Базовые показатели безопасности Azure для приложений контейнеров Azure

Эти базовые показатели безопасности применяют рекомендации от microsoft cloud security benchmark версии 1.0 к приложениям контейнеров Azure. Тест безопасности облака Майкрософт предоставляет рекомендации по защите облачных решений в Azure. Содержимое сгруппировано элементами управления безопасностью, определенными тестом безопасности Microsoft Cloud Security, и соответствующим руководством, применимым к приложениям контейнеров Azure.

Вы можете отслеживать эти базовые показатели безопасности и их рекомендации с помощью Microsoft Defender для облака. Политика Azure определения будут перечислены в разделе "Соответствие нормативным требованиям" на странице портала Microsoft Defender для облака.

Если функция имеет соответствующие определения Политика Azure, они перечислены в этом базовом плане, чтобы помочь вам оценить соответствие требованиям к элементам управления и рекомендациям microsoft cloud security benchmark. Для некоторых рекомендаций может потребоваться платный план Microsoft Defender для включения определенных сценариев безопасности.

Примечание.

Функции , неприменимые к приложениям контейнеров Azure, были исключены. Сведения о том, как приложения контейнеров Azure полностью сопоставляют с microsoft cloud security benchmark, см. полный файл сопоставления базовых показателей безопасности приложений контейнеров Azure.

Профиль безопасности

Профиль безопасности содержит общие сведения о поведении приложений контейнеров Azure, что может привести к повышению безопасности.

Атрибут поведения службы	Значение
Категория продукта	Контейнеры
Клиент может получить доступ к HOST / OS	Нет доступа
Служба может быть развернута в виртуальной сети клиента	Истина
Сохраняет содержимое клиента неактивных данных	Истина

Безопасность сети

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: сетевая безопасность.

NS-1: установка границы сегментации сети

Функции

Интеграция с виртуальной сетью

Описание. Служба поддерживает развертывание в частных виртуальная сеть клиента (виртуальная сеть). Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Развертывание службы в виртуальной сети. Назначьте частные IP-адреса ресурсу (если применимо), если не существует строгой причины назначения общедоступных IP-адресов непосредственно ресурсу.

Справочник. Интеграция приложений контейнеров Azure виртуальная сеть

Поддержка группы безопасности сети

Описание. Сетевой трафик службы учитывает назначение правил групп безопасности сети в подсетях. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Используйте группы безопасности сети (NSG), чтобы ограничить или отслеживать трафик по порту, протоколу, исходному IP-адресу или ip-адресу назначения. Создайте правила NSG, чтобы ограничить открытые порты службы (например, запретить доступ к портам управления из ненадежных сетей). Помните, что по умолчанию группы безопасности сети запрещают весь входящий трафик, но разрешают трафик из виртуальной сети и Azure Load Balancers.

Справочник. Защита пользовательской виртуальной сети в приложениях контейнеров Azure

NS-2: защита облачных служб с помощью элементов управления сетью

Функции

Отключение доступа к общедоступной сети

Описание. Служба поддерживает отключение доступа к общедоступной сети с помощью правила фильтрации IP-адресов уровня обслуживания (не NSG или Брандмауэр Azure) или переключателя переключателя "Отключить доступ к общедоступной сети". Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Отключение доступа к общедоступной сети путем развертывания конфигурации среды приложений только для внутренних контейнеров.

Справочник. Предоставление виртуальной сети внутренней среде приложений контейнеров Azure

Управление удостоверениями

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Управление удостоверениями.

IM-1: Использование централизованной системы удостоверений и проверки подлинности

Функции

аутентификация Azure AD требуется для доступа к плоскости данных

Описание. Служба поддерживает проверку подлинности Azure AD для доступа к плоскости данных. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Используйте Azure Active Directory (Azure AD) в качестве метода проверки подлинности по умолчанию для управления доступом к плоскости данных.

Справочник. Включение проверки подлинности и авторизации в приложениях контейнеров Azure с помощью Azure Active Directory

Методы локальной проверки подлинности для доступа к плоскости данных

Описание. Локальные методы проверки подлинности, поддерживаемые для доступа к плоскости данных, например локальное имя пользователя и пароль. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

IM-3: Безопасное и автоматическое управление удостоверениями приложений

Функции

управляемые удостоверения.

Описание. Действия уровня данных поддерживают проверку подлинности с помощью управляемых удостоверений. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Заметки о функциях. Управляемое удостоверение поддерживается для компонентов контейнеров и dapr, но еще не для правил масштабирования в приложении-контейнере

Руководство по настройке. Используйте управляемые удостоверения Azure вместо субъектов-служб, которые могут проходить проверку подлинности в службах и ресурсах Azure, поддерживающих проверку подлинности Azure Active Directory (Azure AD). За администрирование, смену и защиту учетных данных управляемых удостоверений полностью отвечает платформа. Это позволяет избежать прямого указания учетных данных в файлах исходного кода или в файлах конфигурации.

Справочник. Использование управляемого удостоверения в приложениях контейнеров Azure

Субъекты-службы

Описание. Плоскость данных поддерживает проверку подлинности с помощью субъектов-служб. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Для этой конфигурации компонентов нет текущих рекомендаций Майкрософт. Проверьте и определите, хотите ли ваша организация настроить эту функцию безопасности.

IM-7: Ограничение доступа к ресурсам на основе условий

Функции

Условный доступ для плоскости данных

Описание. Доступ к плоскости данных можно контролировать с помощью политик условного доступа Azure AD. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

IM-8: ограничение раскрытия учетных данных и секретов

Функции

Интеграция и хранение учетных данных службы и секретов в Azure Key Vault

Описание. Плоскость данных поддерживает собственное использование Azure Key Vault для хранилища учетных данных и секретов. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	Применимо	Применимо

Заметки о функциях. Для приложений контейнеров с поддержкой Dapr клиенты могут использовать Azure Key Vault для секретных ссылок.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Привилегированный доступ

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: привилегированный доступ.

PA-1. Изолируйте и ограничивайте число пользователей с высокими привилегиями и правами администратора

Функции

Учетные записи локального администратора

Описание. Служба имеет концепцию локальной административной учетной записи. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

PA-7. Использование Just Enough Administration (принцип предоставления наименьших прав)

Функции

Azure RBAC для плоскости данных

Описание. Контроль доступа на основе ролей Azure (Azure RBAC) можно использовать для управления доступом к действиям уровня данных службы. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

PA-8. Определение процесса доступа для поддержки поставщика облачных служб

Функции

Защищенное хранилище

Описание. Для доступа в службу поддержки Майкрософт можно использовать папку "Блокировка клиента". Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Защита данных

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: защита данных.

DP-1. Обнаружение, классификация конфиденциальных данных и добавление к ним тегов

Функции

Обнаружение конфиденциальных данных и классификация

Описание. Средства (например, Azure Purview или Azure Information Protection) можно использовать для обнаружения и классификации данных в службе. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-2: отслеживание аномалий и угроз, нацеленных на конфиденциальные данные

Функции

Защита от утечки и потери данных

Описание. Служба поддерживает решение защиты от потери данных для мониторинга перемещения конфиденциальных данных (в содержимом клиента). Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-3: шифрование передаваемых конфиденциальных данных

Функции

Данные в транзитном шифровании

Описание. Служба поддерживает шифрование данных в транзитном режиме для плоскости данных. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Включение безопасной передачи в службах, где есть собственные данные в функции транзитного шифрования. Принудительное применение ПРОТОКОЛА HTTPS в любых веб-приложениях и службах и обеспечение использования TLS версии 1.2 или более поздней версии. Устаревшие версии, такие как SSL 3.0, tls версии 1.0 должны быть отключены. Для удаленного управления Виртуальные машины используйте SSH (для Linux) или RDP/TLS (для Windows) вместо незашифрованного протокола.

Справочник. Настройка входящего трафика HTTPS или TCP в приложениях контейнеров Azure

DP-4: включение шифрования неактивных данных по умолчанию

Функции

Шифрование неактивных данных с помощью ключей платформы

Описание. Шифрование неактивных данных с помощью ключей платформы поддерживается, любое содержимое клиента, неактивное, шифруется с помощью этих управляемых корпорацией Майкрософт ключей. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	Истина	Microsoft

Заметки о функциях. Приложения контейнеров Azure используют шифрование майкрософт по умолчанию для неактивных данных.

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник. Двойное шифрование

DP-5: использование ключа, управляемого клиентом, для шифрования неактивных данных при необходимости

Функции

Шифрование неактивных данных с помощью CMK

Описание. Шифрование неактивных данных с помощью ключей, управляемых клиентом, поддерживается для содержимого клиента, хранящегося службой. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-6: безопасное управление ключами

Функции

Управление ключами в Azure Key Vault

Описание. Служба поддерживает интеграцию Azure Key Vault для любых ключей клиентов, секретов или сертификатов. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-7: безопасное управление сертификатами

Функции

Управление сертификатами в Azure Key Vault

Описание. Служба поддерживает интеграцию Azure Key Vault для любых сертификатов клиентов. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Управление активами

Дополнительные сведения см. в руководстве по управлению ресурсами в Microsoft Cloud Security.

AM-2: использование только утвержденных служб

Функции

Поддержка службы "Политика Azure"

Описание. Конфигурации служб можно отслеживать и применять с помощью Политика Azure. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Используйте Microsoft Defender для облака для настройки Политика Azure для аудита и применения конфигураций ресурсов Azure. Воспользуйтесь Azure Monitor, чтобы создавать оповещения при обнаружении отклонений в ресурсах. Используйте Политика Azure [запрет] и [развертывание, если не существует], чтобы обеспечить безопасную конфигурацию в ресурсах Azure.

Справочник. Встроенные определения Политика Azure для приложений контейнеров Azure

Ведение журнала и обнаружение угроз

Дополнительные сведения см. в тестовом тесте облачной безопасности Майкрософт: ведение журнала и обнаружение угроз.

LT-1. Включение возможностей обнаружения угроз

Функции

Microsoft Defender для службы или предложения продуктов

Описание. Служба имеет решение Microsoft Defender для мониторинга и оповещения о проблемах безопасности. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

LT-4. Включение ведения журнала для исследования безопасности

Функции

Журналы ресурсов Azure

Описание. Служба создает журналы ресурсов, которые могут предоставлять расширенные метрики и ведение журнала для конкретной службы. Клиент может настроить эти журналы ресурсов и отправить их в собственный приемник данных, например учетную запись хранения или рабочую область Log Analytics. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	Истина	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник. Параметры хранения журналов и мониторинга в приложениях контейнеров Azure

Управление состоянием защиты и уязвимостью

Дополнительные сведения см. в тестовом коде microsoft cloud security: Posture и управление уязвимостями.

PV-3. Настройка безопасных конфигураций вычислительных ресурсов

Функции

Пользовательские образы контейнеров

Описание. Служба поддерживает использование пользовательских образов контейнеров или предварительно созданных образов из Marketplace с определенными конфигурациями базовых конфигураций. Подробнее

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Вы можете извлечь изображения из частных репозиториев в Microsoft Реестр контейнеров Azure с помощью управляемых удостоверений для проверки подлинности, чтобы избежать использования административных учетных данных. Для проверки подлинности с помощью Реестр контейнеров Azure можно использовать назначаемое системой или назначаемое пользователем управляемое удостоверение.

Справочник. Извлечение образа контейнеров Azure с управляемым удостоверением

PV-5: выполнение оценок уязвимостей

Функции

Оценка уязвимостей с помощью Microsoft Defender

Описание. Служба может быть сканирована для проверки уязвимостей с помощью Microsoft Defender для облака или других служб Microsoft Defender, встроенных возможностей оценки уязвимостей (включая Microsoft Defender для сервера, реестра контейнеров, Служба приложений, SQL и DNS). Подробнее

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Неприменимо	Неприменимо

Руководство по настройке. Хотя контейнерные приложения не поддерживают оценку уязвимостей, выполняемую Defender для контейнеров, Реестр контейнеров Azure, которые могут быть интегрированы с контейнерными приложениями, поддерживают оценку уязвимостей.

Справочник. Использование Defender для контейнеров для сканирования Реестр контейнеров Azure образов для уязвимостей

Резервное копирование и восстановление

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: резервное копирование и восстановление.

BR-1. Обеспечение регулярного автоматического резервного копирования

Функции

Azure Backup

Описание. Служба может создавать резервную копию службы Azure Backup. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Возможность резервного копирования в собственном коде службы

Описание. Служба поддерживает собственные возможности резервного копирования (если не используется Azure Backup). Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Следующие шаги

• Ознакомьтесь с обзором microsoft cloud security benchmark
• Дополнительные сведения о базовой конфигурации безопасности Azure.