilitar acesso à rede pública". Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: desabilite o acesso à rede pública implantando uma configuração de ambiente de aplicativos de contêiner somente interno.

Referência: fornecer uma rede virtual para um ambiente interno dos Aplicativos de Contêiner do Azure

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: O serviço dá suporte ao uso da autenticação do Azure AD para acesso ao plano de dados. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: use o Azure Active Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de dados.

Referência: habilitar autenticação e autorização em Aplicativos de Contêiner do Azure com o Azure Active Directory

Métodos de autenticação local para acesso ao plano de dados

Descrição: Métodos de autenticações locais compatíveis com o acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Recursos

Identidades Gerenciadas

Descrição: As ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Observações sobre o recurso: a Identidade Gerenciada tem suporte para Aplicativos de Contêiner e componentes do Dapr, mas ainda não para regras de escala em um Aplicativo de Contêiner

Diretrizes de configuração: use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, que podem se autenticar em serviços e recursos do Azure que dão suporte à autenticação do Azure Active Directory (Azure AD). As credenciais de identidades gerenciadas são completamente gerenciadas, giradas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou arquivos de configuração.

Referência: usando a identidade gerenciada em Aplicativos de Contêiner do Azure

Entidades de Serviço

Descrição: O plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: Não há diretrizes atuais da Microsoft para essa configuração de recursos. Examine e determine se sua organização deseja configurar esse recurso de segurança.

IM-7: restringir o acesso aos recursos com base nas condições

Recursos

Acesso condicional para o plano de dados

Descrição: O acesso ao plano de dados pode ser controlado usando as políticas de acesso condicional do Azure AD. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

IM-8: restringir a exposição de credenciais e segredos

Recursos

Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault

Descrição: O plano de dados dá suporte ao uso nativo do Azure Key Vault para armazenamento de credenciais e segredos. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Aplicável Aplicável

Observações sobre o recurso: para Aplicativos de Contêiner habilitados para Dapr, os clientes podem aproveitar o Azure Key Vault para referências secretas.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-1: separar e limitar usuários altamente privilegiados/administrativos

Recursos

Contas de administrador local

Descrição: O serviço tem o conceito de uma conta administrativa local. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

PA-7: Seguir a administração Just Enough (princípio de privilégios mínimos)

Recursos

RBAC do Azure para plano de dados

Descrição: O Controle de Acesso Baseado em Função (RBAC) do Azure pode ser usado para gerenciar o acesso às ações do plano de dados do serviço. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Recursos

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso ao suporte da Microsoft. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança na nuvem da Microsoft: proteção de dados.

DP-1: descobrir, classificar e rotular dados confidenciais

Recursos

Descoberta e classificação de dados confidenciais

Descrição: ferramentas (como Azure Purview ou Proteção de Informações do Azure) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais

Recursos

Prevenção de vazamento/perda de dados

Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: O serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: habilite a transferência segura em serviços em que há um recurso nativo de criptografia de dados em trânsito integrado. Aplique o HTTPS em todos os aplicativos e serviços da Web e certifique-se de que o TLS v1.2 ou posterior seja usado. Versões legadas, como SSL 3.0, TLS v1.0, devem ser desativadas. Para gerenciamento remoto de Máquinas Virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.

Referência: configurar a entrada HTTPS ou TCP nos Aplicativos de Contêiner do Azure

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Verdadeiro Microsoft

Notas de recurso: os Aplicativos de Contêiner do Azure aproveitam a criptografia padrão da Microsoft para dados em repouso.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: Criptografia dupla

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário

Recursos

Criptografia de dados inativos usando a CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente é compatível com o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

DP-6: usar um processo de gerenciamento de chaves seguro

Recursos

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração do Azure Key Vault para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

DP-7: usar um processo seguro de gerenciamento de certificados

Recursos

Gerenciamento de certificados no Azure Key Vault

Descrição: o serviço dá suporte à integração do Azure Key Vault para qualquer certificado de cliente. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

Gerenciamento de Ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: As configurações de serviço podem ser monitoradas e impostas por meio do Azure Policy. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: use o Microsoft Defender para Nuvem para configurar o Azure Policy para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio da configuração detectado nos recursos. Use os efeitos [negar] e [implantar se não existir] do Azure Policy para impor a configuração segura entre os recursos do Azure.

Referência: definições internas do Azure Policy para Aplicativos de Contêiner do Azure

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs específicos do serviço aprimorados. O cliente pode configurar esses logs de recursos e enviá-los para o seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Verdadeiro Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: opções de armazenamento e monitoramento de logs nos Aplicativos de Contêiner do Azure

Gerenciamento de postura e vulnerabilidades

Para obter mais informações, consulte o Microsoft Cloud Security Benchmark: Postura e gerenciamento de vulnerabilidades.

PV-3: Estabelecer configurações seguras para recursos de computação

Recursos

Imagens de contêineres personalizados

Descrição: o serviço dá suporte ao uso de imagens de contêiner fornecidas pelo usuário ou imagens pré-criadas do marketplace com determinadas configurações de linha de base pré-aplicadas. Saiba mais

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: você pode extrair imagens de repositórios privados no Registro de Contêiner do Microsoft Azure usando identidades gerenciadas para autenticação para evitar o uso de credenciais administrativas. Você pode usar uma identidade gerenciada atribuída pelo sistema ou atribuída pelo usuário para autenticar com Registro de Contêiner do Azure.

Referência: pull de imagem dos Aplicativos de Contêiner do Azure com identidade gerenciada

PV-5: realizar avaliações de vulnerabilidade

Recursos

Avaliação de vulnerabilidade usando o Microsoft Defender

Descrição: o serviço pode ser verificado para verificação de vulnerabilidade usando o Microsoft Defender para Nuvem ou outro recurso de avaliação de vulnerabilidade incorporado dos serviços do Microsoft Defender (incluindo Microsoft Defender para servidor, registro de contêiner, Serviço de Aplicativo, SQL e DNS). Saiba mais

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não aplicável Não aplicável

Diretrizes de configuração: embora os Aplicativos de Contêiner não ofereçam suporte à avaliação de vulnerabilidade executada pelo Defender para Contêineres, o Registro de Contêiner do Azure que pode ser integrado aos Aplicativos de Contêiner dá suporte à avaliação de vulnerabilidade.

Referência: Usar o Defender para Contêineres para verificar se há vulnerabilidades nas imagens do Registro de Contêiner do Azure

Backup e recuperação

Para obter mais informações, consulte o Microsoft Cloud Security Benchmark: Backup e recuperação.

BR-1: garantir backups automatizados regulares

Recursos

Serviço de Backup do Azure

Descrição: o backup do serviço pode ser feito pelo serviço de Backup do Azure. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

Capacidade de backup nativo do serviço

Descrição: O serviço dá suporte a sua própria funcionalidade de backup nativo (se não estiver usando o Backup do Azure). Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

Próximas etapas