Standardní hodnoty zabezpečení Azure pro Službu Azure Cosmos DB

Tyto standardní hodnoty zabezpečení aplikují na Azure Cosmos DB pokyny z srovnávacího testu zabezpečení cloudu Microsoftu verze 1.0 . Srovnávací test zabezpečení cloudu Microsoftu poskytuje doporučení, jak můžete zabezpečit cloudová řešení v Azure. Obsah se seskupuje podle kontrolních mechanismů zabezpečení definovaných srovnávacím testem cloudového zabezpečení Microsoftu a souvisejících pokynů platných pro službu Azure Cosmos DB.

Tyto standardní hodnoty zabezpečení a jejich doporučení můžete monitorovat pomocí Microsoft Defender for Cloud. Azure Policy definice budou uvedené v části Dodržování právních předpisů na stránce portálu Microsoft Defender pro cloud.

Pokud má funkce relevantní definice Azure Policy, jsou uvedené v tomto směrném plánu, aby vám pomohly měřit dodržování předpisů s kontrolními mechanismy a doporučeními srovnávacího testu zabezpečení cloudu Od Microsoftu. Některá doporučení můžou vyžadovat placený plán Microsoft Defender, aby bylo možné povolit určité scénáře zabezpečení.

Poznámka

Funkce , které se nevztahují na službu Azure Cosmos DB, byly vyloučeny. Pokud chcete zjistit, jak se Služba Azure Cosmos DB kompletně mapuje na srovnávací test zabezpečení cloudu Microsoftu, projděte si úplný soubor mapování standardních hodnot zabezpečení služby Azure Cosmos DB.

Profil zabezpečení

Profil zabezpečení shrnuje chování služby Azure Cosmos DB s vysokým dopadem, které může vést k vyšším aspektům zabezpečení.

Atribut Chování služby	Hodnota
Kategorie produktu	Databáze
Zákazník má přístup k hostiteli nebo operačnímu systému.	Zakázaný přístup
Službu je možné nasadit do virtuální sítě zákazníka.	Ne
Ukládá obsah zákazníka v klidovém stavu.	Ano

Zabezpečení sítě

Další informace najdete ve srovnávacím testu cloudového zabezpečení Microsoftu: Zabezpečení sítě.

NS-1: Vytvoření hranic segmentace sítě

Funkce

Integrace virtuální sítě

Popis: Služba podporuje nasazení do privátní Virtual Network (VNet) zákazníka. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Nasaďte službu do virtuální sítě. Váš účet služby Azure Cosmos DB bude přístupný virtuální síti prostřednictvím jejích veřejných IP adres.

Referenční informace: Konfigurace přístupu ke službě Azure Cosmos DB z virtuálních sítí

Podpora skupin zabezpečení sítě

Popis: Síťový provoz služby respektuje přiřazení pravidla skupin zabezpečení sítě ve svých podsítích. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

NS-2: Zabezpečení cloudových služeb pomocí síťových ovládacích prvků

Funkce

Azure Private Link

Popis: Funkce nativního filtrování IP adres pro filtrování síťového provozu (nezaměňovat se skupinou zabezpečení sítě nebo Azure Firewall). Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Nasaďte privátní koncové body pro všechny prostředky Azure, které podporují funkci Private Link, a vytvořte privátní přístupový bod pro prostředky.

Referenční informace: Konfigurace Azure Private Link pro účet služby Azure Cosmos Db

Zakázání přístupu z veřejné sítě

Popis: Služba podporuje zakázání veřejného síťového přístupu buď pomocí pravidla filtrování seznamu ACL protokolu IP na úrovni služby (nikoli skupiny zabezpečení sítě nebo Azure Firewall), nebo pomocí přepínače Zakázat veřejný síťový přístup. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Zakažte veřejný síťový přístup pomocí pravidla filtrování seznamu ACL na úrovni služby nebo přepínače pro veřejný síťový přístup.

Referenční informace: Konfigurace brány firewall protokolu IP ve službě Azure Cosmos DB

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.DocumentDB:

Name (Azure Portal)	Description	Efekty	Verze (GitHub)
Účty služby Azure Cosmos DB by měly mít pravidla brány firewall.	V účtech služby Azure Cosmos DB by měla být definovaná pravidla brány firewall, aby se zabránilo provozu z neautorizovaných zdrojů. Účty, které mají definované aspoň jedno pravidlo IP adresy s povoleným filtrem virtuální sítě, se považují za vyhovující. Účty, které veřejný přístup zakazují, se také považují za vyhovující.	Auditovat, Odepřít, Zakázáno	2.0.0

Správa identit

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Správa identit.

IM-1: Použití centralizovaného systému identit a ověřování

Funkce

Azure AD ověřování vyžadované pro přístup k rovině dat

Popis: Služba podporuje použití ověřování Azure AD pro přístup k rovině dat. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Poznámky k funkcím: ověřování Azure AD se podporuje pouze v rozhraní Core (SQL) API. Jiná rozhraní API podporují pouze ověřování na základě klíčů.

Pokyny ke konfiguraci: Microsoft v současné době neobsahuje žádné pokyny ke konfiguraci této funkce. Zkontrolujte a určete, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

Referenční informace: Konfigurace řízení přístupu na základě role pomocí Azure Active Directory pro účet služby Azure Cosmos DB

Metody místního ověřování pro přístup k rovině dat

Popis: Místní metody ověřování podporované pro přístup k rovině dat, jako je místní uživatelské jméno a heslo. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Poznámky k funkcím: Vyhněte se používání místních metod ověřování nebo účtů, měly by se zakázat, kdykoli je to možné. Místo toho k ověření použijte Azure AD, kde je to možné.

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Zabezpečený přístup k datům ve službě Azure Cosmos DB

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.DocumentDB:

Name (Azure Portal)	Description	Efekty	Verze (GitHub)
Databázové účty Cosmos DB by měly mít zakázané místní metody ověřování.	Zakázání místních metod ověřování zlepšuje zabezpečení tím, že databázové účty Cosmos DB k ověřování vyžadují výhradně identity Azure Active Directory. Další informace najdete tady: https://docs.microsoft.com/azure/cosmos-db/how-to-setup-rbac#disable-local-auth.	Auditovat, Odepřít, Zakázáno	1.1.0

IM-3: Zabezpečená a automatická správa identit aplikací

Funkce

Spravované identity

Popis: Akce roviny dat podporují ověřování pomocí spravovaných identit. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Poznámky k funkcím: ověřování Azure AD se podporuje pouze v rozhraní Core (SQL) API.

Pokyny ke konfiguraci: Microsoft v současné době neobsahuje žádné pokyny ke konfiguraci této funkce. Zkontrolujte a určete, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

Referenční informace: Konfigurace spravovaných identit pomocí Azure Active Directory pro účet služby Azure Cosmos DB

Instanční objekty

Popis: Rovina dat podporuje ověřování pomocí instančních objektů. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Poznámky k funkcím: Azure AD ověřování podporuje pouze rozhraní Core (SQL) API.

Pokyny ke konfiguraci: Microsoft v současné době neobsahuje žádné pokyny ke konfiguraci této funkce. Zkontrolujte a určete, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

Referenční informace: Konfigurace řízení přístupu na základě role pomocí Azure Active Directory pro účet služby Azure Cosmos DB

IM-7: Omezení přístupu k prostředkům na základě podmínek

Funkce

Podmíněný přístup pro rovinu dat

Popis: Přístup k rovině dat je možné řídit pomocí Azure AD zásad podmíněného přístupu. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Poznámky k funkcím: Zásady podmíněného přístupu se podporují tam, kde se používá ověřování Azure AD. Azure AD ověřování se podporuje pouze v rozhraní Core (SQL) API.

Pokyny ke konfiguraci: Microsoft v současné době neobsahuje žádné pokyny ke konfiguraci této funkce. Zkontrolujte a určete, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

IM-8: Omezení odhalení přihlašovacích údajů a tajných kódů

Funkce

Integrace a úložiště přihlašovacích údajů služby a tajných kódů v Azure Key Vault

Popis: Rovina dat podporuje nativní použití Azure Key Vault pro úložiště přihlašovacích údajů a tajných kódů. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Poznámky k funkcím: Cosmos DB může k řízení přístupu k datům používat primární a sekundární klíče (sdílené tajné kódy). Integrace těchto tajných kódů do Key Vault není podporována přímo službou Cosmos DB, ale vlastní kód klienta, který používá sdílené tajné kódy, může v případě potřeby použít Key Vault.

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

Privilegovaný přístup

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Privilegovaný přístup.

PA-7: Dodržujte pouze dostatečný princip správy (nejnižší oprávnění)

Funkce

Azure RBAC pro rovinu dat

Popis: Azure Role-Based Access Control (Azure RBAC) je možné použít ke spravovanému přístupu k akcím roviny dat služby. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Microsoft v současné době neobsahuje žádné pokyny ke konfiguraci této funkce. Zkontrolujte a určete, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

Referenční informace: Konfigurace řízení přístupu na základě role pomocí Azure Active Directory pro účet služby Azure Cosmos DB

PA-8: Určení procesu přístupu pro podporu poskytovatele cloudu

Funkce

Customer Lockbox

Popis: Customer Lockbox je možné použít pro přístup k podpoře Microsoftu. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Poznámky k funkcím: Lockbox není možné implementovat ve službě Azure Cosmos DB kvůli povaze služby s více tenanty.

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

Ochrana dat

Další informace najdete v článku Microsoft Cloud Security Benchmark: Ochrana dat.

DP-1: Zjišťování, klasifikace a označování citlivých dat

Funkce

Zjišťování a klasifikace citlivých dat

Popis: Ke zjišťování a klasifikaci dat ve službě je možné použít nástroje (například Azure Purview nebo Azure Information Protection). Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Poznámky k funkcím: Klasifikace dat Microsoft Purview podporovala pouze rozhraní Core (SQL) API služby Azure Cosmos DB.

Pokyny ke konfiguraci: Pomocí Microsoft Purview můžete centrálně prohledávat, klasifikovat a označovat všechna citlivá data, která se nacházejí ve vašem účtu služby Azure Cosmos DB.

Referenční informace: Připojení k databázi Azure Cosmos (SQL API) v Microsoft Purview

DP-2: Monitorování anomálií a hrozeb cílených na citlivá data

Funkce

Ochrana před únikem nebo ztrátou dat

Popis: Služba podporuje řešení ochrany před únikem informací pro monitorování přesunu citlivých dat (v obsahu zákazníka). Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: K detekci pokusů o exfiltraci dat použijte Microsoft Defender pro službu Azure Cosmos DB.

Referenční informace: Microsoft Defender pro službu Azure Cosmos DB

DP-3: Šifrování citlivých dat při přenosu

Funkce

Šifrování přenášených dat

Popis: Služba podporuje šifrování přenášených dat pro rovinu dat. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Poznámky k funkcím: Cosmos DB podporuje šifrování přenášených dat s protokolem TLS verze 1.2 nebo novějším a toto šifrování nejde zakázat. Azure také poskytuje šifrování pro data přenášená mezi datovými centry Azure.

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Dvojité šifrování

DP-4: Povolení šifrování neaktivních uložených dat ve výchozím nastavení

Funkce

Šifrování neaktivních uložených dat pomocí klíčů platformy

Popis: Šifrování neaktivních uložených dat pomocí klíčů platformy se podporuje. Veškerý neaktivní uložený zákaznický obsah se šifruje pomocí těchto klíčů spravovaných Microsoftem. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Poznámky k funkcím: Data uložená ve vašem účtu služby Azure Cosmos DB se automaticky a bez problémů šifrují pomocí klíčů spravovaných Microsoftem (klíče spravované službou).

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Šifrování dat ve službě Azure Cosmos DB

DP-5: Použití klíče spravovaného zákazníkem v šifrování neaktivních uložených dat v případě potřeby

Funkce

Šifrování neaktivních uložených dat pomocí cmk

Popis: Šifrování neaktivních uložených dat pomocí klíčů spravovaných zákazníkem se podporuje pro obsah zákazníka uložený službou. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: V případě potřeby pro dodržování právních předpisů definujte případ použití a obor služby, kde je potřeba šifrování pomocí klíčů spravovaných zákazníkem. Povolte a implementujte šifrování neaktivních uložených dat pomocí klíče spravovaného zákazníkem pro tyto služby.

Referenční informace: Konfigurace klíčů spravovaných zákazníkem pro účet služby Azure Cosmos Db pomocí Azure Key Vault

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.DocumentDB:

Name (Azure Portal)	Description	Efekty	Verze (GitHub)
Účty služby Azure Cosmos DB by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Pomocí klíčů spravovaných zákazníkem můžete spravovat šifrování v neaktivním stavu služby Azure Cosmos DB. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče Azure Key Vault, který jste vytvořili a vlastní. Máte plnou kontrolu a odpovědnost za životní cyklus klíče, včetně obměně a správy. Další informace najdete v tématu https://aka.ms/cosmosdb-cmk.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	1.1.0

DP-6: Použití zabezpečeného procesu správy klíčů

Funkce

Správa klíčů v Azure Key Vault

Popis: Služba podporuje integraci azure Key Vault pro všechny klíče, tajné kódy nebo certifikáty zákazníků. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Pro konfiguraci této funkce nejsou k dispozici žádné aktuální pokyny microsoftu. Zkontrolujte a určete, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

Referenční informace: Konfigurace klíčů spravovaných zákazníkem pro účet služby Azure Cosmos DB pomocí Azure Key Vault

Správa aktiv

Další informace najdete v tématu Microsoft Cloud Security Benchmark: Správa prostředků.

AM-2: Používejte jenom schválené služby

Funkce

Podpora služby Azure Policy

Popis: Konfigurace služeb je možné monitorovat a vynucovat prostřednictvím Azure Policy. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Pro konfiguraci této funkce nejsou k dispozici žádné aktuální pokyny microsoftu. Zkontrolujte a určete, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

Referenční informace: Azure Policy předdefinovaných definic zásad – Cosmos DB

Protokolování a detekce hrozeb

Další informace najdete v tématu Microsoft Cloud Security Benchmark: Protokolování a detekce hrozeb.

LT-1: Povolení možností detekce hrozeb

Funkce

Microsoft Defender pro službu / nabídku produktů

Popis: Služba má řešení Microsoft Defender specifické pro konkrétní nabídku, které umožňuje monitorovat a upozorňovat na problémy se zabezpečením. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Pomocí Microsoft Defender pro službu Azure Cosmos DB můžete automaticky zjišťovat více bezpečnostních hrozeb.

Referenční informace: Microsoft Defender pro Službu Azure Cosmos DB

LT-4: Povolení protokolování pro šetření zabezpečení

Funkce

Protokoly prostředků Azure

Popis: Služba vytváří protokoly prostředků, které můžou poskytovat rozšířené metriky a protokolování specifické pro službu. Zákazník může tyto protokoly prostředků nakonfigurovat a odeslat je do vlastní datové jímky, jako je účet úložiště nebo pracovní prostor služby Log Analytics. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Povolte pro službu protokoly prostředků. Azure Cosmos DB umožňuje monitorovat vaši aktivitu prostřednictvím služby Azure Monitor nebo vlastních diagnostických protokolů, které je možné analyzovat pomocí Azure Log Analytics.

Referenční informace: Monitorování služby Azure Cosmos DB

Backup a obnovení

Další informace najdete v tématu Srovnávací test zabezpečení cloudu Microsoftu: Zálohování a obnovení.

BR-1: Zajištění pravidelného automatizovaného zálohování

Funkce

Azure Backup

Popis: Službu může zálohovat služba Azure Backup. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

Funkce nativního zálohování služby

Popis: Služba podporuje vlastní nativní zálohování (pokud nepoužíváte Azure Backup). Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je tato možnost povolená ve výchozím nasazení.

Referenční informace: Online zálohování a obnovení dat na vyžádání ve službě Azure Cosmos DB

Další kroky

• Podívejte se na přehled srovnávacích testů zabezpečení cloudu Microsoftu.
• Další informace o základních úrovních zabezpečení Azure