Doporučení zabezpečení pro image z Azure Marketplace

Před nahráním imagí na Azure Marketplace je potřeba image aktualizovat několika požadavky na konfiguraci zabezpečení. Tyto požadavky pomáhají udržovat vysokou úroveň zabezpečení imagí partnerských řešení na azure Marketplace.

Před odesláním do Azure Marketplace nezapomeňte na obrázku spustit detekci ohrožení zabezpečení. Pokud zjistíte ohrožení zabezpečení ve vlastní již publikované imagi, musíte informovat zákazníky včas o podrobnostech o ohrožení zabezpečení a o tom, jak ji opravit v aktuálních nasazeních.

Linux a opensourcové image operačního systému

Kategorie	Zaškrtnout
Zabezpečení	Nainstalujte všechny nejnovější opravy zabezpečení pro distribuci Linuxu.
Zabezpečení	Při zabezpečení image virtuálního počítače pro konkrétní distribuci Linuxu postupujte podle oborových pokynů.
Zabezpečení	Omezte prostor pro útoky tím, že zachováte minimální nároky jenom na nezbytné role, funkce, služby a síťové porty Windows Serveru.
Zabezpečení	Zkontrolujte zdrojový kód a výslednou image virtuálního počítače pro malware.
Zabezpečení	Image virtuálního pevného disku zahrnuje pouze nezbytné uzamčené účty, které nemají výchozí hesla, která by umožňovala interaktivní přihlášení; žádné zadní dveře.
Zabezpečení	Zakažte pravidla brány firewall, pokud se na ně aplikace funkčně nezapojí, například na zařízení brány firewall.
Zabezpečení	Odeberte všechny citlivé informace z image virtuálního pevného disku, jako jsou testovací klíče SSH, známý soubor hostitelů, soubory protokolů a nepotřebné certifikáty.
Zabezpečení	Vyhněte se používání LVM. LVM je zranitelné kvůli problémům s ukládáním do mezipaměti u hypervisorů virtuálních počítačů a také zvyšuje složitost obnovení dat pro uživatele vaší image.
Zabezpečení	Uveďte nejnovější verze požadovaných knihoven: – OpenSSL verze 1.0 nebo novější – Python 2.5 nebo novější (Python 2.6 nebo novější) – Balíček Pythonu pyasn1 ( pokud ještě není nainstalovaný – d.OpenSSL v 1.0 nebo novější)
Zabezpečení	Vymažte položky historie prostředí Bash/Shell. To může zahrnovat soukromé informace nebo přihlašovací údaje ve formátu prostého textu pro jiné systémy.
Sítě	Ve výchozím nastavení zahrňte server SSH. Nastavte SSH na konfiguraci sshd pomocí následující možnosti: ClientAliveInterval 180.
Sítě	Odeberte z image veškerou vlastní konfiguraci sítě. Odstraňte soubor resolv.conf: rm /etc/resolv.conf.
Nasazení	Nainstalujte nejnovějšího agenta Azure Linux. – Nainstalujte pomocí balíčku RPM nebo Deb. – Můžete také použít proces ruční instalace, ale instalační balíčky jsou doporučené a upřednostňované. – Pokud agenta ručně nainstalujete z úložiště GitHub, nejprve zkopírujte soubor a spusťte ho waagent (jako kořen): # chmod 755 /usr/sbin/waagent# /usr/sbin/waagent -install Konfigurační soubor agenta se umístí do /etc/waagent.confumístění ./usr/sbin
Nasazení	Ujistěte se, že podpora Azure může našim partnerům poskytnout výstup sériové konzoly v případě potřeby a zajistit odpovídající časový limit pro připojení disku s operačním systémem z cloudového úložiště. Do spouštěcího řádku jádra image přidejte následující parametry: console=ttyS0 earlyprintk=ttyS0 rootdelay=300.
Nasazení	Na disku s operačním systémem není žádný oddíl prohození. Prohození je možné vyžádat k vytvoření na místním disku prostředku agentem Linuxu.
Nasazení	Vytvořte jediný kořenový oddíl pro disk operačního systému.
Nasazení	Pouze 64bitový operační systém.

Image Windows Serveru

Kategorie	Zaškrtnout
Zabezpečení	Použijte zabezpečenou základní image operačního systému. Virtuální pevný disk používaný pro zdroj jakékoli image založené na Windows Serveru musí být z imagí operačního systému Windows Serveru poskytovaných prostřednictvím Microsoft Azure.
Zabezpečení	Nainstalujte všechny nejnovější aktualizace zabezpečení.
Zabezpečení	Aplikace by neměly záviset na omezených uživatelských jménech, jako je správce, kořen nebo správce.
Zabezpečení	Povolte nástroj BitLocker Drive Encryption pro pevné disky operačního systému i datové pevné disky.
Zabezpečení	Omezte prostor pro útoky tím, že zachováte minimální nároky jenom na nezbytné role, funkce, služby a síťové porty windows Serveru.
Zabezpečení	Zkontrolujte zdrojový kód a výslednou image virtuálního počítače pro malware.
Zabezpečení	Nastavte aktualizaci zabezpečení imagí Windows Serveru na automatickou aktualizaci.
Zabezpečení	Image virtuálního pevného disku zahrnuje pouze nezbytné uzamčené účty, které nemají výchozí hesla, která by umožňovala interaktivní přihlášení; žádné zadní dveře.
Zabezpečení	Zakažte pravidla brány firewall, pokud se na ně aplikace funkčně nezapojí, například na zařízení brány firewall.
Zabezpečení	Odeberte všechny citlivé informace z image virtuálního pevného disku, včetně souborů HOSTS, souborů protokolu a nepotřebných certifikátů.
Nasazení	Pouze 64bitový operační systém.

I když vaše organizace nemá image na Azure Marketplace, zvažte kontrolu konfigurací imagí pro Windows a Linux v těchto doporučeních.