Базовый план безопасности Azure для Azure Monitor

Этот базовый план безопасности применяет рекомендации из microsoft cloud security benchmark версии 1.0 к Azure Monitor. Тест безопасности облака Майкрософт предоставляет рекомендации по защите облачных решений в Azure. Содержимое сгруппировано элементами управления безопасностью, определенными тестом безопасности Microsoft Cloud Security, и соответствующим руководством, применимым к Azure Monitor.

Вы можете отслеживать эти базовые показатели безопасности и их рекомендации с помощью Microsoft Defender для облака. Политика Azure определения будут перечислены в разделе "Соответствие нормативным требованиям" на странице портала Microsoft Defender для облака.

Если функция имеет соответствующие определения Политика Azure, они перечислены в этом базовом плане, чтобы помочь вам оценить соответствие требованиям к элементам управления и рекомендациям microsoft cloud security benchmark. Для некоторых рекомендаций может потребоваться платный план Microsoft Defender для включения определенных сценариев безопасности.

Примечание.

Функции , неприменимые к Azure Monitor, были исключены. Чтобы узнать, как Azure Monitor полностью сопоставляется с эталонным показателем безопасности Microsoft Cloud Security, см. полный файл сопоставления базовых показателей безопасности Azure Monitor.

Профиль безопасности

Профиль безопасности содержит общие сведения о поведении Azure Monitor, что может привести к повышению безопасности.

Атрибут поведения службы	Значение
Категория продукта	DevOps, Security
Клиент может получить доступ к HOST / OS	Нет доступа
Служба может быть развернута в виртуальной сети клиента	False
Сохраняет содержимое клиента неактивных данных	Истина

Безопасность сети

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: сетевая безопасность.

NS-1: установка границы сегментации сети

Функции

Интеграция с виртуальной сетью

Описание. Служба поддерживает развертывание в частных виртуальная сеть клиента (виртуальная сеть). Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Развертывание службы в виртуальной сети. Назначьте частные IP-адреса ресурсу (если применимо), если не существует строгой причины назначения общедоступных IP-адресов непосредственно ресурсу.

Справочник. Использование Приватный канал Azure для подключения сетей к Azure Monitor

Поддержка группы безопасности сети

Описание. Сетевой трафик службы учитывает назначение правил групп безопасности сети в подсетях. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Используйте группы безопасности сети (NSG), чтобы ограничить или отслеживать трафик по порту, протоколу, исходному IP-адресу или ip-адресу назначения. Создайте правила NSG, чтобы ограничить открытые порты службы (например, запретить доступ к портам управления из ненадежных сетей). Помните, что по умолчанию группы безопасности сети запрещают весь входящий трафик, но разрешают трафик из виртуальной сети и Azure Load Balancers.

Справочник. IP-адреса, используемые Azure Monitor

NS-2: защита облачных служб с помощью элементов управления сетью

Функции

Приватный канал Azure

Описание: возможность фильтрации ip-адресов в собственном коде службы для фильтрации сетевого трафика (не следует путать с NSG или Брандмауэр Azure). Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. С помощью Приватный канал Azure вы можете безопасно связать ресурсы платформы Azure как услуги (PaaS) с виртуальной сетью с помощью частных конечных точек. Azure Monitor — это совокупность различных взаимосвязанных служб, которые работают вместе для отслеживания ваших рабочих нагрузок. Приватный канал Azure Monitor соединяет частную конечную точку с набором ресурсов Azure Monitor, определяя границы вашей сети мониторинга. Этот набор называется областью Приватного канала Azure Monitor (AMPLS).

Справочник. Использование Приватный канал Azure для подключения сетей к Azure Monitor

Отключение доступа к общедоступной сети

Описание. Служба поддерживает отключение доступа к общедоступной сети с помощью правила фильтрации IP-адресов уровня обслуживания (не NSG или Брандмауэр Azure) или переключателя переключателя "Отключить доступ к общедоступной сети". Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Отключение доступа к общедоступной сети с помощью правила фильтрации IP-адресов уровня обслуживания или переключателя для доступа к общедоступной сети. Дополнительные сведения см. здесь: использование области Приватный канал Azure Monitor (AMPLS)

Справочник. Использование Приватный канал Azure для подключения сетей к Azure Monitor

Управление удостоверениями

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Управление удостоверениями.

IM-1: Использование централизованной системы удостоверений и проверки подлинности

Функции

аутентификация Azure AD требуется для доступа к плоскости данных

Описание. Служба поддерживает проверку подлинности Azure AD для доступа к плоскости данных. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	Истина	Microsoft

Заметки о функциях. Агент Azure Monitor использует MSI\AAD по умолчанию и описан здесь: Конфигурация агента Azure Log Analytics

Application Insights необходимо настроить для принудительного применения AAD и документирован здесь Application Insights AAD Authentication

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник. Проверка подлинности Azure AD для Application Insights

Методы локальной проверки подлинности для доступа к плоскости данных

Описание. Локальные методы проверки подлинности, поддерживаемые для доступа к плоскости данных, например локальное имя пользователя и пароль. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

IM-3: Безопасное и автоматическое управление удостоверениями приложений

Функции

управляемые удостоверения.

Описание. Действия уровня данных поддерживают проверку подлинности с помощью управляемых удостоверений. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Заметки о функциях. Перед установкой агента Azure Monitor необходимо включить управляемое удостоверение на виртуальных машинах Azure. Предварительные требования агента Azure Monitor

Руководство по настройке. Используйте управляемые удостоверения Azure вместо субъектов-служб, которые могут проходить проверку подлинности в службах и ресурсах Azure, поддерживающих проверку подлинности Azure Active Directory (Azure AD). За администрирование, смену и защиту учетных данных управляемых удостоверений полностью отвечает платформа. Это позволяет избежать прямого указания учетных данных в файлах исходного кода или в файлах конфигурации.

Справочник. Проверка подлинности Azure AD для Application Insights

Субъекты-службы

Описание. Плоскость данных поддерживает проверку подлинности с помощью субъектов-служб. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Заметки о функциях. Это применимо только к защищенным веб-перехватчикам.

Руководство по настройке. Для этой конфигурации компонентов нет текущих рекомендаций Майкрософт. Проверьте и определите, хотите ли ваша организация настроить эту функцию безопасности.

Справочник. Создание групп действий и управление ими в портал Azure

IM-7: Ограничение доступа к ресурсам на основе условий

Функции

Условный доступ для плоскости данных

Описание. Доступ к плоскости данных можно контролировать с помощью политик условного доступа Azure AD. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Определите применимые условия и критерии условного доступа Azure Active Directory (Azure AD) в рабочей нагрузке. Рассмотрим распространенные варианты использования, такие как блокировка или предоставление доступа из определенных расположений, блокировка рискованного входа или требование устройств, управляемых организацией для конкретных приложений.

Справочник. Общие сведения об API Log Analytics в Azure Monitor

Привилегированный доступ

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: привилегированный доступ.

PA-7. Использование Just Enough Administration (принцип предоставления наименьших прав)

Функции

Azure RBAC для плоскости данных

Описание. Контроль доступа на основе ролей Azure (Azure RBAC) можно использовать для управления доступом к действиям уровня данных службы. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	Истина	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник. Роли, разрешения и безопасность в Azure Monitor

PA-8. Определение процесса доступа для поддержки поставщика облачных служб

Функции

Защищенное хранилище

Описание. Для доступа в службу поддержки Майкрософт можно использовать папку "Блокировка клиента". Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Заметки о функциях. Доступно только при настройке Azure Monitor Log Analytics с выделенным кластером.

Руководство по настройке. В сценариях поддержки, в которых корпорация Майкрософт должна получить доступ к данным, используйте блокировку клиента для проверки, а затем утвердить или отклонить все запросы на доступ к данным Майкрософт. Это относится только к данным журнала в выделенных кластерах.

Справочник. Блокировка клиента (предварительная версия)

Защита данных

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: защита данных.

DP-1. Обнаружение, классификация конфиденциальных данных и добавление к ним тегов

Функции

Обнаружение конфиденциальных данных и классификация

Описание. Средства (например, Azure Purview или Azure Information Protection) можно использовать для обнаружения и классификации данных в службе. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-2: отслеживание аномалий и угроз, нацеленных на конфиденциальные данные

Функции

Защита от утечки и потери данных

Описание. Служба поддерживает решение защиты от потери данных для мониторинга перемещения конфиденциальных данных (в содержимом клиента). Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-3: шифрование передаваемых конфиденциальных данных

Функции

Данные в транзитном шифровании

Описание. Служба поддерживает шифрование данных в транзитном режиме для плоскости данных. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Заметки о функциях: все, настроенные по умолчанию, кроме приема данных.
Для Log Analytics

Для Application Insights

Руководство по настройке. Включение безопасной передачи в службах, где есть собственные данные в функции транзитного шифрования. Принудительное применение ПРОТОКОЛА HTTPS в любых веб-приложениях и службах и обеспечение использования TLS версии 1.2 или более поздней версии. Устаревшие версии, такие как SSL 3.0, tls версии 1.0 должны быть отключены. Для удаленного управления Виртуальные машины используйте SSH (для Linux) или RDP/TLS (для Windows) вместо незашифрованного протокола.

DP-4: включение шифрования неактивных данных по умолчанию

Функции

Шифрование неактивных данных с помощью ключей платформы

Описание. Шифрование неактивных данных с помощью ключей платформы поддерживается, любое содержимое клиента, неактивное, шифруется с помощью этих управляемых корпорацией Майкрософт ключей. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	Истина	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

DP-5: использование ключа, управляемого клиентом, для шифрования неактивных данных при необходимости

Функции

Шифрование неактивных данных с помощью CMK

Описание. Шифрование неактивных данных с помощью ключей, управляемых клиентом, поддерживается для содержимого клиента, хранящегося службой. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Заметки о функциях. Данные Azure Monitor — это данные о работоспособности служб и по умолчанию не защищены с помощью блокировки клиента. Только журналы можно защитить с помощью блокировки и только для выделенных кластеров.

Руководство по настройке. Данные Azure Monitor предназначены только для данных работоспособности службы, а только данные журнала, хранящиеся в выделенных кластерах, позволяют использовать ключи, управляемые клиентом, для шифрования неактивных данных. Если требуется для соответствия нормативным требованиям, определите вариант использования и область службы, где требуется шифрование с помощью ключей, управляемых клиентом. Включите и реализуйте шифрование неактивных данных с помощью ключа, управляемого клиентом для этих служб.

Справочник. Управляемый клиентом ключ Azure Monitor

Управление активами

Дополнительные сведения см. в руководстве по управлению ресурсами в Microsoft Cloud Security.

AM-2: использование только утвержденных служб

Функции

Поддержка службы "Политика Azure"

Описание. Конфигурации служб можно отслеживать и применять с помощью Политика Azure. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Используйте Microsoft Defender для облака для настройки Политика Azure для аудита и применения конфигураций ресурсов Azure. Воспользуйтесь Azure Monitor, чтобы создавать оповещения при обнаружении отклонений в ресурсах. Используйте Политика Azure [запрет] и [развертывание, если не существует], чтобы обеспечить безопасную конфигурацию в ресурсах Azure.

Справочник. Создание параметров диагностики в масштабе с помощью Политика Azure

Ведение журнала и обнаружение угроз

Дополнительные сведения см. в тестовом тесте облачной безопасности Майкрософт: ведение журнала и обнаружение угроз.

LT-1. Включение возможностей обнаружения угроз

Функции

Microsoft Defender для службы или предложения продуктов

Описание. Служба имеет решение Microsoft Defender для мониторинга и оповещения о проблемах безопасности. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

LT-4. Включение ведения журнала для исследования безопасности

Функции

Журналы ресурсов Azure

Описание. Служба создает журналы ресурсов, которые могут предоставлять расширенные метрики и ведение журнала для конкретной службы. Клиент может настроить эти журналы ресурсов и отправить их в собственный приемник данных, например учетную запись хранения или рабочую область Log Analytics. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	Истина	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник. Параметры диагностики в Azure Monitor

Резервное копирование и восстановление

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: резервное копирование и восстановление.

BR-1. Обеспечение регулярного автоматического резервного копирования

Функции

Azure Backup

Описание. Служба может создавать резервную копию службы Azure Backup. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Возможность резервного копирования в собственном коде службы

Описание. Служба поддерживает собственные возможности резервного копирования (если не используется Azure Backup). Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Следующие шаги

• Ознакомьтесь с обзором microsoft cloud security benchmark
• Дополнительные сведения о базовой конфигурации безопасности Azure.