Linha de base de segurança do Azure para Aplicativos de Contêiner do Azure
Esta linha de base de segurança aplica orientações do benchmark de segurança na nuvem da Microsoft versão 1.0 aos Aplicativos de Contêiner do Azure. A referência de segurança da cloud da Microsoft fornece recomendações sobre como pode proteger as suas soluções na cloud no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo benchmark de segurança na nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis aos Aplicativos de Contêiner do Azure.
Pode monitorizar esta linha de base de segurança e as respetivas recomendações com Microsoft Defender para a Cloud. Azure Policy definições serão listadas na secção Conformidade Regulamentar da página Microsoft Defender do portal da Cloud.
Quando uma funcionalidade tem definições de Azure Policy relevantes, estas são listadas nesta linha de base para o ajudar a medir a conformidade com os controlos e recomendações de referência de segurança da cloud da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para ativar determinados cenários de segurança.
Nota
Os recursos não aplicáveis aos Aplicativos de Contêiner do Azure foram excluídos. Para ver como os Aplicativos de Contêiner do Azure são mapeados completamente para o benchmark de segurança de nuvem da Microsoft, consulte o arquivo de mapeamento de linha de base de segurança completo dos Aplicativos de Contêiner do Azure.
Perfil de segurança
O perfil de segurança resume comportamentos de alto impacto dos Aplicativos de Contêiner do Azure, o que pode resultar em considerações de segurança maiores.
| Atributo comportamento do serviço | Value |
|---|---|
| Categoria do Produto | Contentores |
| O cliente pode aceder ao HOST/SO | Sem Acesso |
| O serviço pode ser implementado na rede virtual do cliente | True |
| Armazena o conteúdo do cliente inativo | True |
Segurança da rede
Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Segurança de rede.
NS-1: Estabelecer limites de segmentação de rede
Funcionalidades
Integração da Rede Virtual
Descrição: o serviço suporta a implementação na Rede Virtual privada (VNet) do cliente. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| True | False | Cliente |
Diretrizes de configuração: implante o serviço em uma rede virtual. Atribua IPs privados ao recurso (quando aplicável), a menos que haja um motivo forte para atribuir IPs públicos diretamente ao recurso.
Referência: Integração de Rede Virtual de Aplicativos de Contêiner do Azure
Suporte ao Grupo de Segurança de Rede
Descrição: O tráfego de rede de serviço respeita a atribuição de regras de Grupos de Segurança de Rede em suas sub-redes. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| True | False | Cliente |
Diretrizes de configuração: use grupos de segurança de rede (NSG) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras NSG para restringir as portas abertas do seu serviço (como impedir que as portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e dos Balanceadores de Carga do Azure.
Referência: Protegendo uma VNET personalizada em Aplicativos de Contêiner do Azure
NS-2: Proteger serviços cloud com controlos de rede
Funcionalidades
Desativar o Acesso à Rede Pública
Descrição: o serviço suporta a desativação do acesso à rede pública através da utilização da regra de filtragem da ACL IP ao nível do serviço (não do NSG ou Azure Firewall) ou através de um botão de alternar "Desativar Acesso à Rede Pública". Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| True | False | Cliente |
Diretrizes de configuração: desabilite o acesso à rede pública implantando uma configuração de ambiente de aplicativos de contêiner somente interna.
Referência: Fornecer uma rede virtual a um ambiente interno de Aplicativos de Contêiner do Azure
Gestão de identidades
Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Gestão de identidades.
IM-1: utilizar o sistema de autenticação e identidade centralizado
Funcionalidades
Autenticação Azure AD Necessária para o Acesso ao Plano de Dados
Descrição: o serviço suporta a utilização de autenticação Azure AD para acesso ao plano de dados. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| True | False | Cliente |
Diretrizes de configuração: use o Azure Ative Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de dados.
Referência: Habilitar autenticação e autorização em Aplicativos de Contêiner do Azure com o Azure Ative Directory
Métodos de Autenticação Local para Acesso ao Plano de Dados
Descrição: métodos de autenticação locais suportados para o acesso ao plano de dados, como um nome de utilizador local e uma palavra-passe. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não Aplicável | Não Aplicável |
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
IM-3: Gerir identidades de aplicações de forma segura e automática
Funcionalidades
Identidades Geridas
Descrição: as ações do plano de dados suportam a autenticação com identidades geridas. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| True | False | Cliente |
Notas de funcionalidade: A Identidade Gerida é suportada para Aplicações de Contentor e componentes Dapr, mas ainda não para regras de dimensionamento numa Aplicação de Contentor
Orientação de Configuração: utilize identidades geridas do Azure em vez de principais de serviço sempre que possível, o que pode autenticar-se nos serviços e recursos do Azure que suportam a autenticação do Azure Active Directory (Azure AD). As credenciais de identidade gerida são totalmente geridas, rodadas e protegidas pela plataforma, evitando credenciais codificadas em código fonte ou ficheiros de configuração.
Referência: Usando a identidade gerenciada em aplicativos de contêiner do Azure
Principais de Serviço
Descrição: o plano de dados suporta a autenticação através de principais de serviço. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| True | False | Cliente |
Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.
IM-7: Restringir o acesso a recursos com base nas condições
Funcionalidades
Acesso Condicional para Plano de Dados
Descrição: o acesso ao plano de dados pode ser controlado com Azure AD Políticas de Acesso Condicional. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não Aplicável | Não Aplicável |
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
IM-8: Restringir a exposição de credenciais e segredos
Funcionalidades
Integração e Armazenamento de Suporte de Credenciais de Serviço e Segredos no Azure Key Vault
Descrição: o plano de dados suporta a utilização nativa do Azure Key Vault para arquivo de credenciais e segredos. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| True | Aplicável | Aplicável |
Notas de recurso: Para Aplicativos de Contêiner habilitados para Dapr, os clientes podem aproveitar o Azure Key Vault para referências secretas.
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
Acesso privilegiado
Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Acesso privilegiado.
PA-1: separar e limitar utilizadores altamente privilegiados/administrativos
Funcionalidades
Contas de Administração Local
Descrição: o serviço tem o conceito de uma conta administrativa local. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não Aplicável | Não Aplicável |
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
PA-7: Siga o princípio da administração (mínimo privilégio) suficiente
Funcionalidades
RBAC do Azure para Plano de Dados
Descrição: o Azure Role-Based Controlo de Acesso (RBAC do Azure) pode ser utilizado para gerir o acesso às ações do plano de dados do serviço. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não Aplicável | Não Aplicável |
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
PA-8: Determinar o processo de acesso para o suporte do fornecedor de cloud
Funcionalidades
Sistema de Proteção de Dados do Cliente
Descrição: o Customer Lockbox pode ser utilizado para o acesso ao suporte da Microsoft. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não Aplicável | Não Aplicável |
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
Proteção de dados
Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Proteção de dados.
DP-1: Detetar, classificar e etiquetar dados confidenciais
Funcionalidades
Deteção e Classificação de Dados Confidenciais
Descrição: as ferramentas (como o Azure Purview ou o Azure Information Protection) podem ser utilizadas para a deteção e classificação de dados no serviço. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não Aplicável | Não Aplicável |
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
DP-2: Monitorizar anomalias e ameaças que visam dados confidenciais
Funcionalidades
Fuga de Dados/Prevenção de Perda
Descrição: o serviço suporta a solução DLP para monitorizar o movimento de dados confidenciais (no conteúdo do cliente). Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não Aplicável | Não Aplicável |
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
DP-3: Encriptar dados confidenciais em trânsito
Funcionalidades
Dados na Encriptação de Trânsito
Descrição: o serviço suporta a encriptação de dados em trânsito para o plano de dados. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| True | False | Cliente |
Orientação de configuração: habilite a transferência segura em serviços onde há um recurso nativo de criptografia de dados em trânsito integrado. Imponha HTTPS em quaisquer aplicativos e serviços da Web e certifique-se de que o TLS v1.2 ou posterior seja usado. As versões herdadas, como SSL 3.0, TLS v1.0, devem ser desativadas. Para gerenciamento remoto de máquinas virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.
Referência: Configurar a entrada HTTPS ou TCP em Aplicativos de Contêiner do Azure
DP-4: Ativar a encriptação de dados inativos por predefinição
Funcionalidades
Encriptação de Dados Inativos Utilizando Chaves de Plataforma
Descrição: a encriptação inativa de dados através de chaves de plataforma é suportada, qualquer conteúdo de cliente inativo é encriptado com estas chaves geridas pela Microsoft. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| True | True | Microsoft |
Notas de funcionalidade: As Aplicações de Contentor do Azure utilizam a encriptação predefinida da Microsoft para dados em repouso.
Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.
Referência: Encriptação dupla
DP-5: Utilize a opção chave gerida pelo cliente na encriptação de dados inativos quando necessário
Funcionalidades
Encriptação de Dados Inativos com CMK
Descrição: a encriptação de dados inativos com chaves geridas pelo cliente é suportada para o conteúdo do cliente armazenado pelo serviço. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não Aplicável | Não Aplicável |
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
DP-6: Utilizar um processo de gestão de chaves segura
Funcionalidades
Gestão de Chaves no Azure Key Vault
Descrição: o serviço suporta a integração do Azure Key Vault para quaisquer chaves de cliente, segredos ou certificados. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não Aplicável | Não Aplicável |
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
DP-7: Use um processo seguro de gerenciamento de certificados
Funcionalidades
Gerenciamento de certificados no Azure Key Vault
Descrição: O serviço dá suporte à integração do Azure Key Vault para qualquer certificado de cliente. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não Aplicável | Não Aplicável |
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
Gestão de ativos
Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Gestão de ativos.
AM-2: Utilizar apenas serviços aprovados
Funcionalidades
Suporte do Azure Policy
Descrição: as configurações do serviço podem ser monitorizadas e impostas através de Azure Policy. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| True | False | Cliente |
Diretrizes de configuração: use o Microsoft Defender for Cloud para configurar a Política do Azure para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio de configuração detetado nos recursos. Use os efeitos da Política do Azure [negar] e [implantar se não existir] para impor a configuração segura nos recursos do Azure.
Referência: Definições internas da Política do Azure para Aplicativos de Contêiner do Azure
Deteção de registo e de ameaça
Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Registo e deteção de ameaças.
LT-1: Ativar as capacidades de deteção de ameaças
Funcionalidades
Microsoft Defender de Serviço/Oferta de Produtos
Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorizar e alertar sobre problemas de segurança. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não Aplicável | Não Aplicável |
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
LT-4: Ativar o registo para investigação de segurança
Funcionalidades
Registos de Recursos do Azure
Descrição: o Serviço produz registos de recursos que podem fornecer métricas e registos específicos do serviço melhorados. O cliente pode configurar estes registos de recursos e enviá-los para o seu próprio sink de dados, como uma conta de armazenamento ou uma área de trabalho do Log Analytics. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| True | True | Microsoft |
Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.
Referência: Opções de armazenamento e monitoramento de log em Aplicativos de Contêiner do Azure
Gestão da Postura e da Vulnerabilidade
Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Postura e gerenciamento de vulnerabilidades.
PV-3: Estabeleça configurações seguras para recursos de computação
Funcionalidades
Imagens de contêineres personalizados
Descrição: O serviço suporta o uso de imagens de contêiner fornecidas pelo usuário ou imagens pré-criadas do mercado com determinadas configurações de linha de base pré-aplicadas. Mais informações
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| True | False | Cliente |
Diretrizes de configuração: você pode extrair imagens de repositórios privados no Registro de Contêiner do Microsoft Azure usando identidades gerenciadas para autenticação para evitar o uso de credenciais administrativas. Você pode usar uma identidade gerenciada atribuída pelo sistema ou pelo usuário para autenticar com o Registro de Contêiner do Azure.
Referência: Pull de imagem dos Aplicativos de Contêiner do Azure com identidade gerenciada
PV-5: Realizar avaliações de vulnerabilidade
Funcionalidades
Avaliação de vulnerabilidade usando o Microsoft Defender
Descrição: O serviço pode ser verificado quanto à verificação de vulnerabilidades usando o Microsoft Defender for Cloud ou outros recursos de avaliação de vulnerabilidade incorporados dos serviços Microsoft Defender (incluindo o Microsoft Defender para servidor, registro de contêiner, Serviço de Aplicativo, SQL e DNS). Mais informações
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não aplicável | Não aplicável |
Orientações de Configuração: Embora as Aplicações de Contentor não suportem a avaliação de vulnerabilidades realizada pelo Defender for Containers, o Registo de Contentores do Azure que pode ser integrado com as Aplicações de Contentor suporta a avaliação de vulnerabilidades.
Cópia de segurança e recuperação
Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Cópia de segurança e recuperação.
BR-1: Garantir cópias de segurança automatizadas regulares
Funcionalidades
Azure Backup
Descrição: o serviço pode ser efetuado uma cópia de segurança pelo serviço Azure Backup. Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não Aplicável | Não Aplicável |
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
Capacidade de Cópia de Segurança Nativa do Serviço
Descrição: o serviço suporta a sua própria capacidade de cópia de segurança nativa (se não estiver a utilizar Azure Backup). Mais informações.
| Suportado | Ativado Por Predefinição | Responsabilidade de Configuração |
|---|---|---|
| False | Não Aplicável | Não Aplicável |
Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.
Próximos passos
- Veja a descrição geral da referência de segurança da cloud da Microsoft
- Saiba mais sobre as linhas de base de segurança do Azure