Linha de base de segurança da Microsoft para o Microsoft Sentinel

Esta linha de base de segurança aplica as orientações do benchmark de segurança na nuvem da Microsoft versão 1.0 ao Microsoft Sentinel. O benchmark de segurança na nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo benchmark de segurança na nuvem da Microsoft e pelas orientações relacionadas aplicáveis ao Microsoft Sentinel.

Você pode monitorar essa linha de base de segurança e suas recomendações usando o Microsoft Defender for Cloud. As definições de Política do Azure serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem Definições de Política do Azure relevantes, elas são listadas nesta linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de referência de segurança na nuvem da Microsoft. Algumas recomendações podem exigir um plano pago do Microsoft Defender para habilitar determinados cenários de segurança.

Observação

Recursos não aplicáveis ao Microsoft Sentinel foram excluídos. Para ver como o Microsoft Sentinel se alinha totalmente com o referencial de segurança da nuvem da Microsoft, consulte o arquivo completo de mapeamento da linha de base de segurança do Microsoft Sentinel .

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do Microsoft Sentinel, o que pode resultar em maiores considerações de segurança.

Atributo de comportamento de serviço	Valor
Categoria de Produto	Segurança
O cliente pode acessar o HOST / OS	Sem acesso
O serviço pode ser implantado na rede virtual do cliente	Falso
Armazena o conteúdo do cliente em repouso	Verdadeiro

Segurança da rede

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Network security.

NS-1: Estabelecer limites de segmentação de rede

Caraterísticas

Integração de Rede Virtual

Descrição: O serviço suporta a implantação na rede virtual privada (VNet) do cliente. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Falso	Não Aplicável	Não Aplicável

Configuration Guidance: Este recurso não é suportado para proteger este serviço.

Gestão de identidades

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Gerenciamento de identidades.

IM-1: Usar identidade centralizada e sistema de autenticação

Caraterísticas

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: O serviço dá suporte ao uso da autenticação do Azure AD para acesso ao plano de dados. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Verdadeiro	Verdadeiro	Microsoft

Configuration Guidance: Nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Métodos de autenticação local para acesso ao plano de dados

Descrição: Métodos de autenticação local suportados para acesso ao plano de dados, como um nome de usuário e senha locais. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Falso	Não Aplicável	Não Aplicável

Configuration Guidance: Este recurso não é suportado para proteger este serviço.

IM-3: Gerencie identidades de aplicativos de forma segura e automática

Caraterísticas

Identidades gerenciadas

Descrição: As ações do plano de dados suportam autenticação usando identidades gerenciadas. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Verdadeiro	Falso	Cliente

Orientação de Configuração: Use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, que podem se autenticar nos serviços e recursos do Azure que dão suporte à autenticação do Azure Ative Directory (Azure AD). As credenciais de identidade geridas são totalmente geridas, renovadas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou nos arquivos de configuração.

de referência: Autenticar os playbooks no Microsoft Sentinel

Entidades de serviço

Descrição: O plano de dados suporta autenticação usando entidades de serviço. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Verdadeiro	Falso	Cliente

Configuration Guidance: Não há nenhuma orientação atual da Microsoft para essa configuração da funcionalidade. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Autenticar playbooks no Microsoft Sentinel

IM-7: Restringir o acesso a recursos com base em condições

Caraterísticas

Acesso condicional do plano de dados

Descrição: O acesso ao plano de dados pode ser controlado usando as Políticas de Acesso Condicional do Azure AD. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Verdadeiro	Falso	Cliente

Configuration Guidance: defina as condições e os critérios aplicáveis para o acesso condicional do Azure Ative Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear comportamentos de entrada arriscados ou exigir dispositivos gerenciados pela organização para aplicativos específicos.

IM-8: Restringir a exposição de credenciais e segredos

Caraterísticas

Integração e armazenamento de suporte de credenciais e segredos de serviço no Cofre de Chaves do Azure

Descrição: O plano de dados dá suporte ao uso nativo do Cofre de Chaves do Azure para armazenamento de credenciais e segredos. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Falso	Não Aplicável	Não Aplicável

Orientações de Configuração: Esta funcionalidade não é suportada como medida de proteção para este serviço.

Acesso privilegiado

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: acesso privilegiado.

PA-1: Separe e limite usuários altamente privilegiados/administrativos

Caraterísticas

Contas de administrador local

Descrição: O serviço possui o conceito de uma conta administrativa local. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Falso	Não Aplicável	Não Aplicável

Configuration Guidance: Este recurso não é suportado para proteger este serviço.

PA-7: Siga o princípio de administração mínima necessária (menor privilégio)

Caraterísticas

RBAC do Azure para plano de dados

Descrição: O Azure Role-Based Access Control (Azure RBAC) pode ser usado para gerenciar o acesso às ações do plano de dados do serviço. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Verdadeiro	Falso	Cliente

Configuration Guidance: Use o RBAC do Azure para criar e atribuir funções em sua equipe de operações de segurança para conceder acesso apropriado ao Microsoft Sentinel. As diferentes funções oferecem controle refinado sobre o que os usuários do Microsoft Sentinel podem ver e fazer. As funções do Azure podem ser atribuídas diretamente no espaço de trabalho do Microsoft Sentinel ou em uma assinatura ou grupo de recursos ao qual o espaço de trabalho pertence, que o Microsoft Sentinel herda.

Referência: Funções e permissões no Microsoft Sentinel

PA-8: Determinar o processo de acesso para suporte ao provedor de nuvem

Caraterísticas

Bloqueio de Cliente

Descrição: Customer Lockbox pode ser usado para acesso ao suporte da Microsoft. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Falso	Não Aplicável	Não Aplicável

Configuration Guidance: Este recurso não é suportado para proteger este serviço.

Proteção de dados

Para obter mais informações, consulte o Benchmark de Segurança em Nuvem da Microsoft: Proteção de Dados.

DP-1: Descubra, classifique e rotule dados confidenciais

Caraterísticas

Deteção e classificação de dados confidenciais

Descrição: Ferramentas (como o Azure Purview ou a Proteção de Informações do Azure) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Verdadeiro	Falso	Cliente

Diretrizes de Configuração: use ferramentas como o Azure Purview, a Proteção de Informações do Azure e a Descoberta e Classificação de Dados SQL do Azure para verificar, classificar e rotular centralmente quaisquer dados confidenciais que residam no Azure, no local, no Microsoft 365 ou em outros locais.

Referência: Tutorial: Integrar o Microsoft Sentinel e o Microsoft Purview

DP-2: Monitore anomalias e ameaças visando dados confidenciais

Caraterísticas

Prevenção de Fugas/Perdas de Dados

Descrição: O serviço suporta a solução DLP para monitorizar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Verdadeiro	Falso	Cliente

Configuration Guidance: Se necessário para conformidade com a prevenção contra perda de dados (DLP), pode-se usar uma solução DLP baseada em host do Azure Marketplace ou uma solução DLP do Microsoft 365 para impor controlos de deteção e/ou preventivos para evitar a exfiltração de dados.

: Tutorial: Integrar o Microsoft Sentinel e o Microsoft Purview

DP-3: Criptografar dados confidenciais em trânsito

Caraterísticas

Encriptação de Dados em Trânsito

Descrição: O serviço suporta criptografia de dados em trânsito para o plano de dados. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Verdadeiro	Verdadeiro	Microsoft

Configuration Guidance: Nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

DP-4: Habilitar a criptografia de dados em repouso por padrão

Caraterísticas

Criptografia de dados em repouso usando chaves de plataforma

Descrição: A criptografia de dados em repouso usando chaves de plataforma é suportada, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Verdadeiro	Verdadeiro	Microsoft

Configuration Guidance: Nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

DP-5: Use a opção de chave gerenciada pelo cliente na criptografia de dados em repouso quando necessário

Caraterísticas

Criptografia de dados em repouso usando CMK

Descrição: A criptografia de dados em repouso usando chaves gerenciadas pelo cliente é suportada para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Verdadeiro	Falso	Cliente

Orientação de configuração: Se necessário para conformidade regulamentar, defina o caso de uso e o escopo do serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados em repouso usando a chave gerenciada pelo cliente para esses serviços.

A solução Microsoft Sentinel usa vários recursos de armazenamento para coleta de logs e recursos, incluindo um cluster dedicado do Log Analytics. Como parte da configuração do Microsoft Sentinel CMK, você terá que definir as configurações de CMK no cluster dedicado do Log Analytics relacionado. Os dados salvos pelo Microsoft Sentinel em recursos de armazenamento diferentes do Log Analytics também serão criptografados usando a chave gerenciada pelo cliente configurada para o cluster dedicado do Log Analytics.

Referência: Configurar Microsoft Sentinel com uma chave gerida pelo cliente

DP-6: Use um processo seguro de gerenciamento de chaves

Caraterísticas

Gerenciamento de chaves no Cofre de Chaves do Azure

Descrição: O serviço dá suporte à integração do Azure Key Vault para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Verdadeiro	Falso	Cliente

Diretrizes de Configuração: Use o Cofre de Chaves do Azure para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Cofre de Chaves do Azure e seu serviço com base em um cronograma definido ou quando houver uma desativação de chave ou comprometimento. Quando houver necessidade de usar a chave gerenciada pelo cliente (CMK) na carga de trabalho, serviço ou nível de aplicativo, certifique-se de seguir as práticas recomendadas para gerenciamento de chaves: Use uma hierarquia de chaves para gerar uma chave de criptografia de dados (DEK) separada com sua chave de criptografia de chave (KEK) no cofre de chaves. Certifique-se de que as chaves estão registadas no Azure Key Vault e referenciadas através de IDs de chave do serviço ou aplicação. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Cofre de Chaves do Azure), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chaves.

de referência: Configurar a chave gerenciada pelo cliente do Microsoft Sentinel

DP-7: Use um processo seguro de gerenciamento de certificados

Caraterísticas

Gerenciamento de certificados no Azure Key Vault

Descrição: O serviço dá suporte à integração do Azure Key Vault para qualquer certificado de cliente. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Falso	Não Aplicável	Não Aplicável

Configuration Guidance: Esta funcionalidade não é suportada para assegurar este serviço.

Gestão de ativos

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Gerenciamento de ativos.

AM-2: Use apenas serviços aprovados

Caraterísticas

Suporte de Política do Azure

Descrição: As configurações de serviço podem ser monitoradas e aplicadas por meio da Política do Azure. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Falso	Não Aplicável	Não Aplicável

Configuration Guidance: Esta funcionalidade não é suportada para proteger este serviço.

Registo e deteção de ameaças

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Registro em log e deteção de ameaças.

LT-1: Habilite os recursos de deteção de ameaças

Caraterísticas

Microsoft Defender para Oferta de Serviços / Produtos

Descrição: O serviço tem uma solução Microsoft Defender específica para monitorar e alertar sobre problemas de segurança. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Falso	Não Aplicável	Não Aplicável

Configuration Guidance: Esta funcionalidade não é suportada para proteger este serviço.

LT-4: Habilitar o registo para investigação de segurança

Caraterísticas

Logs de Recursos do Azure

Descrição: O serviço produz registos de recursos que podem fornecer métricas e registos aprimorados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para o seu próprio repositório de dados, como uma conta de armazenamento ou um espaço de trabalho de análise de logs. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Verdadeiro	Falso	Cliente

Configuration Guidance: Ative os registos de recursos para o serviço. Por exemplo, o Cofre da Chave dá suporte a logs de recursos adicionais para ações que obtêm um segredo de um cofre de chaves ou e o SQL do Azure tem logs de recursos que rastreiam solicitações para um banco de dados. O conteúdo dos logs de recursos varia de acordo com o serviço do Azure e o tipo de recurso.

de referência: Ativar a auditoria e o monitoramento de integridade para o Microsoft Sentinel

Backup e recuperação

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Backup e recuperação.

BR-1: Garanta backups automatizados regulares

Caraterísticas

Azure Backup

Descrição: O backup do serviço pode ser feito pelo serviço de Backup do Azure. Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Falso	Não Aplicável	Não Aplicável

Guia de Configuração: Este recurso não está disponível para proteger este serviço.

Capacidade de backup nativo do serviço

Descrição: O serviço dá suporte ao seu próprio recurso de backup nativo (se não estiver usando o Backup do Azure). Saiba mais.

Suportado	Ativado por padrão	Responsabilidade pela configuração
Falso	Não Aplicável	Não Aplicável

Configuration Guidance: Este recurso não está disponível para garantir a segurança deste serviço.

Próximos passos

• Consulte a visão geral do benchmark de segurança na nuvem da Microsoft
• Saiba mais sobre linhas de base de segurança do Azure