Podrobnosti integrované iniciativy o dodržování právních předpisů bank v Indii pro banky v2016

Následující článek podrobně popisuje, jak se předdefinovaná definice iniciativy dodržování předpisů azure Policy mapuje na domény dodržování předpisů a kontroly v rámci it frameworku Reserve Bank of India pro banky v2016. Další informace o této normě dodržování předpisů naleznete v tématu Reserve Bank of India IT Framework for Banks v2016. Informace o vlastnictví najdete v tématu Definice zásad Azure Policy a Sdílená odpovědnost v cloudu.

Následující mapování jsou na kontrolní mechanismy reserve Bank of India IT Framework for Banks v2016 . Mnoho ovládacích prvků se implementuje s definicí iniciativy Azure Policy . Pokud chcete zkontrolovat úplnou definici iniciativy, otevřete zásady na webu Azure Portal a vyberte stránku Definice . Pak vyhledejte a vyberte [Preview]: Reserve Bank of India - IT Framework for Banks Regulatory Compliance integrovanou definici iniciativy.

Důležité

Každý následující ovládací prvek je přidružený k jedné nebo více definici služby Azure Policy . Tyto zásady vám můžou pomoct vyhodnotit dodržování předpisů ovládacích prvků, ale často mezi ovládacím prvek a jednou nebo více zásadami není shoda 1:1 nebo úplná shoda. Dodržování předpisů v Azure Policy proto odkazuje jenom na samotné definice zásad. Tím se nezajistí, že plně splňujete všechny požadavky ovládacího prvku. Kromě toho standard dodržování předpisů zahrnuje ovládací prvky, které nejsou v tuto chvíli adresovány žádnými definicemi služby Azure Policy. Dodržování předpisů ve službě Azure Policy je proto jen částečné zobrazení celkového stavu dodržování předpisů. Přidružení mezi doménami dodržování předpisů, ovládacími prvky a definicemi služby Azure Policy pro tento standard dodržování předpisů se můžou v průběhu času měnit. Pokud chcete zobrazit historii změn, podívejte se na historii potvrzení GitHubu.

Architektura ověřování pro zákazníky

Architektura ověřování pro zákazníky-9.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Účty s oprávněními vlastníka k prostředkům Azure by měly být povolené vícefaktorové ověřování	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními vlastníka, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Účty s oprávněními ke čtení u prostředků Azure by měly být povolené vícefaktorové ověřování	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními ke čtení, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Účty s oprávněním k zápisu prostředků Azure by měly být povolené vícefaktorové ověřování.	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními k zápisu, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Ověřování na počítačích s Linuxem by mělo vyžadovat klíče SSH.	I když samotný SSH poskytuje šifrované připojení, používání hesel s protokolem SSH stále opouští virtuální počítač zranitelný vůči útokům hrubou silou. Nejbezpečnější možností ověřování na virtuálním počítači Azure s Linuxem přes SSH je pár veřejného privátního klíče, který se označuje také jako klíče SSH. Další informace: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed.	AuditIfNotExists, zakázáno	3.2.0

Architektura ověřování pro zákazníky-9.3

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Účty s oprávněními vlastníka k prostředkům Azure by měly být povolené vícefaktorové ověřování	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními vlastníka, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Účty s oprávněními ke čtení u prostředků Azure by měly být povolené vícefaktorové ověřování	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními ke čtení, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Účty s oprávněním k zápisu prostředků Azure by měly být povolené vícefaktorové ověřování.	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními k zápisu, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Ověřování na počítačích s Linuxem by mělo vyžadovat klíče SSH.	I když samotný SSH poskytuje šifrované připojení, používání hesel s protokolem SSH stále opouští virtuální počítač zranitelný vůči útokům hrubou silou. Nejbezpečnější možností ověřování na virtuálním počítači Azure s Linuxem přes SSH je pár veřejného privátního klíče, který se označuje také jako klíče SSH. Další informace: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed.	AuditIfNotExists, zakázáno	3.2.0
Účty hostů s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Externí účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněními ke čtení u prostředků Azure by se měly odebrat.	Externí účty s oprávněními ke čtení by se z vašeho předplatného měly odebrat, aby se zabránilo nemonitorovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněním k zápisu prostředků Azure by se měly odebrat.	Externí účty s oprávněním k zápisu by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0

Správa a zabezpečení sítě

Network Inventory-4.2

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Veškerý internetový provoz by se měl směrovat přes nasazenou bránu Azure Firewall.	Služba Azure Security Center zjistila, že některé z vašich podsítí nejsou chráněné bránou firewall nové generace. Ochrana podsítí před potenciálními hrozbami omezením přístupu k nim pomocí služby Azure Firewall nebo podporované brány firewall nové generace	AuditIfNotExists, zakázáno	3.0.0-preview
[Preview]: Agent shromažďování dat síťového provozu by měl být nainstalovaný na virtuálních počítačích s Linuxem.	Security Center používá agenta Závislost Microsoftu ke shromažďování dat síťového provozu z virtuálních počítačů Azure, aby bylo možné povolit pokročilé funkce ochrany sítě, jako je vizualizace provozu na mapě sítě, doporučení k posílení zabezpečení sítě a konkrétní síťové hrozby.	AuditIfNotExists, zakázáno	1.0.2-preview
[Preview]: Agent shromažďování dat síťového provozu by měl být nainstalovaný na virtuálních počítačích s Windows.	Security Center používá agenta Závislost Microsoftu ke shromažďování dat síťového provozu z virtuálních počítačů Azure, aby bylo možné povolit pokročilé funkce ochrany sítě, jako je vizualizace provozu na mapě sítě, doporučení k posílení zabezpečení sítě a konkrétní síťové hrozby.	AuditIfNotExists, zakázáno	1.0.2-preview
Na počítačích by se měly povolit adaptivní řízení aplikací pro definování bezpečných aplikací.	Povolte řízení aplikací, abyste definovali seznam známých bezpečných aplikací spuštěných na vašich počítačích a upozorňovali vás při spuštění jiných aplikací. To pomáhá posílit zabezpečení počítačů proti malwaru. Aby se zjednodušilo proces konfigurace a údržby pravidel, Security Center pomocí strojového učení analyzuje aplikace spuštěné na každém počítači a navrhne seznam známých bezpečných aplikací.	AuditIfNotExists, zakázáno	3.0.0
Pravidla seznamu povolených v zásadách adaptivního řízení aplikací by se měla aktualizovat.	Monitorujte změny chování ve skupinách počítačů nakonfigurovaných pro auditování adaptivními řízeními aplikací ve službě Azure Security Center. Security Center pomocí strojového učení analyzuje spuštěné procesy na vašich počítačích a navrhuje seznam známých bezpečných aplikací. Zobrazují se jako doporučené aplikace, které umožňují zásady adaptivního řízení aplikací.	AuditIfNotExists, zakázáno	3.0.0
Protokoly toku služby Network Watcher by měly mít povolenou analýzu provozu.	Analýza provozu analyzuje protokoly toku, aby poskytovala přehled o toku provozu ve vašem cloudu Azure. Dá se použít k vizualizaci síťové aktivity napříč předplatnými Azure a identifikaci horkých míst, identifikaci bezpečnostních hrozeb, pochopení vzorců toku provozu, určení chyb konfigurace sítě a další.	Audit, zakázáno	1.0.1

Správa konfigurace síťových zařízení -4.3

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Veškerý internetový provoz by se měl směrovat přes nasazenou bránu Azure Firewall.	Služba Azure Security Center zjistila, že některé z vašich podsítí nejsou chráněné bránou firewall nové generace. Ochrana podsítí před potenciálními hrozbami omezením přístupu k nim pomocí služby Azure Firewall nebo podporované brány firewall nové generace	AuditIfNotExists, zakázáno	3.0.0-preview
[Preview]: Virtuální počítač vTPM by měl být povolený na podporovaných virtuálních počítačích.	Povolte virtuální zařízení TPM na podporovaných virtuálních počítačích, abyste usnadnili měřené spouštění a další funkce zabezpečení operačního systému, které vyžadují čip TPM. Po povolení je možné virtuální počítač vTPM použít k otestování integrity spouštění. Toto posouzení platí jenom pro virtuální počítače s povoleným důvěryhodným spuštěním.	Audit, zakázáno	2.0.0-preview
Doporučení adaptivního posílení zabezpečení sítě by se měla použít na internetových virtuálních počítačích.	Azure Security Center analyzuje vzorce provozu internetových virtuálních počítačů a poskytuje doporučení k pravidlům skupiny zabezpečení sítě, která snižují potenciální prostor pro útoky.	AuditIfNotExists, zakázáno	3.0.0
Všechny síťové porty by měly být omezeny na skupiny zabezpečení sítě přidružené k vašemu virtuálnímu počítači.	Služba Azure Security Center zjistila, že některá příchozí pravidla skupin zabezpečení sítě jsou příliš trvalá. Příchozí pravidla by neměla umožňovat přístup z rozsahů Any nebo Internet. To může útočníkům potenciálně umožnit, aby cílili na vaše prostředky.	AuditIfNotExists, zakázáno	3.0.0
Aplikace služby App Service by měly mít povolené klientské certifikáty (příchozí klientské certifikáty).	Klientské certifikáty umožňují aplikaci požádat o certifikát pro příchozí žádosti. Aplikaci budou moct kontaktovat jenom klienti, kteří mají platný certifikát. Tato zásada platí pro aplikace s verzí HTTP nastavenou na 1.1.	AuditIfNotExists, zakázáno	1.0.0
Aplikace app Service by měly mít vypnuté vzdálené ladění	Vzdálené ladění vyžaduje, aby se v aplikaci App Service otevíraly příchozí porty. Vzdálené ladění by mělo být vypnuté.	AuditIfNotExists, zakázáno	2.0.0
Zásady brány Azure Firewall by měly povolit kontrolu protokolu TLS v rámci pravidel aplikace.	Povolení kontroly protokolu TLS se doporučuje, aby všechna pravidla aplikace zjistila, upozorňovala a zmírňovala škodlivou aktivitu v protokolu HTTPS. Další informace o kontrole protokolu TLS pomocí služby Azure Firewall najdete v tématu https://aka.ms/fw-tlsinspect	Audit, Odepřít, Zakázáno	1.0.0
Firewall webových aplikací Azure by měl být povolený pro vstupní body služby Azure Front Door.	Nasaďte firewall webových aplikací Azure (WAF) před veřejně přístupné webové aplikace pro další kontrolu příchozího provozu. Firewall webových aplikací (WAF) poskytuje centralizovanou ochranu webových aplikací před běžným zneužitím a ohrožením zabezpečení, jako jsou injektáže SQL, skriptování mezi weby, místní a vzdálené spouštění souborů. Přístup k webovým aplikacím můžete omezit také podle zemí, rozsahů IP adres a dalších parametrů HTTP prostřednictvím vlastních pravidel.	Audit, Odepřít, Zakázáno	1.0.2
Aplikace funkcí by měly mít vypnuté vzdálené ladění.	Vzdálené ladění vyžaduje otevření příchozích portů v aplikacích funkcí. Vzdálené ladění by mělo být vypnuté.	AuditIfNotExists, zakázáno	2.0.0
Internetové virtuální počítače by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače před potenciálními hrozbami tím, že omezíte přístup k nim pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Předávání IP na virtuálním počítači by mělo být zakázané.	Povolení předávání IP na síťové kartě virtuálního počítače umožňuje počítači přijímat provoz adresovaný do jiných cílů. Předávání IP se vyžaduje jen zřídka (např. při použití virtuálního počítače jako síťového virtuálního zařízení), a proto by ho měl zkontrolovat tým zabezpečení sítě.	AuditIfNotExists, zakázáno	3.0.0
Porty pro správu virtuálních počítačů by měly být chráněné pomocí řízení přístupu k síti za běhu.	Azure Security Center bude monitorovat možný přístup podle potřeby (JIT) sítě jako doporučení.	AuditIfNotExists, zakázáno	3.0.0
Porty pro správu by měly být na virtuálních počítačích zavřené.	Otevřené porty pro vzdálenou správu zveřejňují váš virtuální počítač na vysokou úroveň rizika z internetových útoků. Tyto útoky se pokusí hrubou silou vynutit přihlašovací údaje, aby získaly přístup správce k počítači.	AuditIfNotExists, zakázáno	3.0.0
Virtuální počítače, které nejsou přístupné z internetu, by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače, které nejsou přístupné z internetu, před potenciálními hrozbami tím, že omezíte přístup pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Podsítě by měly být přidružené ke skupině zabezpečení sítě.	Chraňte podsíť před potenciálními hrozbami tím, že k ní omezíte přístup pomocí skupiny zabezpečení sítě (NSG). Skupiny zabezpečení sítě obsahují seznam pravidel seznamu řízení přístupu (ACL), která povolují nebo zakazují síťový provoz do vaší podsítě.	AuditIfNotExists, zakázáno	3.0.0
Firewall webových aplikací (WAF) by měl být povolený pro službu Application Gateway.	Nasaďte firewall webových aplikací Azure (WAF) před veřejně přístupné webové aplikace pro další kontrolu příchozího provozu. Firewall webových aplikací (WAF) poskytuje centralizovanou ochranu webových aplikací před běžným zneužitím a ohrožením zabezpečení, jako jsou injektáže SQL, skriptování mezi weby, místní a vzdálené spouštění souborů. Přístup k webovým aplikacím můžete omezit také podle zemí, rozsahů IP adres a dalších parametrů HTTP prostřednictvím vlastních pravidel.	Audit, Odepřít, Zakázáno	2.0.0
Firewall webových aplikací (WAF) by měl povolit všechna pravidla brány firewall pro službu Application Gateway.	Povolení všech pravidel firewallu webových aplikací (WAF) posiluje zabezpečení vaší aplikace a chrání vaše webové aplikace před běžnými ohroženími zabezpečení. Další informace o firewallu webových aplikací (WAF) se službou Application Gateway najdete v tématu . https://aka.ms/waf-ag	Audit, Odepřít, Zakázáno	1.0.1

Detekce anomálií –4,7

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Veškerý internetový provoz by se měl směrovat přes nasazenou bránu Azure Firewall.	Služba Azure Security Center zjistila, že některé z vašich podsítí nejsou chráněné bránou firewall nové generace. Ochrana podsítí před potenciálními hrozbami omezením přístupu k nim pomocí služby Azure Firewall nebo podporované brány firewall nové generace	AuditIfNotExists, zakázáno	3.0.0-preview
Doporučení adaptivního posílení zabezpečení sítě by se měla použít na internetových virtuálních počítačích.	Azure Security Center analyzuje vzorce provozu internetových virtuálních počítačů a poskytuje doporučení k pravidlům skupiny zabezpečení sítě, která snižují potenciální prostor pro útoky.	AuditIfNotExists, zakázáno	3.0.0
Všechny síťové porty by měly být omezeny na skupiny zabezpečení sítě přidružené k vašemu virtuálnímu počítači.	Služba Azure Security Center zjistila, že některá příchozí pravidla skupin zabezpečení sítě jsou příliš trvalá. Příchozí pravidla by neměla umožňovat přístup z rozsahů Any nebo Internet. To může útočníkům potenciálně umožnit, aby cílili na vaše prostředky.	AuditIfNotExists, zakázáno	3.0.0
Firewall webových aplikací Azure by měl být povolený pro vstupní body služby Azure Front Door.	Nasaďte firewall webových aplikací Azure (WAF) před veřejně přístupné webové aplikace pro další kontrolu příchozího provozu. Firewall webových aplikací (WAF) poskytuje centralizovanou ochranu webových aplikací před běžným zneužitím a ohrožením zabezpečení, jako jsou injektáže SQL, skriptování mezi weby, místní a vzdálené spouštění souborů. Přístup k webovým aplikacím můžete omezit také podle zemí, rozsahů IP adres a dalších parametrů HTTP prostřednictvím vlastních pravidel.	Audit, Odepřít, Zakázáno	1.0.2
E-mailové oznámení pro upozornění s vysokou závažností by mělo být povolené.	Pokud chcete zajistit, aby relevantní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, povolte e-mailová oznámení pro výstrahy s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	1.1.0
E-mailové oznámení vlastníkovi předplatného pro upozornění s vysokou závažností by mělo být povoleno.	Pokud chcete zajistit, aby vlastníci předplatného dostávali oznámení o potenciálním narušení zabezpečení ve svém předplatném, nastavte pro vlastníky e-mailů upozornění s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	2.1.0
Internetové virtuální počítače by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače před potenciálními hrozbami tím, že omezíte přístup k nim pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Předávání IP na virtuálním počítači by mělo být zakázané.	Povolení předávání IP na síťové kartě virtuálního počítače umožňuje počítači přijímat provoz adresovaný do jiných cílů. Předávání IP se vyžaduje jen zřídka (např. při použití virtuálního počítače jako síťového virtuálního zařízení), a proto by ho měl zkontrolovat tým zabezpečení sítě.	AuditIfNotExists, zakázáno	3.0.0
Porty pro správu virtuálních počítačů by měly být chráněné pomocí řízení přístupu k síti za běhu.	Azure Security Center bude monitorovat možný přístup podle potřeby (JIT) sítě jako doporučení.	AuditIfNotExists, zakázáno	3.0.0
Porty pro správu by měly být na virtuálních počítačích zavřené.	Otevřené porty pro vzdálenou správu zveřejňují váš virtuální počítač na vysokou úroveň rizika z internetových útoků. Tyto útoky se pokusí hrubou silou vynutit přihlašovací údaje, aby získaly přístup správce k počítači.	AuditIfNotExists, zakázáno	3.0.0
Virtuální počítače, které nejsou přístupné z internetu, by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače, které nejsou přístupné z internetu, před potenciálními hrozbami tím, že omezíte přístup pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Podsítě by měly být přidružené ke skupině zabezpečení sítě.	Chraňte podsíť před potenciálními hrozbami tím, že k ní omezíte přístup pomocí skupiny zabezpečení sítě (NSG). Skupiny zabezpečení sítě obsahují seznam pravidel seznamu řízení přístupu (ACL), která povolují nebo zakazují síťový provoz do vaší podsítě.	AuditIfNotExists, zakázáno	3.0.0
Předplatná by měla mít kontaktní e-mailovou adresu pro problémy se zabezpečením	Pokud chcete zajistit, aby příslušní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, nastavte bezpečnostní kontakt pro příjem e-mailových oznámení ze služby Security Center.	AuditIfNotExists, zakázáno	1.0.1
Firewall webových aplikací (WAF) by měl být povolený pro službu Application Gateway.	Nasaďte firewall webových aplikací Azure (WAF) před veřejně přístupné webové aplikace pro další kontrolu příchozího provozu. Firewall webových aplikací (WAF) poskytuje centralizovanou ochranu webových aplikací před běžným zneužitím a ohrožením zabezpečení, jako jsou injektáže SQL, skriptování mezi weby, místní a vzdálené spouštění souborů. Přístup k webovým aplikacím můžete omezit také podle zemí, rozsahů IP adres a dalších parametrů HTTP prostřednictvím vlastních pravidel.	Audit, Odepřít, Zakázáno	2.0.0

Security Operation Centre-4.9

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Služba Azure Defender for App Service by měla být povolená.	Azure Defender for App Service využívá škálování cloudu a viditelnost, kterou Azure má jako poskytovatel cloudu, k monitorování běžných útoků webových aplikací.	AuditIfNotExists, zakázáno	1.0.3
Servery Azure Defenderu pro Azure SQL Database by měly být povolené.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2
Služba Azure Defender for Key Vault by měla být povolená.	Azure Defender for Key Vault poskytuje další vrstvu ochrany a informací o zabezpečení tím, že detekuje neobvyklé a potenciálně škodlivé pokusy o přístup k účtům trezoru klíčů nebo jejich zneužití.	AuditIfNotExists, zakázáno	1.0.3
Azure Defender pro opensourcové relační databáze by měl být povolený.	Azure Defender pro opensourcové relační databáze detekuje neobvyklé aktivity označující neobvyklé a potenciálně škodlivé pokusy o přístup k databázím nebo jejich zneužití. Přečtěte si další informace o možnostech Azure Defenderu pro opensourcové relační databáze na adrese https://aka.ms/AzDforOpenSourceDBsDocu. Důležité: Povolením tohoto plánu se budou účtovat poplatky za ochranu opensourcových relačních databází. Další informace o cenách na stránce s cenami služby Security Center: https://aka.ms/pricing-security-center	AuditIfNotExists, zakázáno	1.0.0
Azure Defender for Resource Manager by měl být povolený.	Azure Defender for Resource Manager automaticky monitoruje operace správy prostředků ve vaší organizaci. Azure Defender detekuje hrozby a upozorní vás na podezřelou aktivitu. Přečtěte si další informace o možnostech Azure Defenderu pro Resource Manager na adrese https://aka.ms/defender-for-resource-manager . Povolením tohoto plánu Azure Defenderu se účtují poplatky. Další informace o cenách v jednotlivých oblastech najdete na stránce s cenami služby Security Center: https://aka.ms/pricing-security-center .	AuditIfNotExists, zakázáno	1.0.0
Měla by být povolená služba Azure Defender pro servery.	Azure Defender pro servery poskytuje ochranu před hrozbami v reálném čase pro úlohy serveru a generuje doporučení pro posílení zabezpečení a také výstrahy týkající se podezřelých aktivit.	AuditIfNotExists, zakázáno	1.0.3
Na počítačích by se měl povolit Azure Defender pro SQL servery.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2
Azure Defender pro SQL by měl být povolený pro nechráněné servery Azure SQL.	Audit sql serverů bez rozšířeného zabezpečení dat	AuditIfNotExists, zakázáno	2.0.1
Azure Defender pro SQL by měl být povolený pro nechráněné spravované instance SQL.	Auditujte každou spravovanou instanci SQL bez pokročilého zabezpečení dat.	AuditIfNotExists, zakázáno	1.0.2
E-mailové oznámení pro upozornění s vysokou závažností by mělo být povolené.	Pokud chcete zajistit, aby relevantní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, povolte e-mailová oznámení pro výstrahy s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	1.1.0
E-mailové oznámení vlastníkovi předplatného pro upozornění s vysokou závažností by mělo být povoleno.	Pokud chcete zajistit, aby vlastníci předplatného dostávali oznámení o potenciálním narušení zabezpečení ve svém předplatném, nastavte pro vlastníky e-mailů upozornění s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	2.1.0
Měla by být povolená služba Microsoft Defender for Containers.	Microsoft Defender for Containers poskytuje posílení zabezpečení, posouzení ohrožení zabezpečení a ochranu za běhu pro vaše prostředí Kubernetes v Azure, hybridním a multicloudových prostředích Kubernetes.	AuditIfNotExists, zakázáno	1.0.0
Měl by být povolený Microsoft Defender pro úložiště.	Microsoft Defender for Storage detekuje potenciální hrozby pro vaše účty úložiště. Pomáhá zabránit třem hlavním dopadům na vaše data a úlohy: nahrání škodlivých souborů, exfiltrace citlivých dat a poškození dat. Nový plán Defenderu pro úložiště zahrnuje kontrolu malwaru a detekci citlivých dat. Tento plán také poskytuje předvídatelnou cenovou strukturu (na účet úložiště) pro kontrolu nad pokrytím a náklady.	AuditIfNotExists, zakázáno	1.0.0
Služba Network Watcher by měla být povolená.	Network Watcher je regionální služba, která umožňuje monitorovat a diagnostikovat podmínky na úrovni scénáře sítě v Azure a z Azure. Monitorování na úrovni scénáře umožňuje diagnostikovat problémy na úrovni sítě na konci až do zobrazení na úrovni sítě. Je nutné mít skupinu prostředků sledovacího nástroje sítě, která se má vytvořit v každé oblasti, kde je virtuální síť přítomná. Výstraha je povolená, pokud skupina prostředků sledovacího prostředí sítě není v konkrétní oblasti dostupná.	AuditIfNotExists, zakázáno	3.0.0
Předplatná by měla mít kontaktní e-mailovou adresu pro problémy se zabezpečením	Pokud chcete zajistit, aby příslušní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, nastavte bezpečnostní kontakt pro příjem e-mailových oznámení ze služby Security Center.	AuditIfNotExists, zakázáno	1.0.1

Hraniční ochrana a detekce -4.10

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Veškerý internetový provoz by se měl směrovat přes nasazenou bránu Azure Firewall.	Služba Azure Security Center zjistila, že některé z vašich podsítí nejsou chráněné bránou firewall nové generace. Ochrana podsítí před potenciálními hrozbami omezením přístupu k nim pomocí služby Azure Firewall nebo podporované brány firewall nové generace	AuditIfNotExists, zakázáno	3.0.0-preview
Doporučení adaptivního posílení zabezpečení sítě by se měla použít na internetových virtuálních počítačích.	Azure Security Center analyzuje vzorce provozu internetových virtuálních počítačů a poskytuje doporučení k pravidlům skupiny zabezpečení sítě, která snižují potenciální prostor pro útoky.	AuditIfNotExists, zakázáno	3.0.0
Všechny síťové porty by měly být omezeny na skupiny zabezpečení sítě přidružené k vašemu virtuálnímu počítači.	Služba Azure Security Center zjistila, že některá příchozí pravidla skupin zabezpečení sítě jsou příliš trvalá. Příchozí pravidla by neměla umožňovat přístup z rozsahů Any nebo Internet. To může útočníkům potenciálně umožnit, aby cílili na vaše prostředky.	AuditIfNotExists, zakázáno	3.0.0
Měla by být povolená služba Azure Defender pro servery.	Azure Defender pro servery poskytuje ochranu před hrozbami v reálném čase pro úlohy serveru a generuje doporučení pro posílení zabezpečení a také výstrahy týkající se podezřelých aktivit.	AuditIfNotExists, zakázáno	1.0.3
Firewall webových aplikací Azure by měl být povolený pro vstupní body služby Azure Front Door.	Nasaďte firewall webových aplikací Azure (WAF) před veřejně přístupné webové aplikace pro další kontrolu příchozího provozu. Firewall webových aplikací (WAF) poskytuje centralizovanou ochranu webových aplikací před běžným zneužitím a ohrožením zabezpečení, jako jsou injektáže SQL, skriptování mezi weby, místní a vzdálené spouštění souborů. Přístup k webovým aplikacím můžete omezit také podle zemí, rozsahů IP adres a dalších parametrů HTTP prostřednictvím vlastních pravidel.	Audit, Odepřít, Zakázáno	1.0.2
Internetové virtuální počítače by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače před potenciálními hrozbami tím, že omezíte přístup k nim pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Předávání IP na virtuálním počítači by mělo být zakázané.	Povolení předávání IP na síťové kartě virtuálního počítače umožňuje počítači přijímat provoz adresovaný do jiných cílů. Předávání IP se vyžaduje jen zřídka (např. při použití virtuálního počítače jako síťového virtuálního zařízení), a proto by ho měl zkontrolovat tým zabezpečení sítě.	AuditIfNotExists, zakázáno	3.0.0
Porty pro správu virtuálních počítačů by měly být chráněné pomocí řízení přístupu k síti za běhu.	Azure Security Center bude monitorovat možný přístup podle potřeby (JIT) sítě jako doporučení.	AuditIfNotExists, zakázáno	3.0.0
Porty pro správu by měly být na virtuálních počítačích zavřené.	Otevřené porty pro vzdálenou správu zveřejňují váš virtuální počítač na vysokou úroveň rizika z internetových útoků. Tyto útoky se pokusí hrubou silou vynutit přihlašovací údaje, aby získaly přístup správce k počítači.	AuditIfNotExists, zakázáno	3.0.0
Virtuální počítače, které nejsou přístupné z internetu, by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače, které nejsou přístupné z internetu, před potenciálními hrozbami tím, že omezíte přístup pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Podsítě by měly být přidružené ke skupině zabezpečení sítě.	Chraňte podsíť před potenciálními hrozbami tím, že k ní omezíte přístup pomocí skupiny zabezpečení sítě (NSG). Skupiny zabezpečení sítě obsahují seznam pravidel seznamu řízení přístupu (ACL), která povolují nebo zakazují síťový provoz do vaší podsítě.	AuditIfNotExists, zakázáno	3.0.0
Firewall webových aplikací (WAF) by měl být povolený pro službu Application Gateway.	Nasaďte firewall webových aplikací Azure (WAF) před veřejně přístupné webové aplikace pro další kontrolu příchozího provozu. Firewall webových aplikací (WAF) poskytuje centralizovanou ochranu webových aplikací před běžným zneužitím a ohrožením zabezpečení, jako jsou injektáže SQL, skriptování mezi weby, místní a vzdálené spouštění souborů. Přístup k webovým aplikacím můžete omezit také podle zemí, rozsahů IP adres a dalších parametrů HTTP prostřednictvím vlastních pravidel.	Audit, Odepřít, Zakázáno	2.0.0

Zabránění spuštění neoprávněného softwaru

Inventář softwaru –2.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Na počítačích by se měly povolit adaptivní řízení aplikací pro definování bezpečných aplikací.	Povolte řízení aplikací, abyste definovali seznam známých bezpečných aplikací spuštěných na vašich počítačích a upozorňovali vás při spuštění jiných aplikací. To pomáhá posílit zabezpečení počítačů proti malwaru. Aby se zjednodušilo proces konfigurace a údržby pravidel, Security Center pomocí strojového učení analyzuje aplikace spuštěné na každém počítači a navrhne seznam známých bezpečných aplikací.	AuditIfNotExists, zakázáno	3.0.0
Pravidla seznamu povolených v zásadách adaptivního řízení aplikací by se měla aktualizovat.	Monitorujte změny chování ve skupinách počítačů nakonfigurovaných pro auditování adaptivními řízeními aplikací ve službě Azure Security Center. Security Center pomocí strojového učení analyzuje spuštěné procesy na vašich počítačích a navrhuje seznam známých bezpečných aplikací. Zobrazují se jako doporučené aplikace, které umožňují zásady adaptivního řízení aplikací.	AuditIfNotExists, zakázáno	3.0.0

Autorizovaná instalace softwaru-2.2

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Na počítačích by se měly povolit adaptivní řízení aplikací pro definování bezpečných aplikací.	Povolte řízení aplikací, abyste definovali seznam známých bezpečných aplikací spuštěných na vašich počítačích a upozorňovali vás při spuštění jiných aplikací. To pomáhá posílit zabezpečení počítačů proti malwaru. Aby se zjednodušilo proces konfigurace a údržby pravidel, Security Center pomocí strojového učení analyzuje aplikace spuštěné na každém počítači a navrhne seznam známých bezpečných aplikací.	AuditIfNotExists, zakázáno	3.0.0
Pravidla seznamu povolených v zásadách adaptivního řízení aplikací by se měla aktualizovat.	Monitorujte změny chování ve skupinách počítačů nakonfigurovaných pro auditování adaptivními řízeními aplikací ve službě Azure Security Center. Security Center pomocí strojového učení analyzuje spuštěné procesy na vašich počítačích a navrhuje seznam známých bezpečných aplikací. Zobrazují se jako doporučené aplikace, které umožňují zásady adaptivního řízení aplikací.	AuditIfNotExists, zakázáno	3.0.0

Security Update Management-2.3

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Databáze SQL by měly mít vyřešené zjištění ohrožení zabezpečení	Monitorujte výsledky kontroly posouzení ohrožení zabezpečení a doporučení, jak napravit ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	4.1.0
Vyřešené zjištění ohrožení zabezpečení u SQL serverů na počítačích	Posouzení ohrožení zabezpečení SQL zkontroluje ohrožení zabezpečení databáze a zpřístupňuje případné odchylky od osvědčených postupů, jako jsou chybné konfigurace, nadměrná oprávnění a nechráněná citlivá data. Řešení nalezených ohrožení zabezpečení může výrazně zlepšit stav zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.0
Aktualizace systému ve škálovacích sadách virtuálních počítačů by se měly nainstalovat.	Umožňuje auditovat, jestli chybí nějaké aktualizace zabezpečení systému nebo důležité aktualizace, které by se měly nainstalovat, aby bylo jisté, že škálovací sady virtuálních počítačů s Windows a Linuxem jsou zabezpečené.	AuditIfNotExists, zakázáno	3.0.0
Na počítačích by se měly nainstalovat aktualizace systému.	Azure Security Center bude monitorovat chybějící aktualizace systému zabezpečení na vašich serverech jako doporučení.	AuditIfNotExists, zakázáno	4.0.0
Chyby zabezpečení v konfiguracích zabezpečení kontejnerů by se měly napravit.	Auditujte ohrožení zabezpečení v konfiguraci zabezpečení na počítačích s nainstalovaným Dockerem a zobrazují se jako doporučení ve službě Azure Security Center.	AuditIfNotExists, zakázáno	3.0.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení na vašich počítačích.	Servery, které nesplňují nakonfigurovaný směrný plán, budou monitorovány službou Azure Security Center jako doporučení.	AuditIfNotExists, zakázáno	3.1.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení ve škálovacích sadách virtuálních počítačů.	Auditujte ohrožení zabezpečení operačního systému ve škálovacích sadách virtuálních počítačů, abyste je ochránili před útoky.	AuditIfNotExists, zakázáno	3.0.0

Oprava / Správa chyb zabezpečení a změn

Oprava / Ohrožení zabezpečení a správa změn -7.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Na virtuálních počítačích by mělo být povolené řešení posouzení ohrožení zabezpečení.	Audituje virtuální počítače, aby zjistil, jestli používají podporované řešení posouzení ohrožení zabezpečení. Základní součástí každého programu kybernetického rizika a zabezpečení je identifikace a analýza ohrožení zabezpečení. Cenová úroveň Azure Security Center úrovně Standard zahrnuje kontrolu ohrožení zabezpečení pro vaše virtuální počítače bez dalších poplatků. Security Center navíc může tento nástroj automaticky nasadit za vás.	AuditIfNotExists, zakázáno	3.0.0
Databáze SQL by měly mít vyřešené zjištění ohrožení zabezpečení	Monitorujte výsledky kontroly posouzení ohrožení zabezpečení a doporučení, jak napravit ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	4.1.0
Vyřešené zjištění ohrožení zabezpečení u SQL serverů na počítačích	Posouzení ohrožení zabezpečení SQL zkontroluje ohrožení zabezpečení databáze a zpřístupňuje případné odchylky od osvědčených postupů, jako jsou chybné konfigurace, nadměrná oprávnění a nechráněná citlivá data. Řešení nalezených ohrožení zabezpečení může výrazně zlepšit stav zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.0
Aktualizace systému ve škálovacích sadách virtuálních počítačů by se měly nainstalovat.	Umožňuje auditovat, jestli chybí nějaké aktualizace zabezpečení systému nebo důležité aktualizace, které by se měly nainstalovat, aby bylo jisté, že škálovací sady virtuálních počítačů s Windows a Linuxem jsou zabezpečené.	AuditIfNotExists, zakázáno	3.0.0
Na počítačích by se měly nainstalovat aktualizace systému.	Azure Security Center bude monitorovat chybějící aktualizace systému zabezpečení na vašich serverech jako doporučení.	AuditIfNotExists, zakázáno	4.0.0
Chyby zabezpečení v konfiguracích zabezpečení kontejnerů by se měly napravit.	Auditujte ohrožení zabezpečení v konfiguraci zabezpečení na počítačích s nainstalovaným Dockerem a zobrazují se jako doporučení ve službě Azure Security Center.	AuditIfNotExists, zakázáno	3.0.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení na vašich počítačích.	Servery, které nesplňují nakonfigurovaný směrný plán, budou monitorovány službou Azure Security Center jako doporučení.	AuditIfNotExists, zakázáno	3.1.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení ve škálovacích sadách virtuálních počítačů.	Auditujte ohrožení zabezpečení operačního systému ve škálovacích sadách virtuálních počítačů, abyste je ochránili před útoky.	AuditIfNotExists, zakázáno	3.0.0
Ve službě SQL Managed Instance by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte každou spravovanou instanci SQL, která nemá povolené opakované kontroly posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.1
Na sql serverech by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte servery Azure SQL, které nemají správně nakonfigurované posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	3.0.0

Oprava / Ohrožení zabezpečení a správa změn -7.2

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Na virtuálních počítačích by mělo být povolené řešení posouzení ohrožení zabezpečení.	Audituje virtuální počítače, aby zjistil, jestli používají podporované řešení posouzení ohrožení zabezpečení. Základní součástí každého programu kybernetického rizika a zabezpečení je identifikace a analýza ohrožení zabezpečení. Cenová úroveň Azure Security Center úrovně Standard zahrnuje kontrolu ohrožení zabezpečení pro vaše virtuální počítače bez dalších poplatků. Security Center navíc může tento nástroj automaticky nasadit za vás.	AuditIfNotExists, zakázáno	3.0.0
Databáze SQL by měly mít vyřešené zjištění ohrožení zabezpečení	Monitorujte výsledky kontroly posouzení ohrožení zabezpečení a doporučení, jak napravit ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	4.1.0
Vyřešené zjištění ohrožení zabezpečení u SQL serverů na počítačích	Posouzení ohrožení zabezpečení SQL zkontroluje ohrožení zabezpečení databáze a zpřístupňuje případné odchylky od osvědčených postupů, jako jsou chybné konfigurace, nadměrná oprávnění a nechráněná citlivá data. Řešení nalezených ohrožení zabezpečení může výrazně zlepšit stav zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.0
Aktualizace systému ve škálovacích sadách virtuálních počítačů by se měly nainstalovat.	Umožňuje auditovat, jestli chybí nějaké aktualizace zabezpečení systému nebo důležité aktualizace, které by se měly nainstalovat, aby bylo jisté, že škálovací sady virtuálních počítačů s Windows a Linuxem jsou zabezpečené.	AuditIfNotExists, zakázáno	3.0.0
Na počítačích by se měly nainstalovat aktualizace systému.	Azure Security Center bude monitorovat chybějící aktualizace systému zabezpečení na vašich serverech jako doporučení.	AuditIfNotExists, zakázáno	4.0.0
Chyby zabezpečení v konfiguracích zabezpečení kontejnerů by se měly napravit.	Auditujte ohrožení zabezpečení v konfiguraci zabezpečení na počítačích s nainstalovaným Dockerem a zobrazují se jako doporučení ve službě Azure Security Center.	AuditIfNotExists, zakázáno	3.0.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení na vašich počítačích.	Servery, které nesplňují nakonfigurovaný směrný plán, budou monitorovány službou Azure Security Center jako doporučení.	AuditIfNotExists, zakázáno	3.1.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení ve škálovacích sadách virtuálních počítačů.	Auditujte ohrožení zabezpečení operačního systému ve škálovacích sadách virtuálních počítačů, abyste je ochránili před útoky.	AuditIfNotExists, zakázáno	3.0.0
Ve službě SQL Managed Instance by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte každou spravovanou instanci SQL, která nemá povolené opakované kontroly posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.1
Na sql serverech by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte servery Azure SQL, které nemají správně nakonfigurované posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	3.0.0

Oprava / Ohrožení zabezpečení a správa změn -7.6

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Služba Azure Defender for App Service by měla být povolená.	Azure Defender for App Service využívá škálování cloudu a viditelnost, kterou Azure má jako poskytovatel cloudu, k monitorování běžných útoků webových aplikací.	AuditIfNotExists, zakázáno	1.0.3
Servery Azure Defenderu pro Azure SQL Database by měly být povolené.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2
Služba Azure Defender for Key Vault by měla být povolená.	Azure Defender for Key Vault poskytuje další vrstvu ochrany a informací o zabezpečení tím, že detekuje neobvyklé a potenciálně škodlivé pokusy o přístup k účtům trezoru klíčů nebo jejich zneužití.	AuditIfNotExists, zakázáno	1.0.3
Azure Defender pro opensourcové relační databáze by měl být povolený.	Azure Defender pro opensourcové relační databáze detekuje neobvyklé aktivity označující neobvyklé a potenciálně škodlivé pokusy o přístup k databázím nebo jejich zneužití. Přečtěte si další informace o možnostech Azure Defenderu pro opensourcové relační databáze na adrese https://aka.ms/AzDforOpenSourceDBsDocu. Důležité: Povolením tohoto plánu se budou účtovat poplatky za ochranu opensourcových relačních databází. Další informace o cenách na stránce s cenami služby Security Center: https://aka.ms/pricing-security-center	AuditIfNotExists, zakázáno	1.0.0
Azure Defender for Resource Manager by měl být povolený.	Azure Defender for Resource Manager automaticky monitoruje operace správy prostředků ve vaší organizaci. Azure Defender detekuje hrozby a upozorní vás na podezřelou aktivitu. Přečtěte si další informace o možnostech Azure Defenderu pro Resource Manager na adrese https://aka.ms/defender-for-resource-manager . Povolením tohoto plánu Azure Defenderu se účtují poplatky. Další informace o cenách v jednotlivých oblastech najdete na stránce s cenami služby Security Center: https://aka.ms/pricing-security-center .	AuditIfNotExists, zakázáno	1.0.0
Měla by být povolená služba Azure Defender pro servery.	Azure Defender pro servery poskytuje ochranu před hrozbami v reálném čase pro úlohy serveru a generuje doporučení pro posílení zabezpečení a také výstrahy týkající se podezřelých aktivit.	AuditIfNotExists, zakázáno	1.0.3
Na počítačích by se měl povolit Azure Defender pro SQL servery.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2
Azure Defender pro SQL by měl být povolený pro nechráněné servery Azure SQL.	Audit sql serverů bez rozšířeného zabezpečení dat	AuditIfNotExists, zakázáno	2.0.1
Azure Defender pro SQL by měl být povolený pro nechráněné spravované instance SQL.	Auditujte každou spravovanou instanci SQL bez pokročilého zabezpečení dat.	AuditIfNotExists, zakázáno	1.0.2
Měla by být povolená služba Microsoft Defender for Containers.	Microsoft Defender for Containers poskytuje posílení zabezpečení, posouzení ohrožení zabezpečení a ochranu za běhu pro vaše prostředí Kubernetes v Azure, hybridním a multicloudových prostředích Kubernetes.	AuditIfNotExists, zakázáno	1.0.0
Měl by být povolený Microsoft Defender pro úložiště.	Microsoft Defender for Storage detekuje potenciální hrozby pro vaše účty úložiště. Pomáhá zabránit třem hlavním dopadům na vaše data a úlohy: nahrání škodlivých souborů, exfiltrace citlivých dat a poškození dat. Nový plán Defenderu pro úložiště zahrnuje kontrolu malwaru a detekci citlivých dat. Tento plán také poskytuje předvídatelnou cenovou strukturu (na účet úložiště) pro kontrolu nad pokrytím a náklady.	AuditIfNotExists, zakázáno	1.0.0
Databáze SQL by měly mít vyřešené zjištění ohrožení zabezpečení	Monitorujte výsledky kontroly posouzení ohrožení zabezpečení a doporučení, jak napravit ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	4.1.0
Vyřešené zjištění ohrožení zabezpečení u SQL serverů na počítačích	Posouzení ohrožení zabezpečení SQL zkontroluje ohrožení zabezpečení databáze a zpřístupňuje případné odchylky od osvědčených postupů, jako jsou chybné konfigurace, nadměrná oprávnění a nechráněná citlivá data. Řešení nalezených ohrožení zabezpečení může výrazně zlepšit stav zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.0
Aktualizace systému ve škálovacích sadách virtuálních počítačů by se měly nainstalovat.	Umožňuje auditovat, jestli chybí nějaké aktualizace zabezpečení systému nebo důležité aktualizace, které by se měly nainstalovat, aby bylo jisté, že škálovací sady virtuálních počítačů s Windows a Linuxem jsou zabezpečené.	AuditIfNotExists, zakázáno	3.0.0
Na počítačích by se měly nainstalovat aktualizace systému.	Azure Security Center bude monitorovat chybějící aktualizace systému zabezpečení na vašich serverech jako doporučení.	AuditIfNotExists, zakázáno	4.0.0
Chyby zabezpečení v konfiguracích zabezpečení kontejnerů by se měly napravit.	Auditujte ohrožení zabezpečení v konfiguraci zabezpečení na počítačích s nainstalovaným Dockerem a zobrazují se jako doporučení ve službě Azure Security Center.	AuditIfNotExists, zakázáno	3.0.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení na vašich počítačích.	Servery, které nesplňují nakonfigurovaný směrný plán, budou monitorovány službou Azure Security Center jako doporučení.	AuditIfNotExists, zakázáno	3.1.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení ve škálovacích sadách virtuálních počítačů.	Auditujte ohrožení zabezpečení operačního systému ve škálovacích sadách virtuálních počítačů, abyste je ochránili před útoky.	AuditIfNotExists, zakázáno	3.0.0

Oprava / ohrožení zabezpečení a správa změn -7.7

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Veřejný přístup k účtu úložiště by se měl nepovolit.	Anonymní veřejný přístup pro čtení ke kontejnerům a objektům blob ve službě Azure Storage představuje pohodlný způsob sdílení dat, ale může představovat bezpečnostní rizika. Aby se zabránilo porušení zabezpečení dat způsobeným nežádoucím anonymním přístupem, Microsoft doporučuje zabránit veřejnému přístupu k účtu úložiště, pokud to váš scénář nevyžaduje.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	3.1.0-preview
Služby API Management by měly používat virtuální síť.	Nasazení služby Azure Virtual Network poskytuje rozšířené zabezpečení, izolaci a umožňuje umístit službu API Management do ne internetu směrovatelné sítě, ke které řídíte přístup. Tyto sítě je pak možné připojit k místním sítím pomocí různých technologií VPN, které umožňují přístup k back-endovým službám v síti nebo v místním prostředí. Portál pro vývojáře a brána rozhraní API je možné nakonfigurovat tak, aby byly přístupné buď z internetu, nebo jenom ve virtuální síti.	Audit, Odepřít, Zakázáno	1.0.2
Konfigurace aplikace by měla používat privátní propojení.	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma private link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na instance konfigurace aplikace místo celé služby budete také chráněni před riziky úniku dat. Další informace najdete tady: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, zakázáno	1.0.2
Ověřování na počítačích s Linuxem by mělo vyžadovat klíče SSH.	I když samotný SSH poskytuje šifrované připojení, používání hesel s protokolem SSH stále opouští virtuální počítač zranitelný vůči útokům hrubou silou. Nejbezpečnější možností ověřování na virtuálním počítači Azure s Linuxem přes SSH je pár veřejného privátního klíče, který se označuje také jako klíče SSH. Další informace: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed.	AuditIfNotExists, zakázáno	3.2.0
Autorizované rozsahy IP adres by se měly definovat ve službě Kubernetes Services.	Omezte přístup k rozhraní API pro správu služby Kubernetes tím, že udělíte přístup rozhraní API pouze k IP adresám v konkrétních rozsazích. Doporučujeme omezit přístup k autorizovaným rozsahům IP adres, aby ke clusteru měli přístup jenom aplikace z povolených sítí.	Audit, zakázáno	2.0.1
Domény Služby Azure Event Grid by měly používat privátní propojení	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na doménu Služby Event Grid místo celé služby budete také chráněni před riziky úniku dat. Další informace najdete tady: https://aka.ms/privateendpoints.	Audit, zakázáno	1.0.2
Témata služby Azure Event Grid by měla používat privátní propojení	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na téma Event Gridu místo celé služby budete také chráněni před riziky úniku dat. Další informace najdete tady: https://aka.ms/privateendpoints.	Audit, zakázáno	1.0.2
Služba Azure Key Vault by měla mít povolenou bránu firewall.	Povolte bránu firewall trezoru klíčů, aby trezor klíčů nebyl ve výchozím nastavení přístupný pro žádné veřejné IP adresy. Volitelně můžete nakonfigurovat konkrétní rozsahy IP adres pro omezení přístupu k těmto sítím. Další informace najdete tady: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Odepřít, Zakázáno	3.2.1
Služby Azure Key Vault by měly používat privátní propojení.	Azure Private Link umožňuje připojit virtuální sítě ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na trezor klíčů můžete snížit rizika úniku dat. Další informace o privátních propojeních najdete tady: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Pracovní prostory azure machine Učení by měly používat privátní propojení	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na pracovní prostory Azure Machine Učení se sníží riziko úniku dat. Další informace o privátních propojeních najdete tady: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Audit, zakázáno	1.0.0
Azure Spring Cloud by měl používat injektáž sítě	Instance Azure Spring Cloud by měly používat injektáž virtuální sítě pro následující účely: 1. Izolujte Azure Spring Cloud od internetu. 2. Povolte Službě Azure Spring Cloud interakci se systémy v místních datových centrech nebo službě Azure v jiných virtuálních sítích. 3. Umožněte zákazníkům řídit příchozí a odchozí síťovou komunikaci pro Azure Spring Cloud.	Audit, Zakázáno, Odepřít	1.2.0
Registry kontejnerů by neměly umožňovat neomezený síťový přístup	Registry kontejnerů Azure ve výchozím nastavení přijímají připojení přes internet z hostitelů v libovolné síti. Pokud chcete chránit registry před potenciálními hrozbami, povolte přístup jenom z konkrétních privátních koncových bodů, veřejných IP adres nebo rozsahů adres. Pokud váš registr nemá nakonfigurovaná pravidla sítě, zobrazí se v prostředcích, které nejsou v pořádku. Další informace o pravidlech sítě služby Container Registry najdete tady: https://aka.ms/acr/portal/public-networkhttps://aka.ms/acr/privatelinka .https://aka.ms/acr/vnet	Audit, Odepřít, Zakázáno	2.0.0
Registry kontejnerů by měly používat privátní propojení.	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma private link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na vaše registry kontejnerů místo celé služby budete také chráněni před riziky úniku dat. Další informace najdete tady: https://aka.ms/acr/private-link.	Audit, zakázáno	1.0.1
Připojení privátního koncového bodu ve službě Azure SQL Database by měla být povolená.	Připojení privátního koncového bodu vynucují zabezpečenou komunikaci povolením privátního připojení ke službě Azure SQL Database.	Audit, zakázáno	1.1.0
Privátní koncový bod by měl být povolený pro servery MariaDB.	Připojení privátního koncového bodu vynucují zabezpečenou komunikaci povolením privátního připojení ke službě Azure Database for MariaDB. Nakonfigurujte připojení privátního koncového bodu tak, aby umožňovalo přístup k provozu přicházejícímu jenom ze známých sítí a zabránilo přístupu ze všech ostatních IP adres, včetně v Rámci Azure.	AuditIfNotExists, zakázáno	1.0.2
Privátní koncový bod by měl být povolený pro servery MySQL.	Připojení privátního koncového bodu vynucují zabezpečenou komunikaci povolením privátního připojení ke službě Azure Database for MySQL. Nakonfigurujte připojení privátního koncového bodu tak, aby umožňovalo přístup k provozu přicházejícímu jenom ze známých sítí a zabránilo přístupu ze všech ostatních IP adres, včetně v Rámci Azure.	AuditIfNotExists, zakázáno	1.0.2
Privátní koncový bod by měl být povolený pro servery PostgreSQL.	Připojení privátního koncového bodu vynucují zabezpečenou komunikaci povolením privátního připojení ke službě Azure Database for PostgreSQL. Nakonfigurujte připojení privátního koncového bodu tak, aby umožňovalo přístup k provozu přicházejícímu jenom ze známých sítí a zabránilo přístupu ze všech ostatních IP adres, včetně v Rámci Azure.	AuditIfNotExists, zakázáno	1.0.2
Přístup k veřejné síti ve službě Azure SQL Database by měl být zakázaný.	Zakázání vlastnosti přístupu k veřejné síti zlepšuje zabezpečení tím, že zajišťuje přístup k azure SQL Database pouze z privátního koncového bodu. Tato konfigurace odmítne všechna přihlášení, která odpovídají pravidlům brány firewall založeným na protokolu IP nebo virtuální síti.	Audit, Odepřít, Zakázáno	1.1.0
Přístup k veřejné síti by měl být pro servery MariaDB zakázaný.	Zakažte vlastnost přístupu k veřejné síti, abyste zlepšili zabezpečení a zajistili, že k vaší službě Azure Database for MariaDB bude možné přistupovat pouze z privátního koncového bodu. Tato konfigurace přísně zakáže přístup z jakéhokoli veřejného adresního prostoru mimo rozsah IP adres Azure a odmítne všechna přihlášení, která odpovídají pravidlům brány firewall založeným na PROTOKOLU IP nebo virtuální síti.	Audit, Odepřít, Zakázáno	2.0.0
Přístup k veřejné síti by měl být pro servery MySQL zakázaný.	Zakažte vlastnost přístupu k veřejné síti, abyste zlepšili zabezpečení a zajistili, že k azure Database for MySQL bude možné přistupovat jenom z privátního koncového bodu. Tato konfigurace přísně zakáže přístup z jakéhokoli veřejného adresního prostoru mimo rozsah IP adres Azure a odmítne všechna přihlášení, která odpovídají pravidlům brány firewall založeným na PROTOKOLU IP nebo virtuální síti.	Audit, Odepřít, Zakázáno	2.0.0
Přístup k veřejné síti by měl být pro servery PostgreSQL zakázaný.	Zakažte vlastnost přístupu k veřejné síti, abyste zlepšili zabezpečení a zajistili, že k Azure Database for PostgreSQL bude možné přistupovat pouze z privátního koncového bodu. Tato konfigurace zakáže přístup z jakéhokoli veřejného adresního prostoru mimo rozsah IP adres Azure a zakáže všechna přihlášení, která odpovídají pravidlům brány firewall založeným na PROTOKOLU IP nebo virtuální síti.	Audit, Odepřít, Zakázáno	2.0.1
Účty úložiště by měly omezit přístup k síti	Přístup k síti k účtům úložiště by měl být omezený. Nakonfigurujte pravidla sítě, aby k účtu úložiště mohly přistupovat jenom aplikace z povolených sítí. Pokud chcete povolit připojení z konkrétního internetu nebo místních klientů, je možné udělit přístup k provozu z konkrétních virtuálních sítí Azure nebo k rozsahům veřejných internetových IP adres.	Audit, Odepřít, Zakázáno	1.1.1
Účty úložiště by měly omezit přístup k síti pomocí pravidel virtuální sítě.	Chraňte své účty úložiště před potenciálními hrozbami pomocí pravidel virtuální sítě jako upřednostňované metody místo filtrování založeného na PROTOKOLU IP. Zakázáním filtrování na základě IP adres zabráníte veřejným IP adresám v přístupu k účtům úložiště.	Audit, Odepřít, Zakázáno	1.0.1
Účty úložiště by měly používat privátní propojení	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátníchkoncovýchch Další informace o privátních propojeních najdete tady: https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, zakázáno	2.0.0
Šablony Image Builderu virtuálních počítačů by měly používat privátní propojení	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátníchkoncovýchch Další informace o privátních propojeních najdete tady: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Audit, Zakázáno, Odepřít	1.1.0

Údržba, monitorování a analýza protokolů auditu

Údržba, monitorování a analýza protokolů auditu –16.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Všechny prostředky protokolu toku by měly být ve stavu povoleného.	Auditujte prostředky protokolu toku a ověřte, jestli je povolený stav protokolu toku. Povolení protokolů toků umožňuje protokolovat informace o toku provozu PROTOKOLU IP. Dá se použít k optimalizaci toků sítě, monitorování propustnosti, ověřování dodržování předpisů, zjišťování neoprávněných vniknutí a další.	Audit, zakázáno	1.0.1
Azure Monitor by měl shromažďovat protokoly aktivit ze všech oblastí.	Tato zásada audituje profil protokolu služby Azure Monitor, který neexportuje aktivity ze všech podpora Azure oblastí, včetně globálních.	AuditIfNotExists, zakázáno	2.0.0
Protokoly toku by měly být nakonfigurované pro každou skupinu zabezpečení sítě.	Auditujte skupiny zabezpečení sítě a ověřte, jestli jsou nakonfigurované protokoly toku. Povolení protokolů toku umožňuje protokolovat informace o provozu PROTOKOLU IP procházejících přes skupinu zabezpečení sítě. Dá se použít k optimalizaci toků sítě, monitorování propustnosti, ověřování dodržování předpisů, zjišťování neoprávněných vniknutí a další.	Audit, zakázáno	1.1.0
Pro databázové servery PostgreSQL by se měla povolit doba trvání protokolu.	Tato zásada pomáhá auditovat všechny databáze PostgreSQL ve vašem prostředí bez povolení log_duration nastavení.	AuditIfNotExists, zakázáno	1.0.0
Protokoly toku služby Network Watcher by měly mít povolenou analýzu provozu.	Analýza provozu analyzuje protokoly toku, aby poskytovala přehled o toku provozu ve vašem cloudu Azure. Dá se použít k vizualizaci síťové aktivity napříč předplatnými Azure a identifikaci horkých míst, identifikaci bezpečnostních hrozeb, pochopení vzorců toku provozu, určení chyb konfigurace sítě a další.	Audit, zakázáno	1.0.1

Údržba, monitorování a analýza protokolů auditu –16.2

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Rozšíření Log Analytics by mělo být nainstalované na počítačích Azure Arc s Linuxem.	Tato zásada audituje počítače s Linuxem Azure Arc, pokud není nainstalované rozšíření Log Analytics.	AuditIfNotExists, zakázáno	1.0.1-preview
[Preview]: Rozšíření Log Analytics by se mělo nainstalovat na počítače s Windows Azure Arc	Tyto zásady auditují počítače s Windows Azure Arc, pokud není nainstalované rozšíření Log Analytics.	AuditIfNotExists, zakázáno	1.0.1-preview
Profil protokolu služby Azure Monitor by měl shromažďovat protokoly pro kategorie Zápis, Odstranění a Akce.	Tato zásada zajišťuje, že profil protokolu shromažďuje protokoly pro kategorie write, delete a action.	AuditIfNotExists, zakázáno	1.0.0
Předplatná Azure by měla mít profil protokolu pro protokol aktivit.	Tato zásada zajišťuje, že je povolený profil protokolu pro export protokolů aktivit. Provede audit, pokud není vytvořený žádný profil protokolu pro export protokolů do účtu úložiště nebo do centra událostí.	AuditIfNotExists, zakázáno	1.0.0

Údržba, monitorování a analýza protokolů auditu –16.3

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Agent shromažďování dat síťového provozu by měl být nainstalovaný na virtuálních počítačích s Linuxem.	Security Center používá agenta Závislost Microsoftu ke shromažďování dat síťového provozu z virtuálních počítačů Azure, aby bylo možné povolit pokročilé funkce ochrany sítě, jako je vizualizace provozu na mapě sítě, doporučení k posílení zabezpečení sítě a konkrétní síťové hrozby.	AuditIfNotExists, zakázáno	1.0.2-preview
[Preview]: Agent shromažďování dat síťového provozu by měl být nainstalovaný na virtuálních počítačích s Windows.	Security Center používá agenta Závislost Microsoftu ke shromažďování dat síťového provozu z virtuálních počítačů Azure, aby bylo možné povolit pokročilé funkce ochrany sítě, jako je vizualizace provozu na mapě sítě, doporučení k posílení zabezpečení sítě a konkrétní síťové hrozby.	AuditIfNotExists, zakázáno	1.0.2-preview
Azure Monitor by měl shromažďovat protokoly aktivit ze všech oblastí.	Tato zásada audituje profil protokolu služby Azure Monitor, který neexportuje aktivity ze všech podpora Azure oblastí, včetně globálních.	AuditIfNotExists, zakázáno	2.0.0
Agent Log Analytics by měl být nainstalovaný ve škálovacích sadách virtuálních počítačů pro monitorování služby Azure Security Center.	Security Center shromažďuje data z virtuálních počítačů Azure za účelem monitorování ohrožení zabezpečení a hrozeb.	AuditIfNotExists, zakázáno	1.0.0
Protokoly prostředků ve službě Key Vault by měly být povolené.	Audit povolení protokolů prostředků To vám umožní znovu vytvořit trasu aktivit, která se použije pro účely vyšetřování, když dojde k incidentu zabezpečení nebo když dojde k ohrožení vaší sítě.	AuditIfNotExists, zakázáno	5.0.0

Zabezpečená konfigurace

Zabezpečená konfigurace -5.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Servery Azure Defenderu pro Azure SQL Database by měly být povolené.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2
Azure Defender for Resource Manager by měl být povolený.	Azure Defender for Resource Manager automaticky monitoruje operace správy prostředků ve vaší organizaci. Azure Defender detekuje hrozby a upozorní vás na podezřelou aktivitu. Přečtěte si další informace o možnostech Azure Defenderu pro Resource Manager na adrese https://aka.ms/defender-for-resource-manager . Povolením tohoto plánu Azure Defenderu se účtují poplatky. Další informace o cenách v jednotlivých oblastech najdete na stránce s cenami služby Security Center: https://aka.ms/pricing-security-center .	AuditIfNotExists, zakázáno	1.0.0
Měla by být povolená služba Azure Defender pro servery.	Azure Defender pro servery poskytuje ochranu před hrozbami v reálném čase pro úlohy serveru a generuje doporučení pro posílení zabezpečení a také výstrahy týkající se podezřelých aktivit.	AuditIfNotExists, zakázáno	1.0.3
Azure Defender pro SQL by měl být povolený pro nechráněné servery Azure SQL.	Audit sql serverů bez rozšířeného zabezpečení dat	AuditIfNotExists, zakázáno	2.0.1
Azure Defender pro SQL by měl být povolený pro nechráněné spravované instance SQL.	Auditujte každou spravovanou instanci SQL bez pokročilého zabezpečení dat.	AuditIfNotExists, zakázáno	1.0.2
Měla by být povolená služba Microsoft Defender pro službu Azure Cosmos DB.	Microsoft Defender pro Azure Cosmos DB je nativní vrstva zabezpečení Azure, která zjišťuje pokusy o zneužití databází v účtech Azure Cosmos DB. Defender for Azure Cosmos DB detekuje potenciální injektáže SQL, známé špatné aktéry na základě analýzy hrozeb Microsoftu, vzorů podezřelého přístupu a potenciálního zneužití vaší databáze prostřednictvím ohrožených identit nebo škodlivých účastníků programu Insider.	AuditIfNotExists, zakázáno	1.0.0
Měl by být povolený Microsoft Defender pro úložiště.	Microsoft Defender for Storage detekuje potenciální hrozby pro vaše účty úložiště. Pomáhá zabránit třem hlavním dopadům na vaše data a úlohy: nahrání škodlivých souborů, exfiltrace citlivých dat a poškození dat. Nový plán Defenderu pro úložiště zahrnuje kontrolu malwaru a detekci citlivých dat. Tento plán také poskytuje předvídatelnou cenovou strukturu (na účet úložiště) pro kontrolu nad pokrytím a náklady.	AuditIfNotExists, zakázáno	1.0.0
Ochrana Exploit Guard v programu Windows Defender by měla být na vašich počítačích povolená.	Ochrana Exploit Guard v programu Windows Defender používá agenta konfigurace hosta služby Azure Policy. Exploit Guard má čtyři komponenty, které jsou navržené tak, aby zamkly zařízení proti široké škále vektorů útoku a blokovaly chování běžně používané při malwarových útocích a současně umožňují podnikům vyvážit bezpečnostní riziko a požadavky na produktivitu (jenom Windows).	AuditIfNotExists, zakázáno	2.0.0

Zabezpečená konfigurace-5.2

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Pro virtuální počítače Se systémem Windows Server Azure Edition by se měla povolit funkce Hotpatch.	Minimalizujte restartování a rychle nainstalujte aktualizace pomocí funkce hotpatch. Další informace najdete na adrese https://docs.microsoft.com/azure/automanage/automanage-hotpatch	Audit, Odepřít, Zakázáno	1.0.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení ve škálovacích sadách virtuálních počítačů.	Auditujte ohrožení zabezpečení operačního systému ve škálovacích sadách virtuálních počítačů, abyste je ochránili před útoky.	AuditIfNotExists, zakázáno	3.0.0

Zabezpečené systémy pošty a zasílání zpráv

Zabezpečené systémy pro zasílání zpráv a zasílání zpráv-10.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Doporučení adaptivního posílení zabezpečení sítě by se měla použít na internetových virtuálních počítačích.	Azure Security Center analyzuje vzorce provozu internetových virtuálních počítačů a poskytuje doporučení k pravidlům skupiny zabezpečení sítě, která snižují potenciální prostor pro útoky.	AuditIfNotExists, zakázáno	3.0.0
Všechny síťové porty by měly být omezeny na skupiny zabezpečení sítě přidružené k vašemu virtuálnímu počítači.	Služba Azure Security Center zjistila, že některá příchozí pravidla skupin zabezpečení sítě jsou příliš trvalá. Příchozí pravidla by neměla umožňovat přístup z rozsahů Any nebo Internet. To může útočníkům potenciálně umožnit, aby cílili na vaše prostředky.	AuditIfNotExists, zakázáno	3.0.0
Aplikace služby App Service by měly být přístupné jenom přes PROTOKOL HTTPS.	Použití protokolu HTTPS zajišťuje ověřování serveru nebo služby a chrání přenášená data před útoky na odposlouchávání vrstvy sítě.	Audit, Zakázáno, Odepřít	4.0.0
Aplikace app Service by měly vyžadovat jenom FTPS.	Povolte vynucení FTPS pro lepší zabezpečení.	AuditIfNotExists, zakázáno	3.0.0
Aplikace služby App Service by měly používat nejnovější verzi protokolu TLS.	Novější verze se vydávají pro protokol TLS pravidelně kvůli chybám zabezpečení, zahrnují další funkce a zvyšují rychlost. Upgradujte na nejnovější verzi protokolu TLS pro aplikace App Service, abyste mohli využívat opravy zabezpečení, pokud nějaké nebo nové funkce nejnovější verze.	AuditIfNotExists, zakázáno	2.0.1
Vynutit připojení SSL by mělo být povolené pro databázové servery MySQL.	Azure Database for MySQL podporuje připojení serveru Azure Database for MySQL k klientským aplikacím pomocí protokolu SSL (Secure Sockets Layer). Vynucení připojení SSL mezi databázovým serverem a klientskými aplikacemi pomáhá chránit před útoky "man in the middle" šifrováním datového proudu mezi serverem a vaší aplikací. Tato konfigurace vynucuje, aby protokol SSL byl vždy povolený pro přístup k databázovému serveru.	Audit, zakázáno	1.0.1
U databázových serverů PostgreSQL by mělo být povolené vynucení připojení SSL.	Azure Database for PostgreSQL podporuje připojení serveru Azure Database for PostgreSQL k klientským aplikacím pomocí ssl (Secure Sockets Layer). Vynucení připojení SSL mezi databázovým serverem a klientskými aplikacemi pomáhá chránit před útoky "man in the middle" šifrováním datového proudu mezi serverem a vaší aplikací. Tato konfigurace vynucuje, aby protokol SSL byl vždy povolený pro přístup k databázovému serveru.	Audit, zakázáno	1.0.1
Aplikace funkcí by měly být přístupné jenom přes HTTPS.	Použití protokolu HTTPS zajišťuje ověřování serveru nebo služby a chrání přenášená data před útoky na odposlouchávání vrstvy sítě.	Audit, Zakázáno, Odepřít	5.0.0
Aplikace funkcí by měly vyžadovat jenom FTPS.	Povolte vynucení FTPS pro lepší zabezpečení.	AuditIfNotExists, zakázáno	3.0.0
Aplikace funkcí by měly používat nejnovější verzi protokolu TLS.	Novější verze se vydávají pro protokol TLS pravidelně kvůli chybám zabezpečení, zahrnují další funkce a zvyšují rychlost. Upgradujte na nejnovější verzi protokolu TLS pro aplikace funkcí, abyste mohli využívat opravy zabezpečení, pokud existuje, nebo nové funkce nejnovější verze.	AuditIfNotExists, zakázáno	2.0.1
Internetové virtuální počítače by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače před potenciálními hrozbami tím, že omezíte přístup k nim pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Virtuální počítače, které nejsou přístupné z internetu, by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače, které nejsou přístupné z internetu, před potenciálními hrozbami tím, že omezíte přístup pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Měla by být povolena pouze zabezpečená připojení ke službě Azure Cache for Redis.	Audit povolení pouze připojení přes PROTOKOL SSL ke službě Azure Cache for Redis Použití zabezpečených připojení zajišťuje ověřování mezi serverem a službou a chrání přenášená data před útoky na síťovou vrstvu, jako jsou man-in-the-middle, odposlouchávání a napadení relace	Audit, Odepřít, Zakázáno	1.0.0
Zabezpečený přenos do účtů úložiště by měl být povolený.	Požadavek na audit zabezpečeného přenosu v účtu úložiště Zabezpečený přenos je možnost, která vynutí, aby váš účet úložiště přijímal požadavky pouze ze zabezpečených připojení (HTTPS). Použití protokolu HTTPS zajišťuje ověřování mezi serverem a službou a chrání přenášená data před útoky na vrstvu sítě, jako jsou man-in-the-middle, odposlouchávání a napadení relace.	Audit, Odepřít, Zakázáno	2.0.0
Podsítě by měly být přidružené ke skupině zabezpečení sítě.	Chraňte podsíť před potenciálními hrozbami tím, že k ní omezíte přístup pomocí skupiny zabezpečení sítě (NSG). Skupiny zabezpečení sítě obsahují seznam pravidel seznamu řízení přístupu (ACL), která povolují nebo zakazují síťový provoz do vaší podsítě.	AuditIfNotExists, zakázáno	3.0.0
Počítače s Windows by měly být nakonfigurované tak, aby používaly zabezpečené komunikační protokoly.	K ochraně soukromí informací předávaných přes internet by vaše počítače měly používat nejnovější verzi standardního kryptografického protokolu TLS (Transport Layer Security). Protokol TLS zabezpečuje komunikaci přes síť šifrováním připojení mezi počítači.	AuditIfNotExists, zakázáno	4.1.1

Zabezpečení systémů pošty a zasílání zpráv-10.2

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Doporučení adaptivního posílení zabezpečení sítě by se měla použít na internetových virtuálních počítačích.	Azure Security Center analyzuje vzorce provozu internetových virtuálních počítačů a poskytuje doporučení k pravidlům skupiny zabezpečení sítě, která snižují potenciální prostor pro útoky.	AuditIfNotExists, zakázáno	3.0.0
Všechny síťové porty by měly být omezeny na skupiny zabezpečení sítě přidružené k vašemu virtuálnímu počítači.	Služba Azure Security Center zjistila, že některá příchozí pravidla skupin zabezpečení sítě jsou příliš trvalá. Příchozí pravidla by neměla umožňovat přístup z rozsahů Any nebo Internet. To může útočníkům potenciálně umožnit, aby cílili na vaše prostředky.	AuditIfNotExists, zakázáno	3.0.0
Aplikace služby App Service by měly být přístupné jenom přes PROTOKOL HTTPS.	Použití protokolu HTTPS zajišťuje ověřování serveru nebo služby a chrání přenášená data před útoky na odposlouchávání vrstvy sítě.	Audit, Zakázáno, Odepřít	4.0.0
Aplikace app Service by měly vyžadovat jenom FTPS.	Povolte vynucení FTPS pro lepší zabezpečení.	AuditIfNotExists, zakázáno	3.0.0
Aplikace služby App Service by měly používat nejnovější verzi protokolu TLS.	Novější verze se vydávají pro protokol TLS pravidelně kvůli chybám zabezpečení, zahrnují další funkce a zvyšují rychlost. Upgradujte na nejnovější verzi protokolu TLS pro aplikace App Service, abyste mohli využívat opravy zabezpečení, pokud nějaké nebo nové funkce nejnovější verze.	AuditIfNotExists, zakázáno	2.0.1
Vynutit připojení SSL by mělo být povolené pro databázové servery MySQL.	Azure Database for MySQL podporuje připojení serveru Azure Database for MySQL k klientským aplikacím pomocí protokolu SSL (Secure Sockets Layer). Vynucení připojení SSL mezi databázovým serverem a klientskými aplikacemi pomáhá chránit před útoky "man in the middle" šifrováním datového proudu mezi serverem a vaší aplikací. Tato konfigurace vynucuje, aby protokol SSL byl vždy povolený pro přístup k databázovému serveru.	Audit, zakázáno	1.0.1
U databázových serverů PostgreSQL by mělo být povolené vynucení připojení SSL.	Azure Database for PostgreSQL podporuje připojení serveru Azure Database for PostgreSQL k klientským aplikacím pomocí ssl (Secure Sockets Layer). Vynucení připojení SSL mezi databázovým serverem a klientskými aplikacemi pomáhá chránit před útoky "man in the middle" šifrováním datového proudu mezi serverem a vaší aplikací. Tato konfigurace vynucuje, aby protokol SSL byl vždy povolený pro přístup k databázovému serveru.	Audit, zakázáno	1.0.1
Aplikace funkcí by měly být přístupné jenom přes HTTPS.	Použití protokolu HTTPS zajišťuje ověřování serveru nebo služby a chrání přenášená data před útoky na odposlouchávání vrstvy sítě.	Audit, Zakázáno, Odepřít	5.0.0
Aplikace funkcí by měly vyžadovat jenom FTPS.	Povolte vynucení FTPS pro lepší zabezpečení.	AuditIfNotExists, zakázáno	3.0.0
Aplikace funkcí by měly používat nejnovější verzi protokolu TLS.	Novější verze se vydávají pro protokol TLS pravidelně kvůli chybám zabezpečení, zahrnují další funkce a zvyšují rychlost. Upgradujte na nejnovější verzi protokolu TLS pro aplikace funkcí, abyste mohli využívat opravy zabezpečení, pokud existuje, nebo nové funkce nejnovější verze.	AuditIfNotExists, zakázáno	2.0.1
Internetové virtuální počítače by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače před potenciálními hrozbami tím, že omezíte přístup k nim pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Virtuální počítače, které nejsou přístupné z internetu, by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače, které nejsou přístupné z internetu, před potenciálními hrozbami tím, že omezíte přístup pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Měla by být povolena pouze zabezpečená připojení ke službě Azure Cache for Redis.	Audit povolení pouze připojení přes PROTOKOL SSL ke službě Azure Cache for Redis Použití zabezpečených připojení zajišťuje ověřování mezi serverem a službou a chrání přenášená data před útoky na síťovou vrstvu, jako jsou man-in-the-middle, odposlouchávání a napadení relace	Audit, Odepřít, Zakázáno	1.0.0
Zabezpečený přenos do účtů úložiště by měl být povolený.	Požadavek na audit zabezpečeného přenosu v účtu úložiště Zabezpečený přenos je možnost, která vynutí, aby váš účet úložiště přijímal požadavky pouze ze zabezpečených připojení (HTTPS). Použití protokolu HTTPS zajišťuje ověřování mezi serverem a službou a chrání přenášená data před útoky na vrstvu sítě, jako jsou man-in-the-middle, odposlouchávání a napadení relace.	Audit, Odepřít, Zakázáno	2.0.0
Podsítě by měly být přidružené ke skupině zabezpečení sítě.	Chraňte podsíť před potenciálními hrozbami tím, že k ní omezíte přístup pomocí skupiny zabezpečení sítě (NSG). Skupiny zabezpečení sítě obsahují seznam pravidel seznamu řízení přístupu (ACL), která povolují nebo zakazují síťový provoz do vaší podsítě.	AuditIfNotExists, zakázáno	3.0.0
Počítače s Windows by měly být nakonfigurované tak, aby používaly zabezpečené komunikační protokoly.	K ochraně soukromí informací předávaných přes internet by vaše počítače měly používat nejnovější verzi standardního kryptografického protokolu TLS (Transport Layer Security). Protokol TLS zabezpečuje komunikaci přes síť šifrováním připojení mezi počítači.	AuditIfNotExists, zakázáno	4.1.1

Řízení uživatelských přístupů / správa

Řízení přístupu uživatelů / Správa-8.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Účty s oprávněními vlastníka k prostředkům Azure by měly být povolené vícefaktorové ověřování	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními vlastníka, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Účty s oprávněními ke čtení u prostředků Azure by měly být povolené vícefaktorové ověřování	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními ke čtení, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Účty s oprávněním k zápisu prostředků Azure by měly být povolené vícefaktorové ověřování.	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními k zápisu, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Auditování využití vlastních rolí RBAC	Auditujte předdefinované role, jako je Vlastník, Přispěvatel, Čtenář, Místo vlastních rolí RBAC, které jsou náchylné k chybám. Použití vlastních rolí se považuje za výjimku a vyžaduje důkladnou kontrolu a modelování hrozeb.	Audit, zakázáno	1.0.1
Ve službě Kubernetes Services by se mělo používat řízení přístupu na základě role (RBAC) Azure.	Pokud chcete poskytovat podrobné filtrování akcí, které můžou uživatelé provádět, použijte azure řízení přístupu na základě role (RBAC) ke správě oprávnění v clusterech Kubernetes Service a konfiguraci příslušných zásad autorizace.	Audit, zakázáno	1.0.3
Blokované účty s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Zastaralé účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení.	AuditIfNotExists, zakázáno	1.0.0
Blokované účty s oprávněními ke čtení a zápisu u prostředků Azure by se měly odebrat.	Zastaralé účty by se měly z předplatných odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Externí účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněními ke čtení u prostředků Azure by se měly odebrat.	Externí účty s oprávněními ke čtení by se z vašeho předplatného měly odebrat, aby se zabránilo nemonitorovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněním k zápisu prostředků Azure by se měly odebrat.	Externí účty s oprávněním k zápisu by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0

Řízení přístupu uživatelů / Správa-8.2

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Správce Azure Active Directory by měl být zřízený pro sql servery.	Audit zřizování správce Azure Active Directory pro váš SQL server za účelem povolení ověřování Azure AD Ověřování Azure AD umožňuje zjednodušenou správu oprávnění a centralizovanou správu identit uživatelů databáze a dalších služby Microsoft	AuditIfNotExists, zakázáno	1.0.0
Blokované účty s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Zastaralé účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení.	AuditIfNotExists, zakázáno	1.0.0
Blokované účty s oprávněními ke čtení a zápisu u prostředků Azure by se měly odebrat.	Zastaralé účty by se měly z předplatných odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Externí účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněními ke čtení u prostředků Azure by se měly odebrat.	Externí účty s oprávněními ke čtení by se z vašeho předplatného měly odebrat, aby se zabránilo nemonitorovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněním k zápisu prostředků Azure by se měly odebrat.	Externí účty s oprávněním k zápisu by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Clustery Service Fabric by měly používat pouze Azure Active Directory pro ověřování klientů.	Auditování využití ověřování klientů pouze přes Azure Active Directory v Service Fabric	Audit, Odepřít, Zakázáno	1.1.0

Řízení přístupu uživatele / Správa-8.3

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Pro vaše předplatné by mělo být určeno maximálně 3 vlastníky.	Doporučujeme určit až 3 vlastníky předplatného, aby se snížil potenciál porušení zabezpečení ohroženým vlastníkem.	AuditIfNotExists, zakázáno	3.0.0
Blokované účty s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Zastaralé účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Externí účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Porty pro správu virtuálních počítačů by měly být chráněné pomocí řízení přístupu k síti za běhu.	Azure Security Center bude monitorovat možný přístup podle potřeby (JIT) sítě jako doporučení.	AuditIfNotExists, zakázáno	3.0.0
K vašemu předplatnému by mělo být přiřazeno více než jeden vlastník.	Pokud chcete mít přístup správce k redundanci, doporučujeme určit více než jednoho vlastníka předplatného.	AuditIfNotExists, zakázáno	3.0.0

Řízení přístupu uživatelů / Správa-8.4

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Aplikace App Service by měly používat spravovanou identitu.	Použití spravované identity pro rozšířené zabezpečení ověřování	AuditIfNotExists, zakázáno	3.0.0
Aplikace funkcí by měly používat spravovanou identitu	Použití spravované identity pro rozšířené zabezpečení ověřování	AuditIfNotExists, zakázáno	3.0.0
Rozšíření Konfigurace hosta virtuálních počítačů by se mělo nasadit se spravovanou identitou přiřazenou systémem.	Rozšíření Konfigurace hosta vyžaduje spravovanou identitu přiřazenou systémem. Virtuální počítače Azure v oboru této zásady nebudou kompatibilní, pokud mají nainstalované rozšíření Konfigurace hosta, ale nemají spravovanou identitu přiřazenou systémem. Další informace najdete na adrese https://aka.ms/gcpol	AuditIfNotExists, zakázáno	1.0.1

Řízení přístupu uživatele / Správa-8.5

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Pro vaše předplatné by mělo být určeno maximálně 3 vlastníky.	Doporučujeme určit až 3 vlastníky předplatného, aby se snížil potenciál porušení zabezpečení ohroženým vlastníkem.	AuditIfNotExists, zakázáno	3.0.0
Správce Azure Active Directory by měl být zřízený pro sql servery.	Audit zřizování správce Azure Active Directory pro váš SQL server za účelem povolení ověřování Azure AD Ověřování Azure AD umožňuje zjednodušenou správu oprávnění a centralizovanou správu identit uživatelů databáze a dalších služby Microsoft	AuditIfNotExists, zakázáno	1.0.0
Auditování využití vlastních rolí RBAC	Auditujte předdefinované role, jako je Vlastník, Přispěvatel, Čtenář, Místo vlastních rolí RBAC, které jsou náchylné k chybám. Použití vlastních rolí se považuje za výjimku a vyžaduje důkladnou kontrolu a modelování hrozeb.	Audit, zakázáno	1.0.1
Ve službě Kubernetes Services by se mělo používat řízení přístupu na základě role (RBAC) Azure.	Pokud chcete poskytovat podrobné filtrování akcí, které můžou uživatelé provádět, použijte azure řízení přístupu na základě role (RBAC) ke správě oprávnění v clusterech Kubernetes Service a konfiguraci příslušných zásad autorizace.	Audit, zakázáno	1.0.3
Blokované účty s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Zastaralé účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení.	AuditIfNotExists, zakázáno	1.0.0
Blokované účty s oprávněními ke čtení a zápisu u prostředků Azure by se měly odebrat.	Zastaralé účty by se měly z předplatných odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Externí účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněními ke čtení u prostředků Azure by se měly odebrat.	Externí účty s oprávněními ke čtení by se z vašeho předplatného měly odebrat, aby se zabránilo nemonitorovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněním k zápisu prostředků Azure by se měly odebrat.	Externí účty s oprávněním k zápisu by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Porty pro správu virtuálních počítačů by měly být chráněné pomocí řízení přístupu k síti za běhu.	Azure Security Center bude monitorovat možný přístup podle potřeby (JIT) sítě jako doporučení.	AuditIfNotExists, zakázáno	3.0.0
Clustery Service Fabric by měly používat pouze Azure Active Directory pro ověřování klientů.	Auditování využití ověřování klientů pouze přes Azure Active Directory v Service Fabric	Audit, Odepřít, Zakázáno	1.1.0
K vašemu předplatnému by mělo být přiřazeno více než jeden vlastník.	Pokud chcete mít přístup správce k redundanci, doporučujeme určit více než jednoho vlastníka předplatného.	AuditIfNotExists, zakázáno	3.0.0

Řízení přístupu uživatelů / Správa-8.8

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Auditování využití vlastních rolí RBAC	Auditujte předdefinované role, jako je Vlastník, Přispěvatel, Čtenář, Místo vlastních rolí RBAC, které jsou náchylné k chybám. Použití vlastních rolí se považuje za výjimku a vyžaduje důkladnou kontrolu a modelování hrozeb.	Audit, zakázáno	1.0.1
Ve službě Kubernetes Services by se mělo používat řízení přístupu na základě role (RBAC) Azure.	Pokud chcete poskytovat podrobné filtrování akcí, které můžou uživatelé provádět, použijte azure řízení přístupu na základě role (RBAC) ke správě oprávnění v clusterech Kubernetes Service a konfiguraci příslušných zásad autorizace.	Audit, zakázáno	1.0.3

Posouzení ohrožení zabezpečení a penetrační test a červená týmová cvičení

Posouzení ohrožení zabezpečení a penetrační test a červená týmová cvičení-18.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Na virtuálních počítačích by mělo být povolené řešení posouzení ohrožení zabezpečení.	Audituje virtuální počítače, aby zjistil, jestli používají podporované řešení posouzení ohrožení zabezpečení. Základní součástí každého programu kybernetického rizika a zabezpečení je identifikace a analýza ohrožení zabezpečení. Cenová úroveň Azure Security Center úrovně Standard zahrnuje kontrolu ohrožení zabezpečení pro vaše virtuální počítače bez dalších poplatků. Security Center navíc může tento nástroj automaticky nasadit za vás.	AuditIfNotExists, zakázáno	3.0.0
Ve službě SQL Managed Instance by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte každou spravovanou instanci SQL, která nemá povolené opakované kontroly posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.1
Na sql serverech by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte servery Azure SQL, které nemají správně nakonfigurované posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	3.0.0

Posouzení ohrožení zabezpečení a penetrační test a červená týmová cvičení-18.2

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Na virtuálních počítačích by mělo být povolené řešení posouzení ohrožení zabezpečení.	Audituje virtuální počítače, aby zjistil, jestli používají podporované řešení posouzení ohrožení zabezpečení. Základní součástí každého programu kybernetického rizika a zabezpečení je identifikace a analýza ohrožení zabezpečení. Cenová úroveň Azure Security Center úrovně Standard zahrnuje kontrolu ohrožení zabezpečení pro vaše virtuální počítače bez dalších poplatků. Security Center navíc může tento nástroj automaticky nasadit za vás.	AuditIfNotExists, zakázáno	3.0.0
Databáze SQL by měly mít vyřešené zjištění ohrožení zabezpečení	Monitorujte výsledky kontroly posouzení ohrožení zabezpečení a doporučení, jak napravit ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	4.1.0
Ve službě SQL Managed Instance by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte každou spravovanou instanci SQL, která nemá povolené opakované kontroly posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.1
Na sql serverech by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte servery Azure SQL, které nemají správně nakonfigurované posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	3.0.0

Posouzení ohrožení zabezpečení a penetrační test a červená týmová cvičení-18.4

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Databáze SQL by měly mít vyřešené zjištění ohrožení zabezpečení	Monitorujte výsledky kontroly posouzení ohrožení zabezpečení a doporučení, jak napravit ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	4.1.0
Vyřešené zjištění ohrožení zabezpečení u SQL serverů na počítačích	Posouzení ohrožení zabezpečení SQL zkontroluje ohrožení zabezpečení databáze a zpřístupňuje případné odchylky od osvědčených postupů, jako jsou chybné konfigurace, nadměrná oprávnění a nechráněná citlivá data. Řešení nalezených ohrožení zabezpečení může výrazně zlepšit stav zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.0
Chyby zabezpečení v konfiguracích zabezpečení kontejnerů by se měly napravit.	Auditujte ohrožení zabezpečení v konfiguraci zabezpečení na počítačích s nainstalovaným Dockerem a zobrazují se jako doporučení ve službě Azure Security Center.	AuditIfNotExists, zakázáno	3.0.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení na vašich počítačích.	Servery, které nesplňují nakonfigurovaný směrný plán, budou monitorovány službou Azure Security Center jako doporučení.	AuditIfNotExists, zakázáno	3.1.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení ve škálovacích sadách virtuálních počítačů.	Auditujte ohrožení zabezpečení operačního systému ve škálovacích sadách virtuálních počítačů, abyste je ochránili před útoky.	AuditIfNotExists, zakázáno	3.0.0

Monitorování transakcí na základě rizik

Monitorování transakcí na základě rizik -20.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Na virtuálních počítačích by mělo být povolené řešení posouzení ohrožení zabezpečení.	Audituje virtuální počítače, aby zjistil, jestli používají podporované řešení posouzení ohrožení zabezpečení. Základní součástí každého programu kybernetického rizika a zabezpečení je identifikace a analýza ohrožení zabezpečení. Cenová úroveň Azure Security Center úrovně Standard zahrnuje kontrolu ohrožení zabezpečení pro vaše virtuální počítače bez dalších poplatků. Security Center navíc může tento nástroj automaticky nasadit za vás.	AuditIfNotExists, zakázáno	3.0.0
E-mailové oznámení pro upozornění s vysokou závažností by mělo být povolené.	Pokud chcete zajistit, aby relevantní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, povolte e-mailová oznámení pro výstrahy s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	1.1.0
E-mailové oznámení vlastníkovi předplatného pro upozornění s vysokou závažností by mělo být povoleno.	Pokud chcete zajistit, aby vlastníci předplatného dostávali oznámení o potenciálním narušení zabezpečení ve svém předplatném, nastavte pro vlastníky e-mailů upozornění s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	2.1.0
Předplatná by měla mít kontaktní e-mailovou adresu pro problémy se zabezpečením	Pokud chcete zajistit, aby příslušní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, nastavte bezpečnostní kontakt pro příjem e-mailových oznámení ze služby Security Center.	AuditIfNotExists, zakázáno	1.0.1
Ve službě SQL Managed Instance by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte každou spravovanou instanci SQL, která nemá povolené opakované kontroly posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.1
Na sql serverech by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte servery Azure SQL, které nemají správně nakonfigurované posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	3.0.0

Metriky

Metrics-21.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Účty služby Azure Cosmos DB by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Ke správě šifrování neaktivních uložených dat ve službě Azure Cosmos DB použijte klíče spravované zákazníkem. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace najdete na adrese https://aka.ms/cosmosdb-cmk.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	1.1.0
Služba Azure Defender for Key Vault by měla být povolená.	Azure Defender for Key Vault poskytuje další vrstvu ochrany a informací o zabezpečení tím, že detekuje neobvyklé a potenciálně škodlivé pokusy o přístup k účtům trezoru klíčů nebo jejich zneužití.	AuditIfNotExists, zakázáno	1.0.3
Služba Azure Key Vault by měla mít povolenou bránu firewall.	Povolte bránu firewall trezoru klíčů, aby trezor klíčů nebyl ve výchozím nastavení přístupný pro žádné veřejné IP adresy. Volitelně můžete nakonfigurovat konkrétní rozsahy IP adres pro omezení přístupu k těmto sítím. Další informace najdete tady: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Odepřít, Zakázáno	3.2.1
Služby Azure Key Vault by měly používat privátní propojení.	Azure Private Link umožňuje připojit virtuální sítě ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na trezor klíčů můžete snížit rizika úniku dat. Další informace o privátních propojeních najdete tady: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Pracovní prostory azure machine Učení by měly být šifrované pomocí klíče spravovaného zákazníkem.	Správa šifrování neaktivních uložených dat v pracovním prostoru Azure Machine Učení pomocí klíčů spravovaných zákazníkem Ve výchozím nastavení se zákaznická data šifrují pomocí klíčů spravovaných službami, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace najdete na adrese https://aka.ms/azureml-workspaces-cmk.	Audit, Odepřít, Zakázáno	1.0.3
Certifikáty by měly mít zadanou maximální dobu platnosti.	Požadavky organizace na dodržování předpisů můžete spravovat zadáním maximální doby, po kterou může být certifikát platný v rámci trezoru klíčů.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	2.2.1
Účty služeb Cognitive Services by měly povolit šifrování dat pomocí klíče spravovaného zákazníkem.	Klíče spravované zákazníkem se běžně vyžadují ke splnění zákonných standardů dodržování předpisů. Klíče spravované zákazníkem umožňují šifrování dat uložených ve službách Cognitive Services pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace o klíčích spravovaných zákazníkem najdete na adrese https://go.microsoft.com/fwlink/?linkid=2121321.	Audit, Odepřít, Zakázáno	2.1.0
Registry kontejnerů by se měly šifrovat pomocí klíče spravovaného zákazníkem.	Ke správě šifrování zbývajícího obsahu vašich registrů použijte klíče spravované zákazníkem. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace najdete na adrese https://aka.ms/acr/CMK.	Audit, Odepřít, Zakázáno	1.1.2
Trezory klíčů by měly mít povolenou ochranu před odstraněním.	Škodlivé odstranění trezoru klíčů může vést ke ztrátě trvalých dat. Trvalé ztrátě dat můžete zabránit povolením ochrany před vymazáním a obnovitelného odstranění. Ochrana před vymazáním vás chrání před vnitřními útoky tím, že vynucuje povinné období uchovávání pro trezory klíčů s obnovitelném odstraněním. Během doby uchovávání obnovitelného odstranění nebude moct nikdo ve vaší organizaci ani Microsoft vyprázdnit trezory klíčů. Mějte na paměti, že trezory klíčů vytvořené po 1. září 2019 mají ve výchozím nastavení povolené obnovitelné odstranění.	Audit, Odepřít, Zakázáno	2.1.0
Trezory klíčů by měly mít povolené obnovitelné odstranění.	Odstranění trezoru klíčů bez povoleného obnovitelného odstranění trvale odstraní všechny tajné kódy, klíče a certifikáty uložené v trezoru klíčů. Náhodné odstranění trezoru klíčů může vést ke ztrátě trvalých dat. Obnovitelné odstranění umožňuje obnovit náhodně odstraněný trezor klíčů pro konfigurovatelnou dobu uchovávání.	Audit, Odepřít, Zakázáno	3.0.0
Servery MySQL by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Ke správě šifrování zbývajících serverů MySQL použijte klíče spravované zákazníkem. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy.	AuditIfNotExists, zakázáno	1.0.4
Servery PostgreSQL by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Ke správě šifrování zbývajících serverů PostgreSQL použijte klíče spravované zákazníkem. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy.	AuditIfNotExists, zakázáno	1.0.4
Spravované instance SQL by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Implementace transparentní šifrování dat (TDE) s vlastním klíčem vám poskytuje zvýšenou transparentnost a kontrolu nad ochranou transparentním šifrováním dat, vyšším zabezpečením externí služby založené na HSM a zvýšením oddělení povinností. Toto doporučení platí pro organizace se souvisejícím požadavkem na dodržování předpisů.	Audit, Odepřít, Zakázáno	2.0.0
Sql Servery by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Implementace transparentní šifrování dat (TDE) s vlastním klíčem zajišťuje zvýšenou transparentnost a kontrolu nad ochranou transparentním šifrováním dat, vyšším zabezpečením externí služby založené na HSM a propagací oddělení povinností. Toto doporučení platí pro organizace se souvisejícím požadavkem na dodržování předpisů.	Audit, Odepřít, Zakázáno	2.0.1
Účty úložiště by pro šifrování měly používat klíč spravovaný zákazníkem.	Zabezpečení účtu úložiště objektů blob a souborů s větší flexibilitou s využitím klíčů spravovaných zákazníkem Když zadáte klíč spravovaný zákazníkem, použije se tento klíč k ochraně a řízení přístupu ke klíči, který šifruje vaše data. Použití klíčů spravovaných zákazníkem poskytuje další možnosti pro řízení obměně šifrovacího klíče klíče nebo kryptografického vymazání dat.	Audit, zakázáno	1.0.3

Metriky-21.2

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Pro virtuální počítače Se systémem Windows Server Azure Edition by se měla povolit funkce Hotpatch.	Minimalizujte restartování a rychle nainstalujte aktualizace pomocí funkce hotpatch. Další informace najdete na adrese https://docs.microsoft.com/azure/automanage/automanage-hotpatch	Audit, Odepřít, Zakázáno	1.0.0

Nastavení protokolu auditu

Protokol auditu Nastavení-17.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Agent shromažďování dat síťového provozu by měl být nainstalovaný na virtuálních počítačích s Linuxem.	Security Center používá agenta Závislost Microsoftu ke shromažďování dat síťového provozu z virtuálních počítačů Azure, aby bylo možné povolit pokročilé funkce ochrany sítě, jako je vizualizace provozu na mapě sítě, doporučení k posílení zabezpečení sítě a konkrétní síťové hrozby.	AuditIfNotExists, zakázáno	1.0.2-preview
[Preview]: Agent shromažďování dat síťového provozu by měl být nainstalovaný na virtuálních počítačích s Windows.	Security Center používá agenta Závislost Microsoftu ke shromažďování dat síťového provozu z virtuálních počítačů Azure, aby bylo možné povolit pokročilé funkce ochrany sítě, jako je vizualizace provozu na mapě sítě, doporučení k posílení zabezpečení sítě a konkrétní síťové hrozby.	AuditIfNotExists, zakázáno	1.0.2-preview
Aplikace App Service by měly mít povolené protokoly prostředků.	Audit povolení protokolů prostředků v aplikaci To vám umožní znovu vytvořit trasu aktivit pro účely vyšetřování, pokud dojde k incidentu zabezpečení nebo dojde k ohrožení vaší sítě.	AuditIfNotExists, zakázáno	2.0.1
Rozšíření konfigurace hosta by mělo být nainstalované na vašich počítačích.	Pokud chcete zajistit zabezpečené konfigurace nastavení v hostu vašeho počítače, nainstalujte rozšíření Konfigurace hosta. Nastavení v hostu, která monitoruje rozšíření, zahrnují konfiguraci operačního systému, konfigurace aplikace nebo stavu a nastavení prostředí. Po instalaci budou zásady v hostovi k dispozici, například ochrana Windows Exploit Guard by měla být povolená. Další informace najdete na adrese https://aka.ms/gcpol.	AuditIfNotExists, zakázáno	1.0.3
Počítače s Linuxem by měly splňovat požadavky na standardní hodnoty zabezpečení výpočetních prostředků Azure.	Vyžaduje, aby byly požadavky nasazené do oboru přiřazení zásad. Podrobnosti najdete na adrese https://aka.ms/gcpol. Počítače nedodržují předpisy, pokud počítač není správně nakonfigurovaný pro jedno z doporučení ve standardních hodnotách zabezpečení výpočetních prostředků Azure.	AuditIfNotExists, zakázáno	2.2.0
Protokoly prostředků ve službě Azure Data Lake Store by měly být povolené.	Audit povolení protokolů prostředků To vám umožní znovu vytvořit trasu aktivit, která se použije pro účely šetření; pokud dojde k incidentu zabezpečení nebo když dojde k ohrožení vaší sítě	AuditIfNotExists, zakázáno	5.0.0
Protokoly prostředků ve službě Azure Stream Analytics by měly být povolené.	Audit povolení protokolů prostředků To vám umožní znovu vytvořit trasu aktivit, která se použije pro účely šetření; pokud dojde k incidentu zabezpečení nebo když dojde k ohrožení vaší sítě	AuditIfNotExists, zakázáno	5.0.0
Protokoly prostředků ve službě Data Lake Analytics by měly být povolené.	Audit povolení protokolů prostředků To vám umožní znovu vytvořit trasu aktivit, která se použije pro účely šetření; pokud dojde k incidentu zabezpečení nebo když dojde k ohrožení vaší sítě	AuditIfNotExists, zakázáno	5.0.0
Protokoly prostředků v centru událostí by měly být povolené.	Audit povolení protokolů prostředků To vám umožní znovu vytvořit trasu aktivit, která se použije pro účely šetření; pokud dojde k incidentu zabezpečení nebo když dojde k ohrožení vaší sítě	AuditIfNotExists, zakázáno	5.0.0
Protokoly prostředků ve službě Key Vault by měly být povolené.	Audit povolení protokolů prostředků To vám umožní znovu vytvořit trasu aktivit, která se použije pro účely vyšetřování, když dojde k incidentu zabezpečení nebo když dojde k ohrožení vaší sítě.	AuditIfNotExists, zakázáno	5.0.0
Protokoly prostředků v Logic Apps by měly být povolené.	Audit povolení protokolů prostředků To vám umožní znovu vytvořit trasu aktivit, která se použije pro účely šetření; pokud dojde k incidentu zabezpečení nebo když dojde k ohrožení vaší sítě	AuditIfNotExists, zakázáno	5.1.0
Protokoly prostředků ve službě Service Bus by měly být povolené.	Audit povolení protokolů prostředků To vám umožní znovu vytvořit trasu aktivit, která se použije pro účely šetření; pokud dojde k incidentu zabezpečení nebo když dojde k ohrožení vaší sítě	AuditIfNotExists, zakázáno	5.0.0
Rozšíření Konfigurace hosta virtuálních počítačů by se mělo nasadit se spravovanou identitou přiřazenou systémem.	Rozšíření Konfigurace hosta vyžaduje spravovanou identitu přiřazenou systémem. Virtuální počítače Azure v oboru této zásady nebudou kompatibilní, pokud mají nainstalované rozšíření Konfigurace hosta, ale nemají spravovanou identitu přiřazenou systémem. Další informace najdete na adrese https://aka.ms/gcpol	AuditIfNotExists, zakázáno	1.0.1
Počítače s Windows by měly splňovat požadavky standardních hodnot zabezpečení výpočetních prostředků Azure.	Vyžaduje, aby byly požadavky nasazené do oboru přiřazení zásad. Podrobnosti najdete na adrese https://aka.ms/gcpol. Počítače nedodržují předpisy, pokud počítač není správně nakonfigurovaný pro jedno z doporučení ve standardních hodnotách zabezpečení výpočetních prostředků Azure.	AuditIfNotExists, zakázáno	2.0.0

Anti-Phishing

Anti-Phishing-14.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Trezory služby Azure Recovery Services by měly pro zálohování používat privátní propojení.	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na trezory služby Azure Recovery Services se sníží riziko úniku dat. Další informace o privátních propojeních najdete tady: https://aka.ms/AB-PrivateEndpoints.	Audit, zakázáno	2.0.0-preview
[Preview]: Veřejný přístup k účtu úložiště by se měl nepovolit.	Anonymní veřejný přístup pro čtení ke kontejnerům a objektům blob ve službě Azure Storage představuje pohodlný způsob sdílení dat, ale může představovat bezpečnostní rizika. Aby se zabránilo porušení zabezpečení dat způsobeným nežádoucím anonymním přístupem, Microsoft doporučuje zabránit veřejnému přístupu k účtu úložiště, pokud to váš scénář nevyžaduje.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	3.1.0-preview
Na počítačích by se měly povolit adaptivní řízení aplikací pro definování bezpečných aplikací.	Povolte řízení aplikací, abyste definovali seznam známých bezpečných aplikací spuštěných na vašich počítačích a upozorňovali vás při spuštění jiných aplikací. To pomáhá posílit zabezpečení počítačů proti malwaru. Aby se zjednodušilo proces konfigurace a údržby pravidel, Security Center pomocí strojového učení analyzuje aplikace spuštěné na každém počítači a navrhne seznam známých bezpečných aplikací.	AuditIfNotExists, zakázáno	3.0.0
Pravidla seznamu povolených v zásadách adaptivního řízení aplikací by se měla aktualizovat.	Monitorujte změny chování ve skupinách počítačů nakonfigurovaných pro auditování adaptivními řízeními aplikací ve službě Azure Security Center. Security Center pomocí strojového učení analyzuje spuštěné procesy na vašich počítačích a navrhuje seznam známých bezpečných aplikací. Zobrazují se jako doporučené aplikace, které umožňují zásady adaptivního řízení aplikací.	AuditIfNotExists, zakázáno	3.0.0
Služby API Management by měly používat virtuální síť.	Nasazení služby Azure Virtual Network poskytuje rozšířené zabezpečení, izolaci a umožňuje umístit službu API Management do ne internetu směrovatelné sítě, ke které řídíte přístup. Tyto sítě je pak možné připojit k místním sítím pomocí různých technologií VPN, které umožňují přístup k back-endovým službám v síti nebo v místním prostředí. Portál pro vývojáře a brána rozhraní API je možné nakonfigurovat tak, aby byly přístupné buď z internetu, nebo jenom ve virtuální síti.	Audit, Odepřít, Zakázáno	1.0.2
Konfigurace aplikace by měla používat privátní propojení.	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma private link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na instance konfigurace aplikace místo celé služby budete také chráněni před riziky úniku dat. Další informace najdete tady: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, zakázáno	1.0.2
Autorizované rozsahy IP adres by se měly definovat ve službě Kubernetes Services.	Omezte přístup k rozhraní API pro správu služby Kubernetes tím, že udělíte přístup rozhraní API pouze k IP adresám v konkrétních rozsazích. Doporučujeme omezit přístup k autorizovaným rozsahům IP adres, aby ke clusteru měli přístup jenom aplikace z povolených sítí.	Audit, zakázáno	2.0.1
Prostředky azure AI Services by měly omezit síťový přístup.	Omezením síťového přístupu zajistíte, že k této službě budou mít přístup jenom povolené sítě. Toho lze dosáhnout konfigurací pravidel sítě tak, aby přístup ke službě Azure AI měly přístup jenom aplikace z povolených sítí.	Audit, Odepřít, Zakázáno	3.2.0
Měla by být povolená služba Azure Defender pro servery.	Azure Defender pro servery poskytuje ochranu před hrozbami v reálném čase pro úlohy serveru a generuje doporučení pro posílení zabezpečení a také výstrahy týkající se podezřelých aktivit.	AuditIfNotExists, zakázáno	1.0.3
Domény Služby Azure Event Grid by měly používat privátní propojení	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na doménu Služby Event Grid místo celé služby budete také chráněni před riziky úniku dat. Další informace najdete tady: https://aka.ms/privateendpoints.	Audit, zakázáno	1.0.2
Témata služby Azure Event Grid by měla používat privátní propojení	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na téma Event Gridu místo celé služby budete také chráněni před riziky úniku dat. Další informace najdete tady: https://aka.ms/privateendpoints.	Audit, zakázáno	1.0.2
Synchronizace souborů Azure by měl používat privátní propojení	Vytvoření privátního koncového bodu pro uvedený prostředek služby synchronizace úložiště umožňuje adresovat prostředek služby synchronizace úložiště z privátního adresního prostoru IP sítě vaší organizace, a ne prostřednictvím veřejného koncového bodu přístupného z internetu. Vytvoření privátního koncového bodu sám o sobě nezakážuje veřejný koncový bod.	AuditIfNotExists, zakázáno	1.0.0
Služba Azure Key Vault by měla mít povolenou bránu firewall.	Povolte bránu firewall trezoru klíčů, aby trezor klíčů nebyl ve výchozím nastavení přístupný pro žádné veřejné IP adresy. Volitelně můžete nakonfigurovat konkrétní rozsahy IP adres pro omezení přístupu k těmto sítím. Další informace najdete tady: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Odepřít, Zakázáno	3.2.1
Služby Azure Key Vault by měly používat privátní propojení.	Azure Private Link umožňuje připojit virtuální sítě ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na trezor klíčů můžete snížit rizika úniku dat. Další informace o privátních propojeních najdete tady: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Pracovní prostory azure machine Učení by měly používat privátní propojení	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na pracovní prostory Azure Machine Učení se sníží riziko úniku dat. Další informace o privátních propojeních najdete tady: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Audit, zakázáno	1.0.0
Azure Spring Cloud by měl používat injektáž sítě	Instance Azure Spring Cloud by měly používat injektáž virtuální sítě pro následující účely: 1. Izolujte Azure Spring Cloud od internetu. 2. Povolte Službě Azure Spring Cloud interakci se systémy v místních datových centrech nebo službě Azure v jiných virtuálních sítích. 3. Umožněte zákazníkům řídit příchozí a odchozí síťovou komunikaci pro Azure Spring Cloud.	Audit, Zakázáno, Odepřít	1.2.0
Registry kontejnerů by neměly umožňovat neomezený síťový přístup	Registry kontejnerů Azure ve výchozím nastavení přijímají připojení přes internet z hostitelů v libovolné síti. Pokud chcete chránit registry před potenciálními hrozbami, povolte přístup jenom z konkrétních privátních koncových bodů, veřejných IP adres nebo rozsahů adres. Pokud váš registr nemá nakonfigurovaná pravidla sítě, zobrazí se v prostředcích, které nejsou v pořádku. Další informace o pravidlech sítě služby Container Registry najdete tady: https://aka.ms/acr/portal/public-networkhttps://aka.ms/acr/privatelinka .https://aka.ms/acr/vnet	Audit, Odepřít, Zakázáno	2.0.0
Registry kontejnerů by měly používat privátní propojení.	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma private link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na vaše registry kontejnerů místo celé služby budete také chráněni před riziky úniku dat. Další informace najdete tady: https://aka.ms/acr/private-link.	Audit, zakázáno	1.0.1
Připojení privátního koncového bodu ve službě Azure SQL Database by měla být povolená.	Připojení privátního koncového bodu vynucují zabezpečenou komunikaci povolením privátního připojení ke službě Azure SQL Database.	Audit, zakázáno	1.1.0
Privátní koncový bod by měl být povolený pro servery MariaDB.	Připojení privátního koncového bodu vynucují zabezpečenou komunikaci povolením privátního připojení ke službě Azure Database for MariaDB. Nakonfigurujte připojení privátního koncového bodu tak, aby umožňovalo přístup k provozu přicházejícímu jenom ze známých sítí a zabránilo přístupu ze všech ostatních IP adres, včetně v Rámci Azure.	AuditIfNotExists, zakázáno	1.0.2
Privátní koncový bod by měl být povolený pro servery MySQL.	Připojení privátního koncového bodu vynucují zabezpečenou komunikaci povolením privátního připojení ke službě Azure Database for MySQL. Nakonfigurujte připojení privátního koncového bodu tak, aby umožňovalo přístup k provozu přicházejícímu jenom ze známých sítí a zabránilo přístupu ze všech ostatních IP adres, včetně v Rámci Azure.	AuditIfNotExists, zakázáno	1.0.2
Privátní koncový bod by měl být povolený pro servery PostgreSQL.	Připojení privátního koncového bodu vynucují zabezpečenou komunikaci povolením privátního připojení ke službě Azure Database for PostgreSQL. Nakonfigurujte připojení privátního koncového bodu tak, aby umožňovalo přístup k provozu přicházejícímu jenom ze známých sítí a zabránilo přístupu ze všech ostatních IP adres, včetně v Rámci Azure.	AuditIfNotExists, zakázáno	1.0.2
Přístup k veřejné síti ve službě Azure SQL Database by měl být zakázaný.	Zakázání vlastnosti přístupu k veřejné síti zlepšuje zabezpečení tím, že zajišťuje přístup k azure SQL Database pouze z privátního koncového bodu. Tato konfigurace odmítne všechna přihlášení, která odpovídají pravidlům brány firewall založeným na protokolu IP nebo virtuální síti.	Audit, Odepřít, Zakázáno	1.1.0
Přístup k veřejné síti by měl být pro servery MariaDB zakázaný.	Zakažte vlastnost přístupu k veřejné síti, abyste zlepšili zabezpečení a zajistili, že k vaší službě Azure Database for MariaDB bude možné přistupovat pouze z privátního koncového bodu. Tato konfigurace přísně zakáže přístup z jakéhokoli veřejného adresního prostoru mimo rozsah IP adres Azure a odmítne všechna přihlášení, která odpovídají pravidlům brány firewall založeným na PROTOKOLU IP nebo virtuální síti.	Audit, Odepřít, Zakázáno	2.0.0
Přístup k veřejné síti by měl být pro servery MySQL zakázaný.	Zakažte vlastnost přístupu k veřejné síti, abyste zlepšili zabezpečení a zajistili, že k azure Database for MySQL bude možné přistupovat jenom z privátního koncového bodu. Tato konfigurace přísně zakáže přístup z jakéhokoli veřejného adresního prostoru mimo rozsah IP adres Azure a odmítne všechna přihlášení, která odpovídají pravidlům brány firewall založeným na PROTOKOLU IP nebo virtuální síti.	Audit, Odepřít, Zakázáno	2.0.0
Přístup k veřejné síti by měl být pro servery PostgreSQL zakázaný.	Zakažte vlastnost přístupu k veřejné síti, abyste zlepšili zabezpečení a zajistili, že k Azure Database for PostgreSQL bude možné přistupovat pouze z privátního koncového bodu. Tato konfigurace zakáže přístup z jakéhokoli veřejného adresního prostoru mimo rozsah IP adres Azure a zakáže všechna přihlášení, která odpovídají pravidlům brány firewall založeným na PROTOKOLU IP nebo virtuální síti.	Audit, Odepřít, Zakázáno	2.0.1
Účty úložiště by měly omezit přístup k síti	Přístup k síti k účtům úložiště by měl být omezený. Nakonfigurujte pravidla sítě, aby k účtu úložiště mohly přistupovat jenom aplikace z povolených sítí. Pokud chcete povolit připojení z konkrétního internetu nebo místních klientů, je možné udělit přístup k provozu z konkrétních virtuálních sítí Azure nebo k rozsahům veřejných internetových IP adres.	Audit, Odepřít, Zakázáno	1.1.1
Účty úložiště by měly omezit přístup k síti pomocí pravidel virtuální sítě.	Chraňte své účty úložiště před potenciálními hrozbami pomocí pravidel virtuální sítě jako upřednostňované metody místo filtrování založeného na PROTOKOLU IP. Zakázáním filtrování na základě IP adres zabráníte veřejným IP adresám v přístupu k účtům úložiště.	Audit, Odepřít, Zakázáno	1.0.1
Účty úložiště by měly používat privátní propojení	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátníchkoncovýchch Další informace o privátních propojeních najdete tady: https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, zakázáno	2.0.0
Šablony Image Builderu virtuálních počítačů by měly používat privátní propojení	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátníchkoncovýchch Další informace o privátních propojeních najdete tady: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Audit, Zakázáno, Odepřít	1.1.0

Pokročilá správa v reálném čase

Advanced Real-Timethreat Defenseand Management-13.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Zastaralé]: Aplikace funkcí by měly mít povolené klientské certifikáty (příchozí klientské certifikáty).	Klientské certifikáty umožňují aplikaci požádat o certifikát pro příchozí žádosti. K aplikaci budou mít přístup jenom klienti s platnými certifikáty. Tuto zásadu nahradila nová zásada se stejným názvem, protože Http 2.0 nepodporuje klientské certifikáty.	Audit, zakázáno	3.1.0 zastaralé
[Preview]: Rozšíření ověření identity hosta by mělo být nainstalované na podporovaných virtuálních počítačích s Linuxem	Nainstalujte rozšíření Ověření identity hosta na podporované virtuální počítače s Linuxem, aby služba Azure Security Center mohla aktivně testovat a monitorovat integritu spouštění. Po instalaci bude integrita spouštění potvrzena prostřednictvím vzdáleného ověření identity. Toto posouzení platí pro důvěryhodné spuštění a důvěrné virtuální počítače s Linuxem.	AuditIfNotExists, zakázáno	6.0.0-preview
[Preview]: Rozšíření ověření identity hosta by se mělo nainstalovat na podporované škálovací sady virtuálních počítačů s Linuxem.	Nainstalujte rozšíření Ověření identity hosta na podporované škálovací sady virtuálních počítačů s Linuxem, aby služba Azure Security Center mohla aktivně testovat a monitorovat integritu spouštění. Po instalaci bude integrita spouštění potvrzena prostřednictvím vzdáleného ověření identity. Toto posouzení platí pro škálovací sady důvěryhodných spuštění a důvěrných virtuálních počítačů s Linuxem.	AuditIfNotExists, zakázáno	5.1.0-preview
[Preview]: Rozšíření ověření identity hosta by mělo být nainstalované na podporovaných virtuálních počítačích s Windows.	Nainstalujte rozšíření Ověření identity hosta na podporované virtuální počítače, aby služba Azure Security Center mohla aktivně testovat a monitorovat integritu spouštění. Po instalaci bude integrita spouštění potvrzena prostřednictvím vzdáleného ověření identity. Toto posouzení platí pro důvěryhodné spuštění a důvěrné virtuální počítače s Windows.	AuditIfNotExists, zakázáno	4.0.0-preview
[Preview]: Rozšíření ověření identity hosta by mělo být nainstalované na podporovaných škálovacích sadách virtuálních počítačů s Windows.	Nainstalujte rozšíření Ověření identity hosta na podporované škálovací sady virtuálních počítačů, které umožňují službě Azure Security Center aktivně testovat a monitorovat integritu spouštění. Po instalaci bude integrita spouštění potvrzena prostřednictvím vzdáleného ověření identity. Toto posouzení platí pro škálovací sady důvěryhodných spuštění a důvěrných virtuálních počítačů s Windows.	AuditIfNotExists, zakázáno	3.1.0-preview
[Preview]: Na podporovaných virtuálních počítačích s Windows by mělo být povolené zabezpečené spouštění.	Povolte zabezpečené spouštění na podporovaných virtuálních počítačích s Windows, abyste se mohli zmírnit proti škodlivým a neoprávněným změnám spouštěcího řetězce. Po povolení budou moci běžet jenom důvěryhodné spouštěcí zavaděče, jádra a ovladače jádra. Toto posouzení platí pro důvěryhodné spuštění a důvěrné virtuální počítače s Windows.	Audit, zakázáno	4.0.0-preview
[Preview]: Virtuální počítač vTPM by měl být povolený na podporovaných virtuálních počítačích.	Povolte virtuální zařízení TPM na podporovaných virtuálních počítačích, abyste usnadnili měřené spouštění a další funkce zabezpečení operačního systému, které vyžadují čip TPM. Po povolení je možné virtuální počítač vTPM použít k otestování integrity spouštění. Toto posouzení platí jenom pro virtuální počítače s povoleným důvěryhodným spuštěním.	Audit, zakázáno	2.0.0-preview
Na počítačích by se měly povolit adaptivní řízení aplikací pro definování bezpečných aplikací.	Povolte řízení aplikací, abyste definovali seznam známých bezpečných aplikací spuštěných na vašich počítačích a upozorňovali vás při spuštění jiných aplikací. To pomáhá posílit zabezpečení počítačů proti malwaru. Aby se zjednodušilo proces konfigurace a údržby pravidel, Security Center pomocí strojového učení analyzuje aplikace spuštěné na každém počítači a navrhne seznam známých bezpečných aplikací.	AuditIfNotExists, zakázáno	3.0.0
Pravidla seznamu povolených v zásadách adaptivního řízení aplikací by se měla aktualizovat.	Monitorujte změny chování ve skupinách počítačů nakonfigurovaných pro auditování adaptivními řízeními aplikací ve službě Azure Security Center. Security Center pomocí strojového učení analyzuje spuštěné procesy na vašich počítačích a navrhuje seznam známých bezpečných aplikací. Zobrazují se jako doporučené aplikace, které umožňují zásady adaptivního řízení aplikací.	AuditIfNotExists, zakázáno	3.0.0
Aplikace služby App Service by měly mít povolené klientské certifikáty (příchozí klientské certifikáty).	Klientské certifikáty umožňují aplikaci požádat o certifikát pro příchozí žádosti. Aplikaci budou moct kontaktovat jenom klienti, kteří mají platný certifikát. Tato zásada platí pro aplikace s verzí HTTP nastavenou na 1.1.	AuditIfNotExists, zakázáno	1.0.0
Aplikace app Service by měly mít vypnuté vzdálené ladění	Vzdálené ladění vyžaduje, aby se v aplikaci App Service otevíraly příchozí porty. Vzdálené ladění by mělo být vypnuté.	AuditIfNotExists, zakázáno	2.0.0
Aplikace služby App Service by neměly mít nakonfigurované CORS, aby umožňovaly každému prostředku přístup k vašim aplikacím.	Sdílení prostředků mezi zdroji (CORS) by nemělo umožňovat přístup ke všem doménám vaší aplikace. Povolte interakci s vaší aplikací jenom v požadovaných doménách.	AuditIfNotExists, zakázáno	2.0.0
Aplikace služby App Service by měly používat nejnovější verzi protokolu TLS.	Novější verze se vydávají pro protokol TLS pravidelně kvůli chybám zabezpečení, zahrnují další funkce a zvyšují rychlost. Upgradujte na nejnovější verzi protokolu TLS pro aplikace App Service, abyste mohli využívat opravy zabezpečení, pokud nějaké nebo nové funkce nejnovější verze.	AuditIfNotExists, zakázáno	2.0.1
Problémy se stavem služby Endpoint Protection by se měly vyřešit na vašich počítačích.	Vyřešte problémy se stavem služby Endpoint Protection na virtuálních počítačích, abyste je ochránili před nejnovějšími hrozbami a ohroženími zabezpečení. Podporovaná řešení ochrany koncových bodů ve službě Azure Security Center jsou zdokumentovaná zde – https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Posouzení ochrany koncových bodů je zdokumentované zde - https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection.	AuditIfNotExists, zakázáno	1.0.0
Ochrana koncových bodů by měla být nainstalovaná na vašich počítačích.	Pokud chcete chránit počítače před hrozbami a ohroženími zabezpečení, nainstalujte podporované řešení ochrany koncových bodů.	AuditIfNotExists, zakázáno	1.0.0
Řešení endpoint protection by mělo být nainstalované ve škálovacích sadách virtuálních počítačů.	Auditujte existenci a stav řešení ochrany koncových bodů ve škálovacích sadách virtuálních počítačů, abyste je ochránili před hrozbami a ohroženími zabezpečení.	AuditIfNotExists, zakázáno	3.0.0
Aplikace funkcí by měly mít vypnuté vzdálené ladění.	Vzdálené ladění vyžaduje otevření příchozích portů v aplikacích funkcí. Vzdálené ladění by mělo být vypnuté.	AuditIfNotExists, zakázáno	2.0.0
Aplikace funkcí by neměly mít nakonfigurované CORS tak, aby všem prostředkům umožňovaly přístup k vašim aplikacím.	Sdílení prostředků mezi zdroji (CORS) by nemělo umožňovat přístup ke všem doménám vaší aplikace funkcí. Povolte interakci s vaší aplikací funkcí jenom v požadovaných doménách.	AuditIfNotExists, zakázáno	2.0.0
Aplikace funkcí by měly používat nejnovější verzi protokolu TLS.	Novější verze se vydávají pro protokol TLS pravidelně kvůli chybám zabezpečení, zahrnují další funkce a zvyšují rychlost. Upgradujte na nejnovější verzi protokolu TLS pro aplikace funkcí, abyste mohli využívat opravy zabezpečení, pokud existuje, nebo nové funkce nejnovější verze.	AuditIfNotExists, zakázáno	2.0.1
Rozšíření konfigurace hosta by mělo být nainstalované na vašich počítačích.	Pokud chcete zajistit zabezpečené konfigurace nastavení v hostu vašeho počítače, nainstalujte rozšíření Konfigurace hosta. Nastavení v hostu, která monitoruje rozšíření, zahrnují konfiguraci operačního systému, konfigurace aplikace nebo stavu a nastavení prostředí. Po instalaci budou zásady v hostovi k dispozici, například ochrana Windows Exploit Guard by měla být povolená. Další informace najdete na adrese https://aka.ms/gcpol.	AuditIfNotExists, zakázáno	1.0.3
Počítače s Linuxem by měly splňovat požadavky na standardní hodnoty zabezpečení výpočetních prostředků Azure.	Vyžaduje, aby byly požadavky nasazené do oboru přiřazení zásad. Podrobnosti najdete na adrese https://aka.ms/gcpol. Počítače nedodržují předpisy, pokud počítač není správně nakonfigurovaný pro jedno z doporučení ve standardních hodnotách zabezpečení výpočetních prostředků Azure.	AuditIfNotExists, zakázáno	2.2.0
Monitorování chybějící služby Endpoint Protection ve službě Azure Security Center	Servery bez nainstalovaného agenta Endpoint Protection budou monitorovány službou Azure Security Center jako doporučení.	AuditIfNotExists, zakázáno	3.0.0
Účty úložiště by se měly migrovat na nové prostředky Azure Resource Manageru.	Pomocí nového Azure Resource Manageru pro účty úložiště můžete poskytovat vylepšení zabezpečení, jako jsou: silnější řízení přístupu (RBAC), lepší auditování, nasazení a zásady správného řízení na základě Azure Resource Manageru, přístup ke spravovaným identitám, přístup k trezoru klíčů pro tajné kódy, ověřování na základě Azure AD a podpora značek a skupin prostředků pro snadnější správu zabezpečení.	Audit, Odepřít, Zakázáno	1.0.0
Virtuální počítače by se měly migrovat na nové prostředky Azure Resource Manageru.	Pomocí nového Azure Resource Manageru pro virtuální počítače můžete poskytovat vylepšení zabezpečení, jako je například silnější řízení přístupu (RBAC), lepší auditování, nasazení a zásady správného řízení na základě Azure Resource Manageru, přístup ke spravovaným identitám, přístup k trezoru klíčů pro tajné kódy, ověřování na základě Azure AD a podpora značek a skupin prostředků pro snadnější správu zabezpečení.	Audit, Odepřít, Zakázáno	1.0.0
Rozšíření Konfigurace hosta virtuálních počítačů by se mělo nasadit se spravovanou identitou přiřazenou systémem.	Rozšíření Konfigurace hosta vyžaduje spravovanou identitu přiřazenou systémem. Virtuální počítače Azure v oboru této zásady nebudou kompatibilní, pokud mají nainstalované rozšíření Konfigurace hosta, ale nemají spravovanou identitu přiřazenou systémem. Další informace najdete na adrese https://aka.ms/gcpol	AuditIfNotExists, zakázáno	1.0.1
Ochrana Exploit Guard v programu Windows Defender by měla být na vašich počítačích povolená.	Ochrana Exploit Guard v programu Windows Defender používá agenta konfigurace hosta služby Azure Policy. Exploit Guard má čtyři komponenty, které jsou navržené tak, aby zamkly zařízení proti široké škále vektorů útoku a blokovaly chování běžně používané při malwarových útocích a současně umožňují podnikům vyvážit bezpečnostní riziko a požadavky na produktivitu (jenom Windows).	AuditIfNotExists, zakázáno	2.0.0
Počítače s Windows by měly splňovat požadavky standardních hodnot zabezpečení výpočetních prostředků Azure.	Vyžaduje, aby byly požadavky nasazené do oboru přiřazení zásad. Podrobnosti najdete na adrese https://aka.ms/gcpol. Počítače nedodržují předpisy, pokud počítač není správně nakonfigurovaný pro jedno z doporučení ve standardních hodnotách zabezpečení výpočetních prostředků Azure.	AuditIfNotExists, zakázáno	2.0.0

Advanced Real-Timethreat Defenseand Management-13.2

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Clustery Kubernetes s podporou Azure Arc by měly mít nainstalované rozšíření Microsoft Defender for Cloud.	Rozšíření Microsoft Defender for Cloud pro Azure Arc poskytuje ochranu před hrozbami pro clustery Kubernetes s podporou Arc. Rozšíření shromažďuje data ze všech uzlů v clusteru a odesílá je do back-endu Azure Defenderu for Kubernetes v cloudu za účelem další analýzy. Další informace najdete v článku https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, zakázáno	6.0.0-preview
Na virtuálních počítačích by mělo být povolené řešení posouzení ohrožení zabezpečení.	Audituje virtuální počítače, aby zjistil, jestli používají podporované řešení posouzení ohrožení zabezpečení. Základní součástí každého programu kybernetického rizika a zabezpečení je identifikace a analýza ohrožení zabezpečení. Cenová úroveň Azure Security Center úrovně Standard zahrnuje kontrolu ohrožení zabezpečení pro vaše virtuální počítače bez dalších poplatků. Security Center navíc může tento nástroj automaticky nasadit za vás.	AuditIfNotExists, zakázáno	3.0.0
Služba Azure Defender for App Service by měla být povolená.	Azure Defender for App Service využívá škálování cloudu a viditelnost, kterou Azure má jako poskytovatel cloudu, k monitorování běžných útoků webových aplikací.	AuditIfNotExists, zakázáno	1.0.3
Servery Azure Defenderu pro Azure SQL Database by měly být povolené.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2
Služba Azure Defender for Key Vault by měla být povolená.	Azure Defender for Key Vault poskytuje další vrstvu ochrany a informací o zabezpečení tím, že detekuje neobvyklé a potenciálně škodlivé pokusy o přístup k účtům trezoru klíčů nebo jejich zneužití.	AuditIfNotExists, zakázáno	1.0.3
Azure Defender pro opensourcové relační databáze by měl být povolený.	Azure Defender pro opensourcové relační databáze detekuje neobvyklé aktivity označující neobvyklé a potenciálně škodlivé pokusy o přístup k databázím nebo jejich zneužití. Přečtěte si další informace o možnostech Azure Defenderu pro opensourcové relační databáze na adrese https://aka.ms/AzDforOpenSourceDBsDocu. Důležité: Povolením tohoto plánu se budou účtovat poplatky za ochranu opensourcových relačních databází. Další informace o cenách na stránce s cenami služby Security Center: https://aka.ms/pricing-security-center	AuditIfNotExists, zakázáno	1.0.0
Azure Defender for Resource Manager by měl být povolený.	Azure Defender for Resource Manager automaticky monitoruje operace správy prostředků ve vaší organizaci. Azure Defender detekuje hrozby a upozorní vás na podezřelou aktivitu. Přečtěte si další informace o možnostech Azure Defenderu pro Resource Manager na adrese https://aka.ms/defender-for-resource-manager . Povolením tohoto plánu Azure Defenderu se účtují poplatky. Další informace o cenách v jednotlivých oblastech najdete na stránce s cenami služby Security Center: https://aka.ms/pricing-security-center .	AuditIfNotExists, zakázáno	1.0.0
Měla by být povolená služba Azure Defender pro servery.	Azure Defender pro servery poskytuje ochranu před hrozbami v reálném čase pro úlohy serveru a generuje doporučení pro posílení zabezpečení a také výstrahy týkající se podezřelých aktivit.	AuditIfNotExists, zakázáno	1.0.3
Na počítačích by se měl povolit Azure Defender pro SQL servery.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2
Azure Defender pro SQL by měl být povolený pro nechráněné servery Azure SQL.	Audit sql serverů bez rozšířeného zabezpečení dat	AuditIfNotExists, zakázáno	2.0.1
Azure Defender pro SQL by měl být povolený pro nechráněné spravované instance SQL.	Auditujte každou spravovanou instanci SQL bez pokročilého zabezpečení dat.	AuditIfNotExists, zakázáno	1.0.2
Clustery Azure Kubernetes Service by měly mít povolený profil Defenderu.	Microsoft Defender for Containers poskytuje možnosti zabezpečení Kubernetes nativní pro cloud, včetně posílení zabezpečení prostředí, ochrany úloh a ochrany za běhu. Když v clusteru Azure Kubernetes Service povolíte SecurityProfile.AzureDefender, nasadí se do clusteru agent, který bude shromažďovat data událostí zabezpečení. Další informace o programu Microsoft Defender for Containers v https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks	Audit, zakázáno	2.0.1
Problémy se stavem služby Endpoint Protection by se měly vyřešit na vašich počítačích.	Vyřešte problémy se stavem služby Endpoint Protection na virtuálních počítačích, abyste je ochránili před nejnovějšími hrozbami a ohroženími zabezpečení. Podporovaná řešení ochrany koncových bodů ve službě Azure Security Center jsou zdokumentovaná zde – https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Posouzení ochrany koncových bodů je zdokumentované zde - https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection.	AuditIfNotExists, zakázáno	1.0.0
Ochrana koncových bodů by měla být nainstalovaná na vašich počítačích.	Pokud chcete chránit počítače před hrozbami a ohroženími zabezpečení, nainstalujte podporované řešení ochrany koncových bodů.	AuditIfNotExists, zakázáno	1.0.0
Řešení endpoint protection by mělo být nainstalované ve škálovacích sadách virtuálních počítačů.	Auditujte existenci a stav řešení ochrany koncových bodů ve škálovacích sadách virtuálních počítačů, abyste je ochránili před hrozbami a ohroženími zabezpečení.	AuditIfNotExists, zakázáno	3.0.0
Měla by být povolená služba Microsoft Defender for Containers.	Microsoft Defender for Containers poskytuje posílení zabezpečení, posouzení ohrožení zabezpečení a ochranu za běhu pro vaše prostředí Kubernetes v Azure, hybridním a multicloudových prostředích Kubernetes.	AuditIfNotExists, zakázáno	1.0.0
Měl by být povolený Microsoft Defender pro úložiště.	Microsoft Defender for Storage detekuje potenciální hrozby pro vaše účty úložiště. Pomáhá zabránit třem hlavním dopadům na vaše data a úlohy: nahrání škodlivých souborů, exfiltrace citlivých dat a poškození dat. Nový plán Defenderu pro úložiště zahrnuje kontrolu malwaru a detekci citlivých dat. Tento plán také poskytuje předvídatelnou cenovou strukturu (na účet úložiště) pro kontrolu nad pokrytím a náklady.	AuditIfNotExists, zakázáno	1.0.0
Monitorování chybějící služby Endpoint Protection ve službě Azure Security Center	Servery bez nainstalovaného agenta Endpoint Protection budou monitorovány službou Azure Security Center jako doporučení.	AuditIfNotExists, zakázáno	3.0.0
Ve službě SQL Managed Instance by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte každou spravovanou instanci SQL, která nemá povolené opakované kontroly posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.1
Na sql serverech by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte servery Azure SQL, které nemají správně nakonfigurované posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	3.0.0
Ochrana Exploit Guard v programu Windows Defender by měla být na vašich počítačích povolená.	Ochrana Exploit Guard v programu Windows Defender používá agenta konfigurace hosta služby Azure Policy. Exploit Guard má čtyři komponenty, které jsou navržené tak, aby zamkly zařízení proti široké škále vektorů útoku a blokovaly chování běžně používané při malwarových útocích a současně umožňují podnikům vyvážit bezpečnostní riziko a požadavky na produktivitu (jenom Windows).	AuditIfNotExists, zakázáno	2.0.0

Advanced Real-Timethreat Defenseand Management-13.3

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Veškerý internetový provoz by se měl směrovat přes nasazenou bránu Azure Firewall.	Služba Azure Security Center zjistila, že některé z vašich podsítí nejsou chráněné bránou firewall nové generace. Ochrana podsítí před potenciálními hrozbami omezením přístupu k nim pomocí služby Azure Firewall nebo podporované brány firewall nové generace	AuditIfNotExists, zakázáno	3.0.0-preview
Na počítačích by se měly povolit adaptivní řízení aplikací pro definování bezpečných aplikací.	Povolte řízení aplikací, abyste definovali seznam známých bezpečných aplikací spuštěných na vašich počítačích a upozorňovali vás při spuštění jiných aplikací. To pomáhá posílit zabezpečení počítačů proti malwaru. Aby se zjednodušilo proces konfigurace a údržby pravidel, Security Center pomocí strojového učení analyzuje aplikace spuštěné na každém počítači a navrhne seznam známých bezpečných aplikací.	AuditIfNotExists, zakázáno	3.0.0
Doporučení adaptivního posílení zabezpečení sítě by se měla použít na internetových virtuálních počítačích.	Azure Security Center analyzuje vzorce provozu internetových virtuálních počítačů a poskytuje doporučení k pravidlům skupiny zabezpečení sítě, která snižují potenciální prostor pro útoky.	AuditIfNotExists, zakázáno	3.0.0
Všechny síťové porty by měly být omezeny na skupiny zabezpečení sítě přidružené k vašemu virtuálnímu počítači.	Služba Azure Security Center zjistila, že některá příchozí pravidla skupin zabezpečení sítě jsou příliš trvalá. Příchozí pravidla by neměla umožňovat přístup z rozsahů Any nebo Internet. To může útočníkům potenciálně umožnit, aby cílili na vaše prostředky.	AuditIfNotExists, zakázáno	3.0.0
Pravidla seznamu povolených v zásadách adaptivního řízení aplikací by se měla aktualizovat.	Monitorujte změny chování ve skupinách počítačů nakonfigurovaných pro auditování adaptivními řízeními aplikací ve službě Azure Security Center. Security Center pomocí strojového učení analyzuje spuštěné procesy na vašich počítačích a navrhuje seznam známých bezpečných aplikací. Zobrazují se jako doporučené aplikace, které umožňují zásady adaptivního řízení aplikací.	AuditIfNotExists, zakázáno	3.0.0
Pro virtuální počítače by měla být povolená služba Azure Backup.	Zajistěte ochranu virtuálních počítačů Azure povolením služby Azure Backup. Azure Backup je bezpečné a nákladově efektivní řešení ochrany dat pro Azure.	AuditIfNotExists, zakázáno	3.0.0
Pro Azure Database for MariaDB by se mělo povolit geograficky redundantní zálohování.	Azure Database for MariaDB umožňuje zvolit možnost redundance databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Geograficky redundantní zálohování by mělo být povolené pro Službu Azure Database for MySQL.	Azure Database for MySQL umožňuje zvolit možnost redundance vašeho databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Pro Azure Database for PostgreSQL by se mělo povolit geograficky redundantní zálohování.	Azure Database for PostgreSQL umožňuje zvolit možnost redundance vašeho databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Internetové virtuální počítače by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače před potenciálními hrozbami tím, že omezíte přístup k nim pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Předávání IP na virtuálním počítači by mělo být zakázané.	Povolení předávání IP na síťové kartě virtuálního počítače umožňuje počítači přijímat provoz adresovaný do jiných cílů. Předávání IP se vyžaduje jen zřídka (např. při použití virtuálního počítače jako síťového virtuálního zařízení), a proto by ho měl zkontrolovat tým zabezpečení sítě.	AuditIfNotExists, zakázáno	3.0.0
Porty pro správu virtuálních počítačů by měly být chráněné pomocí řízení přístupu k síti za běhu.	Azure Security Center bude monitorovat možný přístup podle potřeby (JIT) sítě jako doporučení.	AuditIfNotExists, zakázáno	3.0.0
Porty pro správu by měly být na virtuálních počítačích zavřené.	Otevřené porty pro vzdálenou správu zveřejňují váš virtuální počítač na vysokou úroveň rizika z internetových útoků. Tyto útoky se pokusí hrubou silou vynutit přihlašovací údaje, aby získaly přístup správce k počítači.	AuditIfNotExists, zakázáno	3.0.0
Virtuální počítače, které nejsou přístupné z internetu, by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače, které nejsou přístupné z internetu, před potenciálními hrozbami tím, že omezíte přístup pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Podsítě by měly být přidružené ke skupině zabezpečení sítě.	Chraňte podsíť před potenciálními hrozbami tím, že k ní omezíte přístup pomocí skupiny zabezpečení sítě (NSG). Skupiny zabezpečení sítě obsahují seznam pravidel seznamu řízení přístupu (ACL), která povolují nebo zakazují síťový provoz do vaší podsítě.	AuditIfNotExists, zakázáno	3.0.0

Advanced Real-Timethreat Defenseand Management-13.4

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Veškerý internetový provoz by se měl směrovat přes nasazenou bránu Azure Firewall.	Služba Azure Security Center zjistila, že některé z vašich podsítí nejsou chráněné bránou firewall nové generace. Ochrana podsítí před potenciálními hrozbami omezením přístupu k nim pomocí služby Azure Firewall nebo podporované brány firewall nové generace	AuditIfNotExists, zakázáno	3.0.0-preview
Na virtuálních počítačích by mělo být povolené řešení posouzení ohrožení zabezpečení.	Audituje virtuální počítače, aby zjistil, jestli používají podporované řešení posouzení ohrožení zabezpečení. Základní součástí každého programu kybernetického rizika a zabezpečení je identifikace a analýza ohrožení zabezpečení. Cenová úroveň Azure Security Center úrovně Standard zahrnuje kontrolu ohrožení zabezpečení pro vaše virtuální počítače bez dalších poplatků. Security Center navíc může tento nástroj automaticky nasadit za vás.	AuditIfNotExists, zakázáno	3.0.0
Doporučení adaptivního posílení zabezpečení sítě by se měla použít na internetových virtuálních počítačích.	Azure Security Center analyzuje vzorce provozu internetových virtuálních počítačů a poskytuje doporučení k pravidlům skupiny zabezpečení sítě, která snižují potenciální prostor pro útoky.	AuditIfNotExists, zakázáno	3.0.0
Všechny síťové porty by měly být omezeny na skupiny zabezpečení sítě přidružené k vašemu virtuálnímu počítači.	Služba Azure Security Center zjistila, že některá příchozí pravidla skupin zabezpečení sítě jsou příliš trvalá. Příchozí pravidla by neměla umožňovat přístup z rozsahů Any nebo Internet. To může útočníkům potenciálně umožnit, aby cílili na vaše prostředky.	AuditIfNotExists, zakázáno	3.0.0
Aplikace služby App Service by měly být přístupné jenom přes PROTOKOL HTTPS.	Použití protokolu HTTPS zajišťuje ověřování serveru nebo služby a chrání přenášená data před útoky na odposlouchávání vrstvy sítě.	Audit, Zakázáno, Odepřít	4.0.0
Aplikace app Service by měly vyžadovat jenom FTPS.	Povolte vynucení FTPS pro lepší zabezpečení.	AuditIfNotExists, zakázáno	3.0.0
Aplikace služby App Service by měly používat nejnovější verzi protokolu TLS.	Novější verze se vydávají pro protokol TLS pravidelně kvůli chybám zabezpečení, zahrnují další funkce a zvyšují rychlost. Upgradujte na nejnovější verzi protokolu TLS pro aplikace App Service, abyste mohli využívat opravy zabezpečení, pokud nějaké nebo nové funkce nejnovější verze.	AuditIfNotExists, zakázáno	2.0.1
Ověřování na počítačích s Linuxem by mělo vyžadovat klíče SSH.	I když samotný SSH poskytuje šifrované připojení, používání hesel s protokolem SSH stále opouští virtuální počítač zranitelný vůči útokům hrubou silou. Nejbezpečnější možností ověřování na virtuálním počítači Azure s Linuxem přes SSH je pár veřejného privátního klíče, který se označuje také jako klíče SSH. Další informace: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed.	AuditIfNotExists, zakázáno	3.2.0
Proměnné účtu Automation by měly být šifrované.	Při ukládánícitlivýchch	Audit, Odepřít, Zakázáno	1.1.0
Účty služby Azure Cosmos DB by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Ke správě šifrování neaktivních uložených dat ve službě Azure Cosmos DB použijte klíče spravované zákazníkem. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace najdete na adrese https://aka.ms/cosmosdb-cmk.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	1.1.0
Servery Azure Defenderu pro Azure SQL Database by měly být povolené.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2
Azure Defender pro opensourcové relační databáze by měl být povolený.	Azure Defender pro opensourcové relační databáze detekuje neobvyklé aktivity označující neobvyklé a potenciálně škodlivé pokusy o přístup k databázím nebo jejich zneužití. Přečtěte si další informace o možnostech Azure Defenderu pro opensourcové relační databáze na adrese https://aka.ms/AzDforOpenSourceDBsDocu. Důležité: Povolením tohoto plánu se budou účtovat poplatky za ochranu opensourcových relačních databází. Další informace o cenách na stránce s cenami služby Security Center: https://aka.ms/pricing-security-center	AuditIfNotExists, zakázáno	1.0.0
Na počítačích by se měl povolit Azure Defender pro SQL servery.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2
Azure Defender pro SQL by měl být povolený pro nechráněné spravované instance SQL.	Auditujte každou spravovanou instanci SQL bez pokročilého zabezpečení dat.	AuditIfNotExists, zakázáno	1.0.2
Pracovní prostory azure machine Učení by měly být šifrované pomocí klíče spravovaného zákazníkem.	Správa šifrování neaktivních uložených dat v pracovním prostoru Azure Machine Učení pomocí klíčů spravovaných zákazníkem Ve výchozím nastavení se zákaznická data šifrují pomocí klíčů spravovaných službami, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace najdete na adrese https://aka.ms/azureml-workspaces-cmk.	Audit, Odepřít, Zakázáno	1.0.3
Firewall webových aplikací Azure by měl být povolený pro vstupní body služby Azure Front Door.	Nasaďte firewall webových aplikací Azure (WAF) před veřejně přístupné webové aplikace pro další kontrolu příchozího provozu. Firewall webových aplikací (WAF) poskytuje centralizovanou ochranu webových aplikací před běžným zneužitím a ohrožením zabezpečení, jako jsou injektáže SQL, skriptování mezi weby, místní a vzdálené spouštění souborů. Přístup k webovým aplikacím můžete omezit také podle zemí, rozsahů IP adres a dalších parametrů HTTP prostřednictvím vlastních pravidel.	Audit, Odepřít, Zakázáno	1.0.2
Účty služeb Cognitive Services by měly povolit šifrování dat pomocí klíče spravovaného zákazníkem.	Klíče spravované zákazníkem se běžně vyžadují ke splnění zákonných standardů dodržování předpisů. Klíče spravované zákazníkem umožňují šifrování dat uložených ve službách Cognitive Services pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace o klíčích spravovaných zákazníkem najdete na adrese https://go.microsoft.com/fwlink/?linkid=2121321.	Audit, Odepřít, Zakázáno	2.1.0
Registry kontejnerů by se měly šifrovat pomocí klíče spravovaného zákazníkem.	Ke správě šifrování zbývajícího obsahu vašich registrů použijte klíče spravované zákazníkem. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace najdete na adrese https://aka.ms/acr/CMK.	Audit, Odepřít, Zakázáno	1.1.2
Vynutit připojení SSL by mělo být povolené pro databázové servery MySQL.	Azure Database for MySQL podporuje připojení serveru Azure Database for MySQL k klientským aplikacím pomocí protokolu SSL (Secure Sockets Layer). Vynucení připojení SSL mezi databázovým serverem a klientskými aplikacemi pomáhá chránit před útoky "man in the middle" šifrováním datového proudu mezi serverem a vaší aplikací. Tato konfigurace vynucuje, aby protokol SSL byl vždy povolený pro přístup k databázovému serveru.	Audit, zakázáno	1.0.1
U databázových serverů PostgreSQL by mělo být povolené vynucení připojení SSL.	Azure Database for PostgreSQL podporuje připojení serveru Azure Database for PostgreSQL k klientským aplikacím pomocí ssl (Secure Sockets Layer). Vynucení připojení SSL mezi databázovým serverem a klientskými aplikacemi pomáhá chránit před útoky "man in the middle" šifrováním datového proudu mezi serverem a vaší aplikací. Tato konfigurace vynucuje, aby protokol SSL byl vždy povolený pro přístup k databázovému serveru.	Audit, zakázáno	1.0.1
Aplikace funkcí by měly být přístupné jenom přes HTTPS.	Použití protokolu HTTPS zajišťuje ověřování serveru nebo služby a chrání přenášená data před útoky na odposlouchávání vrstvy sítě.	Audit, Zakázáno, Odepřít	5.0.0
Aplikace funkcí by měly vyžadovat jenom FTPS.	Povolte vynucení FTPS pro lepší zabezpečení.	AuditIfNotExists, zakázáno	3.0.0
Aplikace funkcí by měly používat nejnovější verzi protokolu TLS.	Novější verze se vydávají pro protokol TLS pravidelně kvůli chybám zabezpečení, zahrnují další funkce a zvyšují rychlost. Upgradujte na nejnovější verzi protokolu TLS pro aplikace funkcí, abyste mohli využívat opravy zabezpečení, pokud existuje, nebo nové funkce nejnovější verze.	AuditIfNotExists, zakázáno	2.0.1
Internetové virtuální počítače by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače před potenciálními hrozbami tím, že omezíte přístup k nim pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Předávání IP na virtuálním počítači by mělo být zakázané.	Povolení předávání IP na síťové kartě virtuálního počítače umožňuje počítači přijímat provoz adresovaný do jiných cílů. Předávání IP se vyžaduje jen zřídka (např. při použití virtuálního počítače jako síťového virtuálního zařízení), a proto by ho měl zkontrolovat tým zabezpečení sítě.	AuditIfNotExists, zakázáno	3.0.0
Porty pro správu virtuálních počítačů by měly být chráněné pomocí řízení přístupu k síti za běhu.	Azure Security Center bude monitorovat možný přístup podle potřeby (JIT) sítě jako doporučení.	AuditIfNotExists, zakázáno	3.0.0
Porty pro správu by měly být na virtuálních počítačích zavřené.	Otevřené porty pro vzdálenou správu zveřejňují váš virtuální počítač na vysokou úroveň rizika z internetových útoků. Tyto útoky se pokusí hrubou silou vynutit přihlašovací údaje, aby získaly přístup správce k počítači.	AuditIfNotExists, zakázáno	3.0.0
Měl by být povolený Microsoft Defender pro úložiště.	Microsoft Defender for Storage detekuje potenciální hrozby pro vaše účty úložiště. Pomáhá zabránit třem hlavním dopadům na vaše data a úlohy: nahrání škodlivých souborů, exfiltrace citlivých dat a poškození dat. Nový plán Defenderu pro úložiště zahrnuje kontrolu malwaru a detekci citlivých dat. Tento plán také poskytuje předvídatelnou cenovou strukturu (na účet úložiště) pro kontrolu nad pokrytím a náklady.	AuditIfNotExists, zakázáno	1.0.0
Servery MySQL by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Ke správě šifrování zbývajících serverů MySQL použijte klíče spravované zákazníkem. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy.	AuditIfNotExists, zakázáno	1.0.4
Virtuální počítače, které nejsou přístupné z internetu, by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače, které nejsou přístupné z internetu, před potenciálními hrozbami tím, že omezíte přístup pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Měla by být povolena pouze zabezpečená připojení ke službě Azure Cache for Redis.	Audit povolení pouze připojení přes PROTOKOL SSL ke službě Azure Cache for Redis Použití zabezpečených připojení zajišťuje ověřování mezi serverem a službou a chrání přenášená data před útoky na síťovou vrstvu, jako jsou man-in-the-middle, odposlouchávání a napadení relace	Audit, Odepřít, Zakázáno	1.0.0
Servery PostgreSQL by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Ke správě šifrování zbývajících serverů PostgreSQL použijte klíče spravované zákazníkem. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy.	AuditIfNotExists, zakázáno	1.0.4
Zabezpečený přenos do účtů úložiště by měl být povolený.	Požadavek na audit zabezpečeného přenosu v účtu úložiště Zabezpečený přenos je možnost, která vynutí, aby váš účet úložiště přijímal požadavky pouze ze zabezpečených připojení (HTTPS). Použití protokolu HTTPS zajišťuje ověřování mezi serverem a službou a chrání přenášená data před útoky na vrstvu sítě, jako jsou man-in-the-middle, odposlouchávání a napadení relace.	Audit, Odepřít, Zakázáno	2.0.0
Spravované instance SQL by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Implementace transparentní šifrování dat (TDE) s vlastním klíčem vám poskytuje zvýšenou transparentnost a kontrolu nad ochranou transparentním šifrováním dat, vyšším zabezpečením externí služby založené na HSM a zvýšením oddělení povinností. Toto doporučení platí pro organizace se souvisejícím požadavkem na dodržování předpisů.	Audit, Odepřít, Zakázáno	2.0.0
Sql Servery by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Implementace transparentní šifrování dat (TDE) s vlastním klíčem zajišťuje zvýšenou transparentnost a kontrolu nad ochranou transparentním šifrováním dat, vyšším zabezpečením externí služby založené na HSM a propagací oddělení povinností. Toto doporučení platí pro organizace se souvisejícím požadavkem na dodržování předpisů.	Audit, Odepřít, Zakázáno	2.0.1
Účty úložiště by pro šifrování měly používat klíč spravovaný zákazníkem.	Zabezpečení účtu úložiště objektů blob a souborů s větší flexibilitou s využitím klíčů spravovaných zákazníkem Když zadáte klíč spravovaný zákazníkem, použije se tento klíč k ochraně a řízení přístupu ke klíči, který šifruje vaše data. Použití klíčů spravovaných zákazníkem poskytuje další možnosti pro řízení obměně šifrovacího klíče klíče nebo kryptografického vymazání dat.	Audit, zakázáno	1.0.3
Podsítě by měly být přidružené ke skupině zabezpečení sítě.	Chraňte podsíť před potenciálními hrozbami tím, že k ní omezíte přístup pomocí skupiny zabezpečení sítě (NSG). Skupiny zabezpečení sítě obsahují seznam pravidel seznamu řízení přístupu (ACL), která povolují nebo zakazují síťový provoz do vaší podsítě.	AuditIfNotExists, zakázáno	3.0.0
transparentní šifrování dat v databázích SQL by měly být povolené	Transparentní šifrování dat by mělo být povolené pro ochranu neaktivních uložených dat a splnění požadavků na dodržování předpisů.	AuditIfNotExists, zakázáno	2.0.0
Virtuální počítače by měly šifrovat dočasné disky, mezipaměti a toky dat mezi výpočetními prostředky a prostředky úložiště.	Ve výchozím nastavení se operační systém a datové disky virtuálního počítače šifrují neaktivní uložená data pomocí klíčů spravovaných platformou. Dočasné disky, mezipaměti dat a tok dat mezi výpočetními prostředky a úložištěm se nešifrují. Toto doporučení ignorujte, pokud: 1. pomocí šifrování na hostiteli nebo 2. Šifrování na straně serveru na Spravované disky splňuje vaše požadavky na zabezpečení. Další informace najdete v tématu: Šifrování Azure Disk Storage na straně serveru: https://aka.ms/disksse, různé nabídky šifrování disků: https://aka.ms/diskencryptioncomparison	AuditIfNotExists, zakázáno	2.0.3
Ve službě SQL Managed Instance by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte každou spravovanou instanci SQL, která nemá povolené opakované kontroly posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.1
Na sql serverech by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte servery Azure SQL, které nemají správně nakonfigurované posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	3.0.0
Firewall webových aplikací (WAF) by měl být povolený pro službu Application Gateway.	Nasaďte firewall webových aplikací Azure (WAF) před veřejně přístupné webové aplikace pro další kontrolu příchozího provozu. Firewall webových aplikací (WAF) poskytuje centralizovanou ochranu webových aplikací před běžným zneužitím a ohrožením zabezpečení, jako jsou injektáže SQL, skriptování mezi weby, místní a vzdálené spouštění souborů. Přístup k webovým aplikacím můžete omezit také podle zemí, rozsahů IP adres a dalších parametrů HTTP prostřednictvím vlastních pravidel.	Audit, Odepřít, Zakázáno	2.0.0
Počítače s Windows by měly být nakonfigurované tak, aby používaly zabezpečené komunikační protokoly.	K ochraně soukromí informací předávaných přes internet by vaše počítače měly používat nejnovější verzi standardního kryptografického protokolu TLS (Transport Layer Security). Protokol TLS zabezpečuje komunikaci přes síť šifrováním připojení mezi počítači.	AuditIfNotExists, zakázáno	4.1.1

Životní cyklus zabezpečení aplikací (Aslc)

Životní cyklus zabezpečení aplikací (Aslc)-6.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Chyby zabezpečení v konfiguracích zabezpečení kontejnerů by se měly napravit.	Auditujte ohrožení zabezpečení v konfiguraci zabezpečení na počítačích s nainstalovaným Dockerem a zobrazují se jako doporučení ve službě Azure Security Center.	AuditIfNotExists, zakázáno	3.0.0

Životní cyklus zabezpečení aplikací (Aslc)-6.3

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Chyby zabezpečení v konfiguracích zabezpečení kontejnerů by se měly napravit.	Auditujte ohrožení zabezpečení v konfiguraci zabezpečení na počítačích s nainstalovaným Dockerem a zobrazují se jako doporučení ve službě Azure Security Center.	AuditIfNotExists, zakázáno	3.0.0

Životní cyklus zabezpečení aplikací (Aslc)-6.4

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Aplikace App Service by měly mít povolené protokoly prostředků.	Audit povolení protokolů prostředků v aplikaci To vám umožní znovu vytvořit trasu aktivit pro účely vyšetřování, pokud dojde k incidentu zabezpečení nebo dojde k ohrožení vaší sítě.	AuditIfNotExists, zakázáno	2.0.1
Aplikace App Service by měly používat spravovanou identitu.	Použití spravované identity pro rozšířené zabezpečení ověřování	AuditIfNotExists, zakázáno	3.0.0
Komponenty Přehledy aplikací by měly blokovat příjem protokolů a dotazování z veřejných sítí.	Vylepšení zabezpečení Přehledy aplikací blokováním příjmu protokolů a dotazováním z veřejných sítí Pouze sítě připojené k privátnímu propojení budou moct ingestovat a dotazovat protokoly této komponenty. Další informace najdete na adrese https://aka.ms/AzMonPrivateLink#configure-application-insights.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	1.1.0
Komponenty Přehledy aplikací by měly blokovat příjem dat mimo Azure Active Directory.	Vynucení příjmu protokolů tak, aby vyžadovalo ověřování Azure Active Directory, zabrání útočníkovi neověřené protokoly, které by mohly vést k nesprávnému stavu, falešným výstrahám a nesprávným protokolům uloženým v systému.	Odepřít, Auditovat, Zakázáno	1.0.0
Součásti Přehledy aplikací s povolenou službou Private Link by měly pro profiler a ladicí program používat účty Bring Your Own Storage.	Pokud chcete podporovat zásady privátního propojení a klíčů spravovaných zákazníkem, vytvořte vlastní účet úložiště pro profiler a ladicí program. Další informace najdete v článku https://docs.microsoft.com/azure/azure-monitor/app/profiler-bring-your-own-storage	Odepřít, Auditovat, Zakázáno	1.0.0
Služba Azure Defender for App Service by měla být povolená.	Azure Defender for App Service využívá škálování cloudu a viditelnost, kterou Azure má jako poskytovatel cloudu, k monitorování běžných útoků webových aplikací.	AuditIfNotExists, zakázáno	1.0.3
Azure Defender pro opensourcové relační databáze by měl být povolený.	Azure Defender pro opensourcové relační databáze detekuje neobvyklé aktivity označující neobvyklé a potenciálně škodlivé pokusy o přístup k databázím nebo jejich zneužití. Přečtěte si další informace o možnostech Azure Defenderu pro opensourcové relační databáze na adrese https://aka.ms/AzDforOpenSourceDBsDocu. Důležité: Povolením tohoto plánu se budou účtovat poplatky za ochranu opensourcových relačních databází. Další informace o cenách na stránce s cenami služby Security Center: https://aka.ms/pricing-security-center	AuditIfNotExists, zakázáno	1.0.0
Protokoly služby Azure Monitor pro aplikační Přehledy by se měly propojit s pracovním prostorem služby Log Analytics.	Propojte komponentu Přehledy aplikace s pracovním prostorem služby Log Analytics pro šifrování protokolů. Klíče spravované zákazníkem se běžně vyžadují ke splnění dodržování právních předpisů a k větší kontrole přístupu k vašim datům ve službě Azure Monitor. Propojení komponenty s pracovním prostorem služby Log Analytics, který je povolený pomocí klíče spravovaného zákazníkem, zajišťuje, aby vaše aplikace Přehledy protokoly splňovaly tento požadavek na dodržování předpisů, viz https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	1.1.0
Aplikace funkcí by měly používat spravovanou identitu	Použití spravované identity pro rozšířené zabezpečení ověřování	AuditIfNotExists, zakázáno	3.0.0
Měla by být povolená služba Microsoft Defender for Containers.	Microsoft Defender for Containers poskytuje posílení zabezpečení, posouzení ohrožení zabezpečení a ochranu za běhu pro vaše prostředí Kubernetes v Azure, hybridním a multicloudových prostředích Kubernetes.	AuditIfNotExists, zakázáno	1.0.0
Měl by být povolený Microsoft Defender pro úložiště.	Microsoft Defender for Storage detekuje potenciální hrozby pro vaše účty úložiště. Pomáhá zabránit třem hlavním dopadům na vaše data a úlohy: nahrání škodlivých souborů, exfiltrace citlivých dat a poškození dat. Nový plán Defenderu pro úložiště zahrnuje kontrolu malwaru a detekci citlivých dat. Tento plán také poskytuje předvídatelnou cenovou strukturu (na účet úložiště) pro kontrolu nad pokrytím a náklady.	AuditIfNotExists, zakázáno	1.0.0
Protokoly prostředků ve službě Key Vault by měly být povolené.	Audit povolení protokolů prostředků To vám umožní znovu vytvořit trasu aktivit, která se použije pro účely vyšetřování, když dojde k incidentu zabezpečení nebo když dojde k ohrožení vaší sítě.	AuditIfNotExists, zakázáno	5.0.0
Protokoly prostředků v Logic Apps by měly být povolené.	Audit povolení protokolů prostředků To vám umožní znovu vytvořit trasu aktivit, která se použije pro účely šetření; pokud dojde k incidentu zabezpečení nebo když dojde k ohrožení vaší sítě	AuditIfNotExists, zakázáno	5.1.0

Životní cyklus zabezpečení aplikací (Aslc)-6.6

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Chyby zabezpečení v konfiguracích zabezpečení kontejnerů by se měly napravit.	Auditujte ohrožení zabezpečení v konfiguraci zabezpečení na počítačích s nainstalovaným Dockerem a zobrazují se jako doporučení ve službě Azure Security Center.	AuditIfNotExists, zakázáno	3.0.0

Životní cyklus zabezpečení aplikací (Aslc)-6.7

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Chyby zabezpečení v konfiguracích zabezpečení kontejnerů by se měly napravit.	Auditujte ohrožení zabezpečení v konfiguraci zabezpečení na počítačích s nainstalovaným Dockerem a zobrazují se jako doporučení ve službě Azure Security Center.	AuditIfNotExists, zakázáno	3.0.0
Firewall webových aplikací (WAF) by měl být povolený pro službu Application Gateway.	Nasaďte firewall webových aplikací Azure (WAF) před veřejně přístupné webové aplikace pro další kontrolu příchozího provozu. Firewall webových aplikací (WAF) poskytuje centralizovanou ochranu webových aplikací před běžným zneužitím a ohrožením zabezpečení, jako jsou injektáže SQL, skriptování mezi weby, místní a vzdálené spouštění souborů. Přístup k webovým aplikacím můžete omezit také podle zemí, rozsahů IP adres a dalších parametrů HTTP prostřednictvím vlastních pravidel.	Audit, Odepřít, Zakázáno	2.0.0
Firewall webových aplikací (WAF) by měl povolit všechna pravidla brány firewall pro službu Application Gateway.	Povolení všech pravidel firewallu webových aplikací (WAF) posiluje zabezpečení vaší aplikace a chrání vaše webové aplikace před běžnými ohroženími zabezpečení. Další informace o firewallu webových aplikací (WAF) se službou Application Gateway najdete v tématu . https://aka.ms/waf-ag	Audit, Odepřít, Zakázáno	1.0.1
Firewall webových aplikací (WAF) by měl používat zadaný režim služby Application Gateway.	Vyžaduje, aby byl režim Detekce nebo Prevence aktivní ve všech zásadách firewallu webových aplikací pro službu Application Gateway.	Audit, Odepřít, Zakázáno	1.0.0

Strategie prevence úniku dat

Strategie prevence úniku dat -15.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Všechny prostředky protokolu toku by měly být ve stavu povoleného.	Auditujte prostředky protokolu toku a ověřte, jestli je povolený stav protokolu toku. Povolení protokolů toků umožňuje protokolovat informace o toku provozu PROTOKOLU IP. Dá se použít k optimalizaci toků sítě, monitorování propustnosti, ověřování dodržování předpisů, zjišťování neoprávněných vniknutí a další.	Audit, zakázáno	1.0.1
Všechny síťové porty by měly být omezeny na skupiny zabezpečení sítě přidružené k vašemu virtuálnímu počítači.	Služba Azure Security Center zjistila, že některá příchozí pravidla skupin zabezpečení sítě jsou příliš trvalá. Příchozí pravidla by neměla umožňovat přístup z rozsahů Any nebo Internet. To může útočníkům potenciálně umožnit, aby cílili na vaše prostředky.	AuditIfNotExists, zakázáno	3.0.0
Problémy se stavem služby Endpoint Protection by se měly vyřešit na vašich počítačích.	Vyřešte problémy se stavem služby Endpoint Protection na virtuálních počítačích, abyste je ochránili před nejnovějšími hrozbami a ohroženími zabezpečení. Podporovaná řešení ochrany koncových bodů ve službě Azure Security Center jsou zdokumentovaná zde – https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Posouzení ochrany koncových bodů je zdokumentované zde - https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection.	AuditIfNotExists, zakázáno	1.0.0
Ochrana koncových bodů by měla být nainstalovaná na vašich počítačích.	Pokud chcete chránit počítače před hrozbami a ohroženími zabezpečení, nainstalujte podporované řešení ochrany koncových bodů.	AuditIfNotExists, zakázáno	1.0.0
Řešení endpoint protection by mělo být nainstalované ve škálovacích sadách virtuálních počítačů.	Auditujte existenci a stav řešení ochrany koncových bodů ve škálovacích sadách virtuálních počítačů, abyste je ochránili před hrozbami a ohroženími zabezpečení.	AuditIfNotExists, zakázáno	3.0.0
Monitorování chybějící služby Endpoint Protection ve službě Azure Security Center	Servery bez nainstalovaného agenta Endpoint Protection budou monitorovány službou Azure Security Center jako doporučení.	AuditIfNotExists, zakázáno	3.0.0
Účty úložiště by měly omezit přístup k síti	Přístup k síti k účtům úložiště by měl být omezený. Nakonfigurujte pravidla sítě, aby k účtu úložiště mohly přistupovat jenom aplikace z povolených sítí. Pokud chcete povolit připojení z konkrétního internetu nebo místních klientů, je možné udělit přístup k provozu z konkrétních virtuálních sítí Azure nebo k rozsahům veřejných internetových IP adres.	Audit, Odepřít, Zakázáno	1.1.1
Ochrana Exploit Guard v programu Windows Defender by měla být na vašich počítačích povolená.	Ochrana Exploit Guard v programu Windows Defender používá agenta konfigurace hosta služby Azure Policy. Exploit Guard má čtyři komponenty, které jsou navržené tak, aby zamkly zařízení proti široké škále vektorů útoku a blokovaly chování běžně používané při malwarových útocích a současně umožňují podnikům vyvážit bezpečnostní riziko a požadavky na produktivitu (jenom Windows).	AuditIfNotExists, zakázáno	2.0.0

Strategie prevence úniku dat -15.2

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Přístup k veřejné síti by měl být pro servery MariaDB zakázaný.	Zakažte vlastnost přístupu k veřejné síti, abyste zlepšili zabezpečení a zajistili, že k vaší službě Azure Database for MariaDB bude možné přistupovat pouze z privátního koncového bodu. Tato konfigurace přísně zakáže přístup z jakéhokoli veřejného adresního prostoru mimo rozsah IP adres Azure a odmítne všechna přihlášení, která odpovídají pravidlům brány firewall založeným na PROTOKOLU IP nebo virtuální síti.	Audit, Odepřít, Zakázáno	2.0.0
Přístup k veřejné síti by měl být pro flexibilní servery MySQL zakázaný.	Zakázání vlastnosti přístupu k veřejné síti zlepšuje zabezpečení tím, že zajišťuje, aby k flexibilním serverům Azure Database for MySQL byl přístup pouze z privátního koncového bodu. Tato konfigurace přísně zakáže přístup z jakéhokoli veřejného adresního prostoru mimo rozsah IP adres Azure a odepře všechna přihlášení, která odpovídají pravidlům brány firewall založeným na PROTOKOLU IP nebo virtuální síti.	Audit, Odepřít, Zakázáno	2.1.0
Přístup k veřejné síti by měl být pro servery MySQL zakázaný.	Zakažte vlastnost přístupu k veřejné síti, abyste zlepšili zabezpečení a zajistili, že k azure Database for MySQL bude možné přistupovat jenom z privátního koncového bodu. Tato konfigurace přísně zakáže přístup z jakéhokoli veřejného adresního prostoru mimo rozsah IP adres Azure a odmítne všechna přihlášení, která odpovídají pravidlům brány firewall založeným na PROTOKOLU IP nebo virtuální síti.	Audit, Odepřít, Zakázáno	2.0.0
Pro flexibilní servery PostgreSQL by měl být zakázaný přístup k veřejné síti.	Zakázání vlastnosti přístupu k veřejné síti zlepšuje zabezpečení tím, že zajišťuje, aby flexibilní servery Azure Database for PostgreSQL byly přístupné jenom z privátního koncového bodu. Tato konfigurace přísně zakáže přístup z jakéhokoli veřejného adresního prostoru mimo rozsah IP adres Azure a odepře všechna přihlášení, která odpovídají pravidlům brány firewall založeným na PROTOKOLU IP nebo virtuální síti.	Audit, Odepřít, Zakázáno	3.0.1
Přístup k veřejné síti by měl být pro servery PostgreSQL zakázaný.	Zakažte vlastnost přístupu k veřejné síti, abyste zlepšili zabezpečení a zajistili, že k Azure Database for PostgreSQL bude možné přistupovat pouze z privátního koncového bodu. Tato konfigurace zakáže přístup z jakéhokoli veřejného adresního prostoru mimo rozsah IP adres Azure a zakáže všechna přihlášení, která odpovídají pravidlům brány firewall založeným na PROTOKOLU IP nebo virtuální síti.	Audit, Odepřít, Zakázáno	2.0.1
Účty úložiště by měly zakázat přístup k veřejné síti	Pokud chcete zlepšit zabezpečení účtů úložiště, ujistěte se, že nejsou vystavené veřejnému internetu a dají se k nim přistupovat jenom z privátního koncového bodu. Zakažte vlastnost přístupu k veřejné síti, jak je popsáno v tématu https://aka.ms/storageaccountpublicnetworkaccess. Tato možnost zakáže přístup z jakéhokoli veřejného adresního prostoru mimo rozsah IP adres Azure a odepře všechna přihlášení, která odpovídají pravidlům brány firewall založeným na PROTOKOLU IP nebo virtuální síti. To snižuje riziko úniku dat.	Audit, Odepřít, Zakázáno	1.0.1
Účty úložiště by měly omezit přístup k síti pomocí pravidel virtuální sítě.	Chraňte své účty úložiště před potenciálními hrozbami pomocí pravidel virtuální sítě jako upřednostňované metody místo filtrování založeného na PROTOKOLU IP. Zakázáním filtrování na základě IP adres zabráníte veřejným IP adresám v přístupu k účtům úložiště.	Audit, Odepřít, Zakázáno	1.0.1

Strategie prevence úniku dat -15.3

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Problémy se stavem služby Endpoint Protection by se měly vyřešit na vašich počítačích.	Vyřešte problémy se stavem služby Endpoint Protection na virtuálních počítačích, abyste je ochránili před nejnovějšími hrozbami a ohroženími zabezpečení. Podporovaná řešení ochrany koncových bodů ve službě Azure Security Center jsou zdokumentovaná zde – https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Posouzení ochrany koncových bodů je zdokumentované zde - https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection.	AuditIfNotExists, zakázáno	1.0.0
Ochrana koncových bodů by měla být nainstalovaná na vašich počítačích.	Pokud chcete chránit počítače před hrozbami a ohroženími zabezpečení, nainstalujte podporované řešení ochrany koncových bodů.	AuditIfNotExists, zakázáno	1.0.0
Řešení endpoint protection by mělo být nainstalované ve škálovacích sadách virtuálních počítačů.	Auditujte existenci a stav řešení ochrany koncových bodů ve škálovacích sadách virtuálních počítačů, abyste je ochránili před hrozbami a ohroženími zabezpečení.	AuditIfNotExists, zakázáno	3.0.0
Monitorování chybějící služby Endpoint Protection ve službě Azure Security Center	Servery bez nainstalovaného agenta Endpoint Protection budou monitorovány službou Azure Security Center jako doporučení.	AuditIfNotExists, zakázáno	3.0.0
Ochrana Exploit Guard v programu Windows Defender by měla být na vašich počítačích povolená.	Ochrana Exploit Guard v programu Windows Defender používá agenta konfigurace hosta služby Azure Policy. Exploit Guard má čtyři komponenty, které jsou navržené tak, aby zamkly zařízení proti široké škále vektorů útoku a blokovaly chování běžně používané při malwarových útocích a současně umožňují podnikům vyvážit bezpečnostní riziko a požadavky na produktivitu (jenom Windows).	AuditIfNotExists, zakázáno	2.0.0

Forenzní

Forenzní 22.1

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Měla by být povolená služba Azure DDoS Protection.	Ochrana před útoky DDoS by měla být povolená pro všechny virtuální sítě s podsítí, která je součástí aplikační brány s veřejnou IP adresou.	AuditIfNotExists, zakázáno	3.0.1

Reakce na incidenty a správa

Reakce na kybernetické incidenty:-19.2

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
E-mailové oznámení pro upozornění s vysokou závažností by mělo být povolené.	Pokud chcete zajistit, aby relevantní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, povolte e-mailová oznámení pro výstrahy s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	1.1.0
E-mailové oznámení vlastníkovi předplatného pro upozornění s vysokou závažností by mělo být povoleno.	Pokud chcete zajistit, aby vlastníci předplatného dostávali oznámení o potenciálním narušení zabezpečení ve svém předplatném, nastavte pro vlastníky e-mailů upozornění s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	2.1.0
Předplatná by měla mít kontaktní e-mailovou adresu pro problémy se zabezpečením	Pokud chcete zajistit, aby příslušní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, nastavte bezpečnostní kontakt pro příjem e-mailových oznámení ze služby Security Center.	AuditIfNotExists, zakázáno	1.0.1

Zotavení od cyber - incidenty-19.4

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Auditování virtuálních počítačů bez nakonfigurovaného zotavení po havárii	Auditujte virtuální počítače, které nemají nakonfigurované zotavení po havárii. Další informace o zotavení po havárii najdete v tématu https://aka.ms/asr-doc.	auditIfNotExists	1.0.0
Měla by být povolená služba Azure Defender pro servery.	Azure Defender pro servery poskytuje ochranu před hrozbami v reálném čase pro úlohy serveru a generuje doporučení pro posílení zabezpečení a také výstrahy týkající se podezřelých aktivit.	AuditIfNotExists, zakázáno	1.0.3

Zotavení od cyber - incidenty-19.5

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Pro virtuální počítače by měla být povolená služba Azure Backup.	Zajistěte ochranu virtuálních počítačů Azure povolením služby Azure Backup. Azure Backup je bezpečné a nákladově efektivní řešení ochrany dat pro Azure.	AuditIfNotExists, zakázáno	3.0.0
Měla by být povolená služba Azure Defender pro servery.	Azure Defender pro servery poskytuje ochranu před hrozbami v reálném čase pro úlohy serveru a generuje doporučení pro posílení zabezpečení a také výstrahy týkající se podezřelých aktivit.	AuditIfNotExists, zakázáno	1.0.3
Pro Azure Database for MariaDB by se mělo povolit geograficky redundantní zálohování.	Azure Database for MariaDB umožňuje zvolit možnost redundance databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Geograficky redundantní zálohování by mělo být povolené pro Službu Azure Database for MySQL.	Azure Database for MySQL umožňuje zvolit možnost redundance vašeho databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Pro Azure Database for PostgreSQL by se mělo povolit geograficky redundantní zálohování.	Azure Database for PostgreSQL umožňuje zvolit možnost redundance vašeho databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1

Zotavení od cyber - incidenty-19.6

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Měla by být povolená služba Azure Defender pro servery.	Azure Defender pro servery poskytuje ochranu před hrozbami v reálném čase pro úlohy serveru a generuje doporučení pro posílení zabezpečení a také výstrahy týkající se podezřelých aktivit.	AuditIfNotExists, zakázáno	1.0.3
E-mailové oznámení pro upozornění s vysokou závažností by mělo být povolené.	Pokud chcete zajistit, aby relevantní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, povolte e-mailová oznámení pro výstrahy s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	1.1.0
E-mailové oznámení vlastníkovi předplatného pro upozornění s vysokou závažností by mělo být povoleno.	Pokud chcete zajistit, aby vlastníci předplatného dostávali oznámení o potenciálním narušení zabezpečení ve svém předplatném, nastavte pro vlastníky e-mailů upozornění s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	2.1.0
Předplatná by měla mít kontaktní e-mailovou adresu pro problémy se zabezpečením	Pokud chcete zajistit, aby příslušní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, nastavte bezpečnostní kontakt pro příjem e-mailových oznámení ze služby Security Center.	AuditIfNotExists, zakázáno	1.0.1

Zotavení od cyber - incidenty-19.6b

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Měla by být povolená služba Azure DDoS Protection.	Ochrana před útoky DDoS by měla být povolená pro všechny virtuální sítě s podsítí, která je součástí aplikační brány s veřejnou IP adresou.	AuditIfNotExists, zakázáno	3.0.1
Měla by být povolená služba Azure Defender pro servery.	Azure Defender pro servery poskytuje ochranu před hrozbami v reálném čase pro úlohy serveru a generuje doporučení pro posílení zabezpečení a také výstrahy týkající se podezřelých aktivit.	AuditIfNotExists, zakázáno	1.0.3
E-mailové oznámení pro upozornění s vysokou závažností by mělo být povolené.	Pokud chcete zajistit, aby relevantní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, povolte e-mailová oznámení pro výstrahy s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	1.1.0
E-mailové oznámení vlastníkovi předplatného pro upozornění s vysokou závažností by mělo být povoleno.	Pokud chcete zajistit, aby vlastníci předplatného dostávali oznámení o potenciálním narušení zabezpečení ve svém předplatném, nastavte pro vlastníky e-mailů upozornění s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	2.1.0

Zotavení od cyber - incidenty-19.6c

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
E-mailové oznámení pro upozornění s vysokou závažností by mělo být povolené.	Pokud chcete zajistit, aby relevantní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, povolte e-mailová oznámení pro výstrahy s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	1.1.0
E-mailové oznámení vlastníkovi předplatného pro upozornění s vysokou závažností by mělo být povoleno.	Pokud chcete zajistit, aby vlastníci předplatného dostávali oznámení o potenciálním narušení zabezpečení ve svém předplatném, nastavte pro vlastníky e-mailů upozornění s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	2.1.0
Předplatná by měla mít kontaktní e-mailovou adresu pro problémy se zabezpečením	Pokud chcete zajistit, aby příslušní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, nastavte bezpečnostní kontakt pro příjem e-mailových oznámení ze služby Security Center.	AuditIfNotExists, zakázáno	1.0.1

Zotavení od cyber - incidenty-19.6e

ID:

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Měla by být povolená služba Azure Defender pro servery.	Azure Defender pro servery poskytuje ochranu před hrozbami v reálném čase pro úlohy serveru a generuje doporučení pro posílení zabezpečení a také výstrahy týkající se podezřelých aktivit.	AuditIfNotExists, zakázáno	1.0.3

Další kroky

Další články o službě Azure Policy:

• Přehled dodržování právních předpisů
• Podívejte se na strukturu definice iniciativy.
• Projděte si další příklady v ukázkách služby Azure Policy.
• Projděte si Vysvětlení efektů zásad.
• Zjistěte, jak napravit nevyhovující prostředky.