Compartilhar via

Linha de base de segurança do Azure para o Azure Resource Manager

  • Artigo

Essa linha de base de segurança aplica diretrizes do microsoft cloud security benchmark versão 1.0 ao Azure Resource Manager. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao Azure Resource Manager.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem definições de Azure Policy relevantes, eles são listados nesta linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetros de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.

Observação

Recursos não aplicáveis aos Resource Manager do Azure foram excluídos. Para ver como o Azure Resource Manager completamente mapeado para o parâmetro de comparação de segurança de nuvem da Microsoft, consulte o arquivo completo de mapeamento de linha de base de segurança do Azure Resource Manager.

Perfil de segurança

O perfil de segurança resume comportamentos de alto impacto do Azure Resource Manager, o que pode resultar em considerações de segurança maiores.

Atributo de comportamento do serviço Valor
Categoria do Produto MGMT/Governança
O cliente pode acessar HOST/SO Sem Acesso
O serviço pode ser implantado na rede virtual do cliente Falso
Armazena o conteúdo do cliente em repouso Falso

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não deve ser confundida com NSG ou Firewall do Azure). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: implante pontos de extremidade privados para estabelecer um ponto de acesso privado para gerenciar os recursos no grupo de gerenciamento raiz (locatário).

Observação: o Gerenciamento de Recursos Link Privado recursos podem ser conectados a um ponto de extremidade privado para habilitar o acesso seguro e privado para gerenciar recursos do Azure.

Referência: criar um link privado para gerenciar recursos do Azure

Desabilitar o acesso à rede pública

Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Notas de recurso: o Azure Resource Manager dá suporte à conectividade privada por meio de pontos de extremidade privados do Azure e do recurso Links Privados de Gerenciamento de Recursos. No entanto, a capacidade de desabilitar o acesso à rede pública ainda não está disponível.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Recursos

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: migrando para o TLS 1.2 para o Azure Resource Manager

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recursos. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: Azure Policy definições internas para o Azure Resource Manager

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: Microsoft Defender para Resource Manager monitora as operações de gerenciamento de recursos em sua organização, sejam elas executadas por meio do portal do Azure, APIs REST do Azure, CLI do Azure ou outros clientes programáticos do Azure. O Defender para Nuvem executa análises de segurança avançadas a fim de detectar ameaças e alertar você sobre atividades suspeitas.

Referência: Visão geral do Microsoft Defender para Resource Manager

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Resources:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
O Azure Defender para o Serviço de Aplicativo deve estar habilitado O Azure Defender para o Serviço de Aplicativo utiliza a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns aos aplicativos Web. AuditIfNotExists, desabilitado 1.0.3

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: habilite os logs de recursos para o Azure Resource Manager. Quando você cria e gerencia recursos no Azure, suas solicitações são orquestradas por meio do painel de controle do Azure, o Azure Resource Manager. Com o log de recursos, você pode monitorar o volume e a latência das solicitações do painel de controle feitas no Azure. Com essas métricas, você pode observar tráfego e latência para solicitações do painel de controle em todas as assinaturas. Por exemplo, agora você pode descobrir quando suas solicitações foram limitadas ou falharam, filtrando-as por códigos de status específicos.

Referência: métricas de Resource Manager do Azure no Azure Monitor

Backup e recuperação

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.

BR-1: garantir backups automatizados regulares

Recursos

Funcionalidade de backup nativo de serviço

Descrição: o serviço dá suporte à sua própria funcionalidade de backup nativo (se não estiver usando Backup do Azure). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Notas de recurso: a exportação de modelo de Resource Manager do Azure não pode ser usada para capturar dados inativos. Para configurações de recursos, é recomendável que você crie a infraestrutura a partir de modelos de origem e que, quando necessário, você reimplante a partir dessa fonte de verdade. A Exportação de Modelo pode ajudar a inicializar esse processo, mas não é robusta o suficiente para levar em conta a recuperação de desastres.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Próximas etapas