Partilhar via

Linha de base de segurança do Azure para o Data Factory

  • Artigo

Esta linha de base de segurança aplica as orientações do benchmark de segurança na nuvem da Microsoft versão 1.0 ao Data Factory. A referência de segurança da cloud da Microsoft fornece recomendações sobre como pode proteger as suas soluções na cloud no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo benchmark de segurança na nuvem da Microsoft e pelas orientações relacionadas aplicáveis ao Data Factory.

Pode monitorizar esta linha de base de segurança e as respetivas recomendações com Microsoft Defender para a Cloud. Azure Policy definições serão listadas na secção Conformidade Regulamentar da página Microsoft Defender do portal da Cloud.

Quando uma funcionalidade tem definições de Azure Policy relevantes, estas são listadas nesta linha de base para o ajudar a medir a conformidade com os controlos e recomendações de referência de segurança da cloud da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para ativar determinados cenários de segurança.

Nota

Os recursos não aplicáveis ao Data Factory foram excluídos. Para ver como o Data Factory mapeia completamente para o benchmark de segurança na nuvem da Microsoft, consulte o arquivo de mapeamento de linha de base de segurança completo do Data Factory.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do Data Factory, o que pode resultar em maiores considerações de segurança.

Atributo comportamento do serviço Value
Categoria do Produto Análise, Integração
O cliente pode aceder ao HOST/SO Sem Acesso
O serviço pode ser implementado na rede virtual do cliente True
Armazena o conteúdo do cliente inativo True

Segurança da rede

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Segurança de rede.

NS-1: Estabelecer limites de segmentação de rede

Funcionalidades

Integração da Rede Virtual

Descrição: o serviço suporta a implementação na Rede Virtual privada (VNet) do cliente. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Notas de funcionalidade: O tempo de execução da Integração Azure-SSIS suporta a injeção de rede virtual na rede virtual do cliente. Ao criar um IR (Integration Runtime) do Azure-SSIS, você pode associá-lo a uma rede virtual. Ele permitirá que o Azure Data Factory crie determinados recursos de rede, como um NSG e um balanceador de carga. Você também pode fornecer seu próprio endereço IP público estático ou fazer com que o Azure Data Factory crie um para você. O tempo de execução de integração (IR) auto-hospedado pode ser configurado em VM IaaS dentro da rede virtual do cliente. O tráfego de rede também é regido pelas configurações de NSG e firewall do cliente.

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Associar o tempo de execução da integração Azure-SSIS a uma rede virtual

Suporte ao Grupo de Segurança de Rede

Descrição: O tráfego de rede de serviço respeita a atribuição de regras de Grupos de Segurança de Rede em suas sub-redes. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Notas de funcionalidade: O tempo de execução da Integração Azure-SSIS suporta a injeção de rede virtual na rede virtual do cliente. Ele cumpre todas as regras de NSG e firewall definidas pelo cliente em sua rede virtual. Ao criar um IR (Integration Runtime) do Azure-SSIS, você pode associá-lo a uma rede virtual. Ele permitirá que o Azure Data Factory crie determinados recursos de rede, como um NSG e um balanceador de carga. Você também pode fornecer seu próprio endereço IP público estático ou fazer com que o Azure Data Factory crie um para você. No NSG criado automaticamente pelo Azure Data Factory, a porta 3389 está aberta a todo o tráfego por padrão. Bloqueie a porta para se certificar de que apenas os administradores têm acesso.

O tempo de execução de integração (IR) auto-hospedado pode ser configurado em VM IaaS dentro da rede virtual do cliente. O tráfego de rede também é regido pelas configurações de NSG e firewall do cliente.

Com base em seus aplicativos e estratégia de segmentação empresarial, restrinja ou permita o tráfego entre recursos internos com base em suas regras NSG. Para aplicativos específicos e bem definidos, como um aplicativo de três camadas, ele pode ser uma negação altamente segura por padrão.

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Associar o tempo de execução da integração Azure-SSIS a uma rede virtual

NS-2: Proteger serviços cloud com controlos de rede

Funcionalidades

Descrição: Capacidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não confundir com o NSG ou Azure Firewall). Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Orientação adicional: você pode configurar pontos de extremidade privados na Rede Virtual Gerenciada do Azure Data Factory para se conectar a armazenamentos de dados de forma privada.

O Data Factory não fornece a capacidade de configurar pontos de extremidade de serviço de Rede Virtual.

Ao criar um IR (Integration Runtime) do Azure-SSIS, você pode associá-lo a uma rede virtual. Ele permite que o Azure Data Factory crie determinados recursos de rede, como um NSG e um balanceador de carga. Você também pode fornecer seu próprio endereço IP público estático ou fazer com que o Azure Data Factory crie um para você. No NSG criado automaticamente pelo Azure Data Factory, a porta 3389 está aberta a todo o tráfego por padrão. Bloqueie a porta para garantir que apenas os administradores tenham acesso. Você pode implantar IRs auto-hospedados em uma máquina local ou VM do Azure dentro de uma rede virtual. Verifique se a implantação da sub-rede de rede virtual tem um NSG configurado para permitir apenas acesso administrativo. O IR do Azure-SSIS não permite a saída da porta 3389 por padrão na Regra do Firewall do Windows em cada nó de IR para proteção. Você pode proteger seus recursos configurados na rede virtual associando um NSG à sub-rede e definindo regras rígidas.

Referência: Azure Private Link for Azure Data Factory

Desativar o Acesso à Rede Pública

Descrição: o serviço suporta a desativação do acesso à rede pública através da utilização da regra de filtragem da ACL IP ao nível do serviço (não do NSG ou Azure Firewall) ou através de um botão de alternar "Desativar Acesso à Rede Pública". Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Notas de funcionalidade: A desativação do acesso à rede pública é aplicável apenas ao Self-Hosted Integration Runtime (SHIR) e não ao Azure IR ou SSIS IR. Com o SHIR, a ativação do data factory de link privado não bloqueia explicitamente o acesso público, mas o cliente pode bloquear o acesso público manualmente.

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Azure Private Link for Azure Data Factory

Gestão de identidades

Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Gestão de identidades.

IM-1: utilizar o sistema de autenticação e identidade centralizado

Funcionalidades

Autenticação Azure AD Necessária para o Acesso ao Plano de Dados

Descrição: o serviço suporta a utilização de autenticação Azure AD para acesso ao plano de dados. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Notas de funcionalidade: o Data Factory pode autenticar-se nativamente nos serviços e recursos do Azure que suportam a autenticação do Azure AD.

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Identidade gerenciada para o Azure Data Factory

Métodos de Autenticação Local para Acesso ao Plano de Dados

Descrição: métodos de autenticação locais suportados para o acesso ao plano de dados, como um nome de utilizador local e uma palavra-passe. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Notas de recurso: você pode usar a autenticação do Windows para acessar fontes de dados de pacotes SSIS em execução no Azure-SSIS Integration Runtime (IR). Seus armazenamentos de dados podem ser locais, hospedados em Máquinas Virtuais (VMs) do Azure ou executados no Azure como serviços gerenciados. No entanto, recomendamos evitar o uso da autenticação local e usar o Azure AD sempre que possível. Evite o uso de métodos ou contas de autenticação local, estes devem ser desativados sempre que possível. Em vez disso, utilize Azure AD para autenticar sempre que possível.

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Acessar armazenamentos de dados e compartilhamentos de arquivos com a autenticação do Windows a partir de pacotes SSIS no Azure

IM-3: Gerir identidades de aplicações de forma segura e automática

Funcionalidades

Identidades Geridas

Descrição: as ações do plano de dados suportam a autenticação com identidades geridas. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Notas de funcionalidade: por predefinição, ao criar data factory através do portal do Azure ou do PowerShell, a identidade gerida será criada automaticamente. Usando SDK ou API REST, a identidade gerenciada será criada somente se o usuário especificar a palavra-chave "identity" explicitamente.

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Identidade gerenciada para o Azure Data Factory e o Azure Synapse

Principais de Serviço

Descrição: o plano de dados suporta a autenticação através de principais de serviço. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Notas de recursos: o Data Factory permite que você use identidades gerenciadas, princípios de serviço para autenticar em armazenamentos de dados e computação que ofereça suporte à autenticação AAD.

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Copiar e transformar dados no Azure Data Lake Storage Gen2 usando o Azure Data Factory ou o Azure Synapse Analytics

IM-7: Restringir o acesso a recursos com base nas condições

Funcionalidades

Acesso Condicional para Plano de Dados

Descrição: o acesso ao plano de dados pode ser controlado com Azure AD Políticas de Acesso Condicional. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Acesso condicional: aplicativos na nuvem, ações e contexto de autenticação

IM-8: Restringir a exposição de credenciais e segredos

Funcionalidades

Integração e Armazenamento de Suporte de Credenciais de Serviço e Segredos no Azure Key Vault

Descrição: o plano de dados suporta a utilização nativa do Azure Key Vault para arquivo de credenciais e segredos. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Notas de funcionalidade: pode armazenar credenciais para armazenamentos de dados e cálculos num Cofre de Chaves do Azure. O Azure Data Factory obtém as credenciais ao executar uma atividade que utiliza a computação/arquivo de dados.

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Armazenar credenciais no Azure Key Vault

Acesso privilegiado

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Acesso privilegiado.

PA-1: separar e limitar utilizadores altamente privilegiados/administrativos

Funcionalidades

Contas de Administração Local

Descrição: o serviço tem o conceito de uma conta administrativa local. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
False Não Aplicável Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

PA-7: Siga o princípio da administração (mínimo privilégio) suficiente

Funcionalidades

RBAC do Azure para Plano de Dados

Descrição: o Azure Role-Based Controlo de Acesso (RBAC do Azure) pode ser utilizado para gerir o acesso às ações do plano de dados do serviço. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True True Microsoft

Notas de funcionalidade: o Data Factory integra-se com o Azure RBAC para gerir os seus recursos. Com o RBAC, você gerencia o acesso a recursos do Azure por meio de atribuições de função. Você pode atribuir funções a usuários, grupos, entidades de serviço e identidades gerenciadas. Certos recursos têm funções internas pré-definidas. Você pode inventariar ou consultar essas funções por meio de ferramentas como a CLI do Azure, o Azure PowerShell ou o portal do Azure.

Limite os privilégios atribuídos aos recursos por meio do RBAC do Azure ao que as funções exigem. Essa prática complementa a abordagem just-in-time (JIT) do Azure AD PIM. Revise funções e atribuições periodicamente.

Use funções internas para conceder permissões. Crie funções personalizadas apenas quando necessário.

Você pode criar uma função personalizada no Azure AD com acesso mais restritivo ao Data Factory.

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Funções e permissões para o Azure Data Factory

PA-8: Determinar o processo de acesso para o suporte do fornecedor de cloud

Funcionalidades

Sistema de Proteção de Dados do Cliente

Descrição: o Customer Lockbox pode ser utilizado para o acesso ao suporte da Microsoft. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Customer Lockbox for Microsoft Azure

Proteção de dados

Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Proteção de dados.

DP-1: Detetar, classificar e etiquetar dados confidenciais

Funcionalidades

Deteção e Classificação de Dados Confidenciais

Descrição: as ferramentas (como o Azure Purview ou o Azure Information Protection) podem ser utilizadas para a deteção e classificação de dados no serviço. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Conectar o Data Factory ao Microsoft Purview

DP-2: Monitorizar anomalias e ameaças que visam dados confidenciais

Funcionalidades

Fuga de Dados/Prevenção de Perda

Descrição: o serviço suporta a solução DLP para monitorizar o movimento de dados confidenciais (no conteúdo do cliente). Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
False Não Aplicável Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

DP-3: Encriptar dados confidenciais em trânsito

Funcionalidades

Dados na Encriptação de Trânsito

Descrição: o serviço suporta a encriptação de dados em trânsito para o plano de dados. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True True Microsoft

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Considerações de segurança para movimentação de dados no Azure Data Factory

DP-4: Ativar a encriptação de dados inativos por predefinição

Funcionalidades

Encriptação de Dados Inativos Utilizando Chaves de Plataforma

Descrição: a encriptação inativa de dados através de chaves de plataforma é suportada, qualquer conteúdo de cliente inativo é encriptado com estas chaves geridas pela Microsoft. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True True Microsoft

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Criptografar o Azure Data Factory com chaves gerenciadas pelo cliente

DP-5: Utilize a opção chave gerida pelo cliente na encriptação de dados inativos quando necessário

Funcionalidades

Encriptação de Dados Inativos com CMK

Descrição: a encriptação de dados inativos com chaves geridas pelo cliente é suportada para o conteúdo do cliente armazenado pelo serviço. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Criptografar o Azure Data Factory com chaves gerenciadas pelo cliente

DP-6: Utilizar um processo de gestão de chaves segura

Funcionalidades

Gestão de Chaves no Azure Key Vault

Descrição: o serviço suporta a integração do Azure Key Vault para quaisquer chaves de cliente, segredos ou certificados. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Armazenar credenciais no Azure Key Vault

DP-7: Use um processo seguro de gerenciamento de certificados

Funcionalidades

Gerenciamento de certificados no Azure Key Vault

Descrição: O serviço dá suporte à integração do Azure Key Vault para qualquer certificado de cliente. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Armazenar credenciais no Azure Key Vault

Gestão de ativos

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Gestão de ativos.

AM-2: Utilizar apenas serviços aprovados

Funcionalidades

Suporte do Azure Policy

Descrição: as configurações do serviço podem ser monitorizadas e impostas através de Azure Policy. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Notas de recurso: use a Política do Azure para auditar e restringir quais serviços os usuários podem provisionar em seu ambiente. Use o Azure Resource Graph para consultar e descobrir recursos em assinaturas. Você também pode usar o Azure Monitor para criar regras para disparar alertas quando eles detetarem um serviço não aprovado.

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Definições internas da Política do Azure para o Data Factory

Deteção de registo e de ameaça

Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Registo e deteção de ameaças.

LT-1: Ativar as capacidades de deteção de ameaças

Funcionalidades

Microsoft Defender de Serviço/Oferta de Produtos

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorizar e alertar sobre problemas de segurança. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
False Não Aplicável Não Aplicável

Notas de recurso: IR auto-hospedado (SHIR) em execução em VMs e contêineres do Azure, usa o Defender para estabelecer a configuração segura.

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

LT-4: Ativar o registo para investigação de segurança

Funcionalidades

Registos de Recursos do Azure

Descrição: o Serviço produz registos de recursos que podem fornecer métricas e registos específicos do serviço melhorados. O cliente pode configurar estes registos de recursos e enviá-los para o seu próprio sink de dados, como uma conta de armazenamento ou uma área de trabalho do Log Analytics. Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True True Microsoft

Notas de funcionalidade: Os registos de atividade estão disponíveis automaticamente. Você pode usar os logs de atividades para localizar erros durante a solução de problemas ou para monitorar como os usuários em sua organização modificaram os recursos.

Use o Microsoft Defender for Cloud e a Política do Azure para habilitar logs de recursos e coleta de dados de log.

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Configurações de diagnóstico no Azure Monitor

Cópia de segurança e recuperação

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Cópia de segurança e recuperação.

BR-1: Garantir cópias de segurança automatizadas regulares

Funcionalidades

Capacidade de Cópia de Segurança Nativa do Serviço

Descrição: o serviço suporta a sua própria capacidade de cópia de segurança nativa (se não estiver a utilizar Azure Backup). Mais informações.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
True False Cliente

Notas de recurso: para fazer backup de todo o código no Azure Data Factory, use a funcionalidade de controle de origem no Data Factory.

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Controle do código-fonte no Azure Data Factory

Próximos passos