Azure NetApp Files 的 Azure 安全性基準
此安全性基準會將Microsoft雲端安全性基準 1.0 版的指引套用至 Azure NetApp Files。 Microsoft 雲端安全性基準提供如何在 Azure 上保護雲端解決方案的建議。 內容會依Microsoft雲端安全性基準所定義的安全性控制，以及適用於 Azure NetApp Files 的相關指引分組。
您可以使用適用於雲端的 Microsoft Defender 來監視此安全性基準及其建議。 Azure 原則定義會列在適用於雲端的 Microsoft Defender 入口網站頁面的 [法規合規性] 區段中。
當功能具有相關的 Azure 原則定義時，會列在此基準中，以協助您測量 Microsoft 雲端安全性基準控制項和建議的合規性。 某些建議可能需要付費的 Microsoft Defender 方案，才能啟用特定的安全性案例。
注意
已排除不適用於 Azure NetApp Files 的功能 。 若要查看 Azure NetApp Files 如何完全對應至Microsoft雲端安全性基準檢驗，請參閱 完整的 Azure NetApp Files 安全性基準對應檔案。
安全性設定檔
安全性配置文件摘要說明 Azure NetApp Files 的高影響行為，這可能會導致安全性考慮增加。
| 服務行為屬性 | 值 |
|---|---|
| Product Category | 儲存體 |
| 客戶可以存取主機/作業系統 | 無存取權 |
| 服務可以部署到客戶的虛擬網路中 | True |
| 儲存待用客戶內容 | True |
網路安全性
如需詳細資訊，請參閱 Microsoft雲端安全性基準：網路安全性。
NS-1：建立網路分割界限
功能
虛擬網路整合
描述：服務支援將部署至客戶的私人 虛擬網絡 （VNet）。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| True | False | 客戶 |
設定指引：將服務部署至虛擬網路。 除非有充分的理由要將公用 IP 直接指派給資源，否則請將私人 IP 指派給資源 (如果適用的話)。
參考： 建立 Azure NetApp Files 的 NFS 磁碟區
網路安全組支援
描述：服務網路流量會遵循其子網上的網路安全組規則指派。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| True | False | 客戶 |
設定指引：使用網路安全組 （NSG） 來限制或監視埠、通訊協定、來源IP位址或目的地IP位址的流量。 建立 NSG 規則來限制服務的開放連接埠 (例如防止從不受信任的網路存取管理連接埠)。 請注意，NSG 預設會拒絕所有輸入流量，但允許來自虛擬網路和 Azure Load Balancer 的流量。
參考： Azure NetApp Files 網路規劃的指導方針
身分識別管理
如需詳細資訊，請參閱 雲端安全性基準Microsoft：身分識別管理。
IM-1：使用集中式身分識別和驗證系統
功能
資料平面存取所需的 Azure AD 驗證
描述：服務支援使用 Azure AD 驗證進行數據平面存取。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
功能注意事項：Azure NetApp Files 會公開標準 NFS 和 SMB 通訊協定，以使用 OS 所提供的標準用戶端。
設定指引：不支援此功能來保護這項服務。
IM-3：安全且自動地管理應用程式身分識別
功能
受控識別
描述：數據平面動作支援使用受控識別進行驗證。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
功能附註：這項功能目前處於私人預覽狀態。 受控識別將用於存取 Azure 中客戶管理的金鑰，金鑰保存庫 待用數據加密案例。
設定指引：不支援此功能來保護這項服務。
服務主體
描述：數據平面支援使用服務主體進行驗證。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護這項服務。
IM-7：根據條件限制資源存取
功能
資料平面的條件式存取
描述：您可以使用 Azure AD 條件式存取原則來控制數據平面存取。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護這項服務。
IM-8：限制認證和祕密的公開
功能
Azure Key Vault 中服務認證和秘密支援整合和儲存
描述：數據平面支援原生使用 Azure 金鑰保存庫 認證和秘密存放區。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
功能附註：這項功能目前處於私人預覽狀態。
設定指引：不支援此功能來保護這項服務。
特殊權限存取
如需詳細資訊，請參閱 Microsoft雲端安全性效能評定：特殊許可權存取。
PA-7：遵循剛好足夠的系統管理 (最低權限) 準則
功能
適用於資料平面的 Azure RBAC
描述：Azure 角色型 存取控制 （Azure RBAC） 可用來管理服務數據平面動作的存取權。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
功能注意事項：Azure NetApp Files 會公開標準 NFS 和 SMB 通訊協定，且這些標準不允許 RBAC。 每個通訊協議都會公開自己的訪問控制機制。
設定指引：不支援此功能來保護這項服務。
PA-8：判斷雲端提供者支援的存取程序
功能
客戶加密箱
描述：客戶加密箱可用於Microsoft支援存取。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護這項服務。
資料保護
如需詳細資訊，請參閱 Microsoft雲端安全性效能評定：數據保護。
DP-1：探索、分類及標記敏感性資料
功能
敏感數據探索和分類
描述：工具（例如 Azure Purview 或 Azure 資訊保護）可用於服務中的數據探索和分類。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護這項服務。
DP-2：監視以敏感性資料為目標的異常和威脅
功能
數據外洩/外洩防護
描述：服務支援 DLP 解決方案來監視敏感數據移動（在客戶的內容中）。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護這項服務。
DP-3：加密傳輸中的敏感性資料
功能
傳輸中資料加密
描述：服務支持數據平面的數據傳輸中加密。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| True | False | 客戶 |
功能注意事項：SMBv3 可能已加密，但 NSFv3 不支援加密。
設定指引：在內建傳輸加密功能中有原生數據的服務中啟用安全傳輸。 在任何 Web 應用程式和服務上強制執行 HTTPS，並確保使用 TLS v1.2 或更新版本。 應停用舊版，例如 SSL 3.0、TLS v1.0。 若要遠端管理 虛擬機器，請使用 SSH（適用於 Linux）或 RDP/TLS（適用於 Windows），而不是未加密的通訊協定。
參考： Azure NetApp Files 的 SMB 效能最佳做法
DP-4：預設啟用待用資料加密
功能
使用平臺密鑰進行待用加密的數據
描述：支援使用平臺密鑰進行待用數據加密，任何待用客戶內容都會使用這些Microsoft受控密鑰加密。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| True | True | Microsoft |
功能注意事項：Azure NetApp Files 會利用Microsoft待用數據的默認加密。
設定指引：預設部署上未啟用此設定，因此不需要其他設定。
DP-5：必要時在待用資料加密中使用客戶自控金鑰選項
功能
使用 CMK 進行待用資料加密
描述：服務所儲存的客戶內容支援使用客戶管理的密鑰進行待用數據加密。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
功能附註：這項功能目前已正式推出（GA）。
設定指引：不支援此功能來保護這項服務。
DP-6：使用安全金鑰管理程序
功能
Azure Key Vault 中的金鑰管理
描述：此服務支援任何客戶密鑰、秘密或憑證的 Azure 金鑰保存庫 整合。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護這項服務。
DP-7：使用安全憑證管理流程
功能
Azure Key Vault 中的憑證管理
描述：此服務支援任何客戶憑證的 Azure 金鑰保存庫 整合。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護這項服務。
資產管理
如需詳細資訊，請參閱 雲端安全性基準Microsoft：資產管理。
AM-2：僅使用核准的服務
功能
Azure 原則支援
描述：您可以透過 Azure 原則 監視及強制執行服務組態。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| True | False | 客戶 |
設定指引：使用 適用於雲端的 Microsoft Defender 來設定 Azure 原則 來稽核及強制執行 Azure 資源的設定。 使用 Azure 監視器，在偵測到資源有設定偏差時建立警示。 使用 Azure 原則 [deny] 和 [if not exists] 效果來強制執行跨 Azure 資源的安全設定。
參考：Azure NetApp Files 的 Azure 原則 定義
記錄和威脅偵測
如需詳細資訊，請參閱 雲端安全性基準Microsoft：記錄和威脅偵測。
LT-1：啟用威脅偵測功能
功能
適用於服務/產品供應項目的 Microsoft Defender
描述：服務具有供應專案特定的Microsoft Defender 解決方案，可監視和警示安全性問題。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護這項服務。
LT-4：啟用安全性調查的記錄
功能
Azure 資源記錄
描述：服務會產生資源記錄，以提供增強的服務特定計量和記錄。 客戶可以設定這些資源記錄，並將其傳送至自己的資料接收器，例如儲存體帳戶或記錄分析工作區。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
功能附註：此功能目前無法使用。
設定指引：不支援此功能來保護這項服務。
備份及復原
如需詳細資訊，請參閱 雲端安全性基準Microsoft：備份和復原。
BR-1：確保定期自動備份
功能
Azure 備份
描述：服務可由 Azure 備份 服務備份。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
功能注意事項：雖然不支援 Azure 備份，但可以使用服務原生備份解決方案。
設定指引：不支援此功能來保護這項服務。
服務原生備份功能
描述：服務支援自己的原生備份功能（如果未使用 Azure 備份）。 深入了解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| True | False | 客戶 |
設定指引：這項功能設定目前沒有Microsoft指導方針。 請檢閱並判斷您的組織是否想要設定這項安全性功能。