Detalles de la iniciativa integrada de cumplimiento normativo del punto de referencia de seguridad en la nube de Microsoft (Azure Government)

En el siguiente artículo, se detalla la correspondencia entre la definición de la iniciativa integrada de cumplimiento normativo de Azure Policy y los dominios de cumplimiento y controles del punto de referencia de seguridad en la nube de Microsoft (Azure Government). Para obtener más información sobre este estándar de cumplimiento, consulte Punto de referencia de seguridad en la nube de Microsoft. Para entender el concepto de propiedad, consulte Definición de directivas de Azure Policy y Responsabilidad compartida en la nube.

Las siguientes asignaciones refieren a controles del punto de referencia de seguridad en la nube de Microsoft. Muchos de los controles se implementan con una definición de iniciativa de Azure Policy. Para revisar la definición de iniciativa completa, abra Policy en Azure Portal y seleccione la página Definiciones. Busque y seleccione la definición de la iniciativa integrada de cumplimiento normativo del punto de referencia de seguridad en la nube de Microsoft.

Importante

Cada control que se muestra a continuación está asociado a una o varias definiciones de Azure Policy. Estas directivas pueden ayudarle a evaluar el cumplimiento mediante el control. Sin embargo, con frecuencia no hay una correspondencia completa o exacta entre un control y una o varias directivas. Como tal, el cumplimiento en Azure Policy solo se refiere a las propias definiciones de directiva; esto no garantiza que se cumpla totalmente con todos los requisitos de un control. Además, el estándar de cumplimiento incluye controles que no se abordan con las definiciones de Azure Policy en este momento. Por lo tanto, el cumplimiento en Azure Policy es solo una vista parcial del estado general de cumplimiento. Las asociaciones entre los dominios de cumplimiento, los controles y las definiciones de Azure Policy para este estándar de cumplimiento pueden cambiar con el tiempo. Para ver el historial de cambios, consulte el historial de confirmación de GitHub.

Seguridad de redes

Establecimiento de límites de segmentación de red

Id.: Punto de referencia de seguridad en la nube de Microsoft NS-1 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Todos los puertos de red deben estar restringidos en los grupos de seguridad de red asociados a la máquina virtual	Azure Security Center identificó que algunas de las reglas de entrada de sus grupos de seguridad de red son demasiado permisivas. Las reglas de entrada no deben permitir el acceso desde los intervalos "Cualquiera" o "Internet". Esto podría permitir que los atacantes pudieran acceder a sus recursos.	AuditIfNotExists, Disabled	3.0.0
Las máquinas virtuales accesibles desde Internet deben estar protegidas con grupos de seguridad de red	Proteja sus máquinas virtuales de posibles amenazas limitando el acceso a ellas con grupos de seguridad de red (NSG). Más información sobre cómo controlar el tráfico con los grupos de seguridad de red en https://aka.ms/nsg-doc.	AuditIfNotExists, Disabled	3.0.0
Las máquinas virtuales sin conexión a Internet deben protegerse con grupos de seguridad de red	Proteja las máquinas virtuales no accesibles desde Internet de posibles amenazas limitando el acceso con grupos de seguridad de red (NSG). Más información sobre cómo controlar el tráfico con los grupos de seguridad de red en https://aka.ms/nsg-doc.	AuditIfNotExists, Disabled	3.0.0
Las subredes deben estar asociadas con un grupo de seguridad de red.	Proteja la subred de posibles amenazas mediante la restricción del acceso con un grupo de seguridad de red (NSG). Estos grupos contienen las reglas de la lista de control de acceso (ACL) que permiten o deniegan el tráfico de red a la subred.	AuditIfNotExists, Disabled	3.0.0

Servicios en la nube seguros con controles de red

Id.: Punto de referencia de seguridad en la nube de Microsoft NS-2 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Los servicios de API Management deben usar una red virtual	La implementación de Azure Virtual Network ofrece una seguridad y aislamiento mejorados, y permite colocar el servicio de API Management en una red enrutable sin conexión a Internet cuyo acceso puede controlar. Estas redes se pueden conectar a las redes locales mediante diversas tecnologías de VPN, lo que permite el acceso a los servicios de back-end dentro de la red o de forma local. El portal para desarrolladores y la puerta de enlace de API pueden configurarse para que sea accesible desde Internet o solo dentro de la red virtual.	Audit, Deny, Disabled	1.0.2
App Configuration debe usar Private Link	Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a las instancias de App Configuration en lugar de a todo el servicio, además se protege frente a riesgos de pérdida de datos. Más información en: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, Disabled	1.0.2
Los intervalos IP autorizados deben definirse en los servicios de Kubernetes	Restrinja el acceso a la API de administración de servicios de Kubernetes mediante la concesión de acceso de API solo a direcciones IP en intervalos específicos. Se recomienda limitar el acceso a los intervalos IP autorizados para garantizar que solo las aplicaciones de las redes permitidas puedan acceder al clúster.	Audit, Disabled	2.0.0
Los recursos de Servicios de Azure AI deben restringir el acceso a la red	Al restringir el acceso a la red, puede asegurarse de que solo las redes permitidas puedan acceder al servicio. Para lograr esto, se pueden configurar reglas de red de modo que solo las aplicaciones de las redes permitidas puedan acceder al servicio Azure AI.	Audit, Deny, Disabled	3.2.0
Azure Cache for Redis debe usar Private Link	Los puntos de conexión privados le permiten conectar la red virtual a los servicios de Azure sin una dirección IP pública en el origen o el destino. Al asignar puntos de conexión privados a las instancias de Azure Cache for Redis, se reduce el riesgo de pérdida de datos. Más información en: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, Disabled	1.0.0
Las cuentas de Azure Cosmos DB deben tener reglas de firewall.	Se deben definir reglas de firewall en las cuentas de Azure Cosmos DB para evitar el tráfico desde orígenes no autorizados. Las cuentas que tienen al menos una regla de IP definida con el filtro de red virtual habilitado se consideran compatibles. Las cuentas que deshabilitan el acceso público también se consideran compatibles.	Audit, Deny, Disabled	2.0.0
Azure Cosmos DB debe deshabilitar el acceso a la red pública	Al deshabilitar el acceso a la red pública, se mejora la seguridad, ya que la cuenta de CosmosDB no se expone en la red pública de Internet. La creación de puntos de conexión privados puede limitar la exposición de la cuenta de CosmosDB. Más información en: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints#blocking-public-network-access-during-account-creation.	Audit, Deny, Disabled	1.0.0
Los clústeres de Azure Databricks deben deshabilitar la IP pública	Deshabilitar la IP pública de los clústeres en áreas de trabajo de Azure Databricks mejora la seguridad al garantizar que los clústeres no estén expuestos en la red pública de Internet. Más información en: https://learn.microsoft.com/azure/databricks/security/secure-cluster-connectivity.	Audit, Deny, Disabled	1.0.1
Las áreas de trabajo de Azure Databricks deben estar en una red virtual	Azure Virtual Network brinda seguridad y aislamiento mejorados para las áreas de trabajo de Azure Databricks, así como subredes, directivas de control de acceso y otras características para restringir aún más el acceso. Más información en: https://docs.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/vnet-inject.	Audit, Deny, Disabled	1.0.2
Azure Databricks Workspaces debería deshabilitar el acceso a la red pública	Al deshabilitar el acceso a la red pública, se mejora la seguridad ya que el recurso no se expone en la red pública de Internet. En su lugar, puede controlar la exposición de los recursos creando puntos de conexión privados. Más información en: https://learn.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/private-link.	Audit, Deny, Disabled	1.0.1
Las áreas de trabajo de Azure Databricks deben usar un vínculo privado	Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a las áreas de trabajo de Azure Databricks, puede reducir el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/adbpe.	Audit, Disabled	1.0.2
Los dominios de Azure Event Grid deben usar Private Link	Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados al dominio de Event Grid en lugar de a todo el servicio, también estará protegido frente a riesgos de pérdida de datos. Más información en: https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Los temas de Azure Event Grid deben usar Private Link	Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados al tema de Event Grid en lugar de a todo el servicio, estará además protegido frente a riesgos de pérdida de datos. Más información en: https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Los procesos de Azure Machine Learning deben estar en una red virtual	Las instancias de Azure Virtual Network aportan mayor seguridad y aislamiento a sus instancias y clústeres de proceso de Azure Machine Learning, así como a subredes, directivas de control de acceso y otras características para restringir aún más el acceso. Cuando se configura un proceso con una red virtual, no es posible acceder a ella públicamente; solamente se podrá acceder a ella desde máquinas virtuales y aplicaciones dentro de la red virtual.	Audit, Disabled	1.0.1
Las áreas de trabajo de Azure Machine Learning deberían deshabilitar el acceso a la red pública	Al deshabilitar el acceso a la red pública, se mejora la seguridad, ya que se garantiza que el área de trabajo de Machine Learning no se exponga en la red pública de Internet. Se puede controlar la exposición de las áreas de trabajo mediante la creación de puntos de conexión privados. Obtenga más información en: https://learn.microsoft.com/azure/machine-learning/how-to-configure-private-link?view=azureml-api-2&tabs=azure-portal.	Audit, Deny, Disabled	2.0.1
Las áreas de trabajo de Azure Machine Learning deben usar un vínculo privado.	Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a áreas de trabajo de Azure Machine Learning, se reducen los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Audit, Disabled	1.0.0
Azure SignalR Service debe usar Private Link	Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Mediante la asignación de puntos de conexión privados a su recurso de Azure SignalR Service en lugar todo el servicio, reducirá los riesgos de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/asrs/privatelink.	Audit, Disabled	1.0.0
Azure SQL Managed Instances debería deshabilitar el acceso a la red pública	Deshabilitar el acceso a la red pública (punto de conexión público) en Azure SQL Managed Instance mejora la seguridad al garantizar que solo se pueda acceder desde dentro de las redes virtuales o a través de puntos de conexión privados. Para más información sobre el acceso a la red pública, visite https://aka.ms/mi-public-endpoint.	Audit, Deny, Disabled	1.0.0
Las cuentas de Cognitive Services deben deshabilitar el acceso a la red pública.	Para reforzar la seguridad de las cuentas de Cognitive Services, asegúrese de que el servicio no está expuesto a la red pública de Internet y que únicamente se puede acceder a él desde un punto de conexión privado. Deshabilite la propiedad acceso a la red pública, tal y como se describe en https://go.microsoft.com/fwlink/?linkid=2129800. Esta opción deshabilita el acceso desde cualquier espacio de direcciones públicas que esté fuera del intervalo IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en la IP o la red virtual. De este modo, se reducen los riesgos de pérdida de datos.	Audit, Deny, Disabled	3.0.1
Cognitive Services debe usar un vínculo privado	Azure Private Link permite conectar las redes virtuales a los servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a Cognitive Services, reducirá la posibilidad de pérdida de datos. Más información sobre los vínculos privados en https://go.microsoft.com/fwlink/?linkid=2129800.	Audit, Disabled	3.0.0
Las instancias de Container Registry no deben permitir el acceso de red sin restricciones	De manera predeterminada, las instancias de Azure Container Registry aceptan conexiones a través de Internet de hosts de cualquier red. Para proteger sus registros de posibles amenazas, permita el acceso solo desde determinados puntos de conexión privados, direcciones IP públicas o intervalos de direcciones. Si su registro no tiene reglas de red configuradas, aparecerá en los recursos no incorrectos. Obtenga más información sobre las reglas de red de Container Registry aquí: https://aka.ms/acr/privatelink,https://aka.ms/acr/portal/public-network y https://aka.ms/acr/vnet.	Audit, Deny, Disabled	2.0.0
Las instancias de Container Registry deben usar Private Link	Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link controla la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a las instancias de Container Registry en lugar de a todo el servicio, además se protege frente a riesgos de pérdida de datos. Más información en: https://aka.ms/acr/private-link.	Audit, Disabled	1.0.1
Las cuentas de CosmosDB deben usar Private Link	Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a su cuenta de CosmosDB, se reduce el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Audit, Disabled	1.0.0
Las conexiones de punto de conexión privado en Azure SQL Database deben estar habilitadas	Las conexiones de punto de conexión privado garantizan una comunicación segura al habilitar la conectividad privada con Azure SQL Database.	Audit, Disabled	1.1.0
El punto de conexión privado debe estar habilitado para servidores PostgreSQL	Las conexiones de punto de conexión privado garantizan una comunicación segura al permitir la conectividad privada con Azure Database for PostgreSQL. Configure una conexión de punto de conexión privado para permitir el acceso al tráfico que solo proviene de redes conocidas y evitar el acceso desde todas las demás direcciones IP, incluido desde Azure.	AuditIfNotExists, Disabled	1.0.2
Debe deshabilitarse el acceso a redes públicas en Azure SQL Database	Al deshabilitar la propiedad de acceso a la red pública, se mejora la seguridad al garantizar que solo se pueda acceder a la instancia de Azure SQL Database desde un punto de conexión privado. Esta configuración deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en IP o redes virtuales.	Audit, Deny, Disabled	1.1.0
El acceso a redes públicas debe estar deshabilitado para los servidores PostgreSQL	Deshabilite la propiedad de acceso a la red pública para mejorar la seguridad y garantizar que solo se pueda acceder a la instancia de Azure Database for PostgreSQL desde un punto de conexión privado. Esta configuración deshabilita el acceso desde cualquier espacio de direcciones público que esté fuera del intervalo de direcciones IP de Azure y deniega todos los inicios de sesión que coinciden con las reglas de firewall basadas en la IP o en la red virtual.	Audit, Deny, Disabled	2.0.1
Se debe restringir el acceso de red a las cuentas de almacenamiento	El acceso de red a las cuentas de almacenamiento debe estar restringido. Configure reglas de red, solo las aplicaciones de redes permitidas pueden acceder a la cuenta de almacenamiento. Para permitir conexiones desde clientes específicos locales o de Internet, se puede conceder acceso al tráfico procedente de redes virtuales de Azure específicas o a intervalos de direcciones IP de Internet públicas.	Audit, Deny, Disabled	1.1.1
Las cuentas de almacenamiento deben restringir el acceso a la red mediante el uso de reglas de red virtual	Proteja las cuentas de almacenamiento frente a amenazas potenciales mediante reglas de red virtual como método preferente en lugar de filtrado basado en IP. La deshabilitación del filtrado basado en IP evita que las direcciones IP públicas accedan a las cuentas de almacenamiento.	Audit, Deny, Disabled	1.0.1
Las cuentas de almacenamiento deben usar un vínculo privado.	Azure Private Link permite conectar la red virtual a servicios de Azure sin una dirección IP pública en el origen o el destino. La plataforma Private Link administra la conectividad entre el consumidor y los servicios a través de la red troncal de Azure. Al asignar puntos de conexión privados a su cuenta de almacenamiento, se reduce el riesgo de pérdida de datos. Más información sobre los vínculos privados en https://aka.ms/azureprivatelinkoverview.	AuditIfNotExists, Disabled	2.0.0

Implementación de un firewall en el perímetro de la red empresarial

Id.: Punto de referencia de seguridad en la nube de Microsoft NS-3 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
[Vista previa]: Todo el tráfico de Internet debe enrutarse mediante la instancia de Azure Firewall implementada	Azure Security Center ha identificado que algunas de las subredes no están protegidas con un firewall de próxima generación. Proteja las subredes frente a posibles amenazas mediante la restricción del acceso a ellas con Azure Firewall o un firewall de próxima generación compatible.	AuditIfNotExists, Disabled	3.0.0-preview
El reenvío de IP en la máquina virtual debe estar deshabilitado	Habilitar el reenvío de IP en la NIC de la máquina virtual permite que la máquina reciba tráfico dirigido a otros destinos. El reenvío de IP rara vez es necesario (por ejemplo, cuando se usa la máquina virtual como una aplicación virtual de red) y, por lo tanto, el equipo de seguridad de red debe revisarlo.	AuditIfNotExists, Disabled	3.0.0
Los puertos de administración de las máquinas virtuales deben protegerse con el control de acceso de red Just-In-Time.	Azure Security Center supervisará el posible acceso de red Just-In-Time (JIT) como recomendaciones.	AuditIfNotExists, Disabled	3.0.0
Se deben cerrar los puertos de administración en las máquinas virtuales	Los puertos de administración remota abiertos exponen la máquina virtual a un alto nivel de riesgo de recibir ataques basados en Internet. Estos ataques intentan averiguar las credenciales por medio de fuerza bruta a fin de obtener acceso de administrador a la máquina	AuditIfNotExists, Disabled	3.0.0

Implementación de DDOS Protection

Id.: Punto de referencia de seguridad en la nube de Microsoft NS-5 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Azure DDoS Protection debe estar habilitado	DDoS Protection debe estar habilitado en todas las redes virtuales que tengan una subred que forme parte de una instancia de Application Gateway con una dirección IP pública.	AuditIfNotExists, Disabled	3.0.1

Implementación del firewall de aplicaciones web

Id.: Punto de referencia de seguridad en la nube de Microsoft NS-6 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Azure Web Application Firewall debe estar habilitado para los puntos de entrada de Azure Front Door	Implemente Azure Web Application Firewall (WAF) delante de las aplicaciones web de acceso público para una inspección adicional del tráfico entrante. Web Application Firewall (WAF) ofrece una protección centralizada de las aplicaciones web frente a vulnerabilidades de seguridad comunes, como la inyección de SQL, el scripting entre sitios y las ejecuciones de archivos locales y remotas. También permite restringir el acceso a las aplicaciones web por países, intervalos de direcciones IP y otros parámetros http(s) por medio de reglas personalizadas.	Audit, Deny, Disabled	1.0.2
El firewall de aplicaciones web (WAF) debe estar habilitado para Application Gateway	Implemente Azure Web Application Firewall (WAF) delante de las aplicaciones web de acceso público para una inspección adicional del tráfico entrante. Web Application Firewall (WAF) ofrece una protección centralizada de las aplicaciones web frente a vulnerabilidades de seguridad comunes, como la inyección de SQL, el scripting entre sitios y las ejecuciones de archivos locales y remotas. También permite restringir el acceso a las aplicaciones web por países, intervalos de direcciones IP y otros parámetros http(s) por medio de reglas personalizadas.	Audit, Deny, Disabled	2.0.0

Detección y deshabilitación de protocolos y servicios no seguros

Id.: Punto de referencia de seguridad en la nube de Microsoft NS-8 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las aplicaciones de App Service deben usar la última versión de TLS	Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de App Service con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión.	AuditIfNotExists, Disabled	2.0.1
Las aplicaciones de funciones deben usar la última versión de TLS	Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de funciones con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión.	AuditIfNotExists, Disabled	2.0.1

Administración de identidades

Uso de una identidad centralizada y un sistema de autenticación

Id.: Punto de referencia de seguridad en la nube de Microsoft IM-1 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Se debe proporcionar un administrador de Microsoft Entra para servidores de PostgreSQL	Permite aprovisionar un administrador de Microsoft Entra para el servidor de PostgreSQL a fin de habilitar la autenticación de Microsoft Entra. La autenticación de Microsoft Entra permite la administración simplificada de permisos y la administración centralizada de identidades de usuarios de base de datos y otros servicios de Microsoft	AuditIfNotExists, Disabled	1.0.1
El administrador de Azure Active Directory debe aprovisionarse para servidores SQL Server	Permite aprovisionar un administrador de Azure Active Directory para SQL Server a fin de habilitar la autenticación de Azure AD. La autenticación de Azure AD permite la administración simplificada de permisos y la administración centralizada de identidades de usuarios de base de datos y otros servicios de Microsoft	AuditIfNotExists, Disabled	1.0.0
Los recursos del Servicios de Azure AI deben tener deshabilitado el acceso a claves (deshabilitar la autenticación local)	Se recomienda deshabilitar el acceso a las claves (autenticación local) por temas de seguridad. Azure OpenAI Studio, que normalmente se usa en los entornos de desarrollo y pruebas, requiere acceso a las claves y no funcionará si dicho acceso está deshabilitado. Después de deshabilitarlo, Microsoft Entra ID se convierte en el único método de acceso, lo que permite mantener el principio de privilegios mínimos y el control pormenorizado. Más información en: https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
Los procesos de Azure Machine Learning deberían tener deshabilitados los métodos de autenticación local	Deshabilitar los métodos de autenticación local mejora la seguridad ya que garantiza que los procesos de Machine Learning requieran identidades de Azure Active Directory exclusivamente para la autenticación. Más información en: https://aka.ms/azure-ml-aad-policy.	Audit, Deny, Disabled	2.1.0
Azure SQL Database debe tener habilitada solo la autenticación de Microsoft Entra	Requerir que los servidores lógicos de Azure SQL usen solo autenticación de Microsoft Entra. Esta directiva no impide que los servidores se creen con la autenticación local habilitada. Impide que la autenticación local se habilite en los recursos después de crearla. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/adonlycreate.	Audit, Deny, Disabled	1.0.0
Azure SQL Database debe tener habilitada la autenticación solo de Microsoft Entra durante la creación	Requerir que los servidores lógicos de Azure SQL se creen con la autenticación solo de Microsoft Entra. Esta directiva no impide que la autenticación local se vuelva a habilitar en los recursos después de su creación. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/adonlycreate.	Audit, Deny, Disabled	1.2.0
Azure SQL Managed Instance debe tener habilitada solo la autenticación de Microsoft Entra	Requerir que Azure SQL Managed Instance use la autenticación solo de Microsoft Entra. Esta directiva no impide que las instancias administradas de Azure SQL se creen con la autenticación local habilitada. Impide que la autenticación local se habilite en los recursos después de crearla. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/adonlycreate.	Audit, Deny, Disabled	1.0.0
Las instancias administradas de Azure SQL deben tener habilitada la autenticación solo de Microsoft Entra durante la creación	Requerir que Azure SQL Managed Instance se cree con la autenticación solo de Microsoft Entra. Esta directiva no impide que la autenticación local se vuelva a habilitar en los recursos después de su creación. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/adonlycreate.	Audit, Deny, Disabled	1.2.0
Los clústeres de Service Fabric solo deben usar Azure Active Directory para la autenticación de cliente	Permite auditar el uso de la autenticación de clientes solo mediante Azure Active Directory en Service Fabric	Audit, Deny, Disabled	1.1.0
Las cuentas de almacenamiento deben evitar el acceso a claves compartidas	Requisito de auditoría de Azure Active Directory (Azure AD) para autorizar las solicitudes de la cuenta de almacenamiento. De forma predeterminada, las solicitudes se pueden autorizar con credenciales de Azure Active Directory o mediante la clave de acceso de la cuenta para la autorización con clave compartida. De estos dos tipos de autorización, Azure AD proporciona mayor seguridad y facilidad de uso a través de la clave compartida y es el que Microsoft recomienda.	Audit, Deny, Disabled	2.0.0
Las áreas de trabajo de Synapse deben tener habilitada la autenticación solo de Microsoft Entra	Requerir que las áreas de trabajo de Synapse usen la autenticación solo de Microsoft Entra. Esta directiva no impide que se creen áreas de trabajo con la autenticación local habilitada. Impide que la autenticación local se habilite en los recursos después de crearla. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/Synapse.	Audit, Deny, Disabled	1.0.0
Las áreas de trabajo de Synapse solo deben usar identidades de Microsoft Entra para la autenticación durante la creación del área de trabajo	Requerir que las áreas de trabajo de Synapse se creen con la autenticación solo de Microsoft Entra. Esta directiva no impide que la autenticación local se vuelva a habilitar en los recursos después de su creación. Considere la posibilidad de usar la iniciativa "Autenticación solo de Microsoft Entra" en su lugar para requerir ambos. Más información en: https://aka.ms/Synapse.	Audit, Deny, Disabled	1.2.0
Las puertas de enlace de VPN solo deben usar la autenticación de Azure Active Directory (Azure AD) para los usuarios de punto a sitio	La deshabilitación de los métodos de autenticación local mejora la seguridad, ya que garantiza que las instancias de VPN Gateway usen exclusivamente identidades de Azure Active Directory para la autenticación. Puede encontrar más información sobre la autenticación de Azure AD en https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant.	Audit, Deny, Disabled	1.0.0

Administración de identidades de aplicaciones de forma segura y automática

Id.: Punto de referencia de seguridad en la nube de Microsoft IM-3 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las aplicaciones de App Service deben usar la identidad administrada	Usa una identidad administrada para la seguridad de autenticación mejorada.	AuditIfNotExists, Disabled	3.0.0
Las aplicaciones de funciones deben usar la identidad administrada	Usa una identidad administrada para la seguridad de autenticación mejorada.	AuditIfNotExists, Disabled	3.0.0
La extensión "Configuración de invitado" de las máquinas virtuales debe implementarse con una identidad administrada asignada por el sistema	La extensión Configuración de invitado requiere una identidad administrada asignada por el sistema. Si las máquinas virtuales de Azure incluidas en el ámbito de esta directiva tienen instalada la extensión "Configuración de invitado" pero no tienen una identidad administrada asignada por el sistema, no cumplirán los requisitos establecidos. Más información en https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.1

Autenticación de servidores y servicios

Id.: Punto de referencia de seguridad en la nube de Microsoft IM-4 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Azure SQL Database debe ejecutar TLS versión 1.2 o posterior	Si la versión de TLS se establece en 1.2 o una versión posterior, la seguridad mejora al garantizar que solo se tenga acceso a Azure SQL Database desde clientes que utilicen TLS 1.2 o una versión posterior. El uso de versiones de TLS anteriores a la versión 1.2 no se recomienda, ya que presentan vulnerabilidades de seguridad bien documentadas.	Audit, Disabled, Deny	2.0.0

Uso de controles de autenticación sólida

Id.: Punto de referencia de seguridad en la nube de Microsoft IM-6 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Deben estar habilitadas para MFA las cuentas con permisos de propietario de los recursos de Azure.	Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de propietario, a fin de evitar una brecha de seguridad en las cuentas o los recursos.	AuditIfNotExists, Disabled	1.0.0
Deben estar habilitadas para MFA las cuentas con permisos de lectura de los recursos de Azure.	Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de lectura, a fin de evitar una brecha de seguridad en las cuentas o los recursos.	AuditIfNotExists, Disabled	1.0.0
Deben estar habilitadas para MFA las cuentas con permisos de escritura de los recursos de Azure.	Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de escritura, a fin de evitar una brecha de seguridad en las cuentas o los recursos.	AuditIfNotExists, Disabled	1.0.0

Acceso con privilegios

Separación y limitación de usuarios administrativos o con muchos privilegios

Id.: Punto de referencia de seguridad en la nube de Microsoft PA-1 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Debe designar un máximo de tres propietarios para la suscripción	Se recomienda que designe a un máximo de tres propietarios de suscripción para reducir el riesgo de una brecha de seguridad por parte de un propietario en peligro.	AuditIfNotExists, Disabled	3.0.0
Deben quitarse las cuentas bloqueadas con permisos de propietario de los recursos de Azure.	Quitar de la suscripción las cuentas en desuso con permisos de propietario Las cuentas en desuso son cuentas en las que se ha bloqueado el inicio de sesión.	AuditIfNotExists, Disabled	1.0.0
Deben quitarse las cuentas de invitado con permisos de propietario de los recursos de Azure.	Las cuentas externas con permisos de propietario deben quitarse de la suscripción a fin de evitar el acceso no supervisado.	AuditIfNotExists, Disabled	1.0.0
Debe haber más de un propietario asignado a la suscripción	Se recomienda que designe a más de un propietario de la suscripción para tener redundancia de acceso de administrador.	AuditIfNotExists, Disabled	3.0.0

Evitar el acceso permanente en cuentas y permisos

Id.: Punto de referencia de seguridad en la nube de Microsoft PA-2 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Los puertos de administración de las máquinas virtuales deben protegerse con el control de acceso de red Just-In-Time.	Azure Security Center supervisará el posible acceso de red Just-In-Time (JIT) como recomendaciones.	AuditIfNotExists, Disabled	3.0.0

Revisión y conciliación de manera periódica del acceso de los usuarios

Id.: Punto de referencia de seguridad en la nube de Microsoft PA-4 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Deben quitarse las cuentas bloqueadas con permisos de propietario de los recursos de Azure.	Quitar de la suscripción las cuentas en desuso con permisos de propietario Las cuentas en desuso son cuentas en las que se ha bloqueado el inicio de sesión.	AuditIfNotExists, Disabled	1.0.0
Deben quitarse las cuentas bloqueadas con permisos de lectura y escritura de los recursos de Azure.	Convendría eliminar las cuentas en desuso de las suscripciones. Las cuentas en desuso son cuentas en las que se ha bloqueado el inicio de sesión.	AuditIfNotExists, Disabled	1.0.0
Deben quitarse las cuentas de invitado con permisos de propietario de los recursos de Azure.	Las cuentas externas con permisos de propietario deben quitarse de la suscripción a fin de evitar el acceso no supervisado.	AuditIfNotExists, Disabled	1.0.0
Deben quitarse las cuentas de invitado con permisos de lectura de los recursos de Azure.	Las cuentas externas con privilegios de lectura deben quitarse de la suscripción a fin de evitar el acceso no supervisado.	AuditIfNotExists, Disabled	1.0.0
Deben quitarse las cuentas de invitado con permisos de escritura de los recursos de Azure.	Las cuentas externas con privilegios de escritura deben quitarse de la suscripción a fin de evitar el acceso no supervisado.	AuditIfNotExists, Disabled	1.0.0

Seguimiento del principio Just Enough Administration (privilegio mínimo)

Id.: Punto de referencia de seguridad en la nube de Microsoft PA-7 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Auditar el uso de roles RBAC personalizados	Permite auditar roles integrados, como "propietario, colaborador, lector" en lugar de roles RBAC personalizados, que son propensos a errores de auditoría. El uso de roles personalizados se trata como una excepción y requiere una revisión rigurosa y el modelado de amenazas.	Audit, Disabled	1.0.1
El control de acceso basado en roles (RBAC) de Azure debe usarse en los servicios de Kubernetes	Para proporcionar un filtrado detallado de las acciones que los usuarios pueden realizar, use el control de acceso basado en rol (RBAC) de Azure para administrar los permisos en los clústeres de Kubernetes Service y configurar las directivas de autorización correspondientes.	Audit, Disabled	1.0.3

Protección de datos

Supervisión de anomalías y amenazas dirigidas a datos confidenciales

Id.: Punto de referencia de seguridad en la nube de Microsoft DP-2 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Se debe habilitar Azure Defender para servidores de Azure SQL Database	Azure Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales.	AuditIfNotExists, Disabled	1.0.2
Azure Defender para SQL debe habilitarse en las instancias de SQL Managed Instances desprotegidas.	Permite auditr cada servicio SQL Managed Instance sin Advanced Data Security.	AuditIfNotExists, Disabled	1.0.2
Microsoft Defender para Storage (Clásico) debe estar habilitado	Microsoft Defender para Storage (Clásico) proporciona detecciones de intentos inusuales y potencialmente dañinos para acceder a las cuentas de almacenamiento o aprovechar alguna vulnerabilidad de seguridad.	AuditIfNotExists, Disabled	1.0.4

Cifrar los datos confidenciales en tránsito

Id.: Punto de referencia de seguridad en la nube de Microsoft DP-3 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las aplicaciones de App Service solo deben ser accesibles a través de HTTPS	El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red.	Audit, Disabled, Deny	4.0.0
Las aplicaciones de App Service deben requerir solo FTPS	Habilite el cumplimiento con FTPS para mejorar la seguridad.	AuditIfNotExists, Disabled	3.0.0
Las aplicaciones de App Service deben usar la última versión de TLS	Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de App Service con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión.	AuditIfNotExists, Disabled	2.0.1
Azure SQL Database should be running TLS version 1.2 or newer	Si la versión de TLS se establece en 1.2 o una versión posterior, la seguridad mejora al garantizar que solo se tenga acceso a Azure SQL Database desde clientes que utilicen TLS 1.2 o una versión posterior. El uso de versiones de TLS anteriores a la versión 1.2 no se recomienda, ya que presentan vulnerabilidades de seguridad bien documentadas.	Audit, Disabled, Deny	2.0.0
Exigir una conexión SSL debe estar habilitado en los servidores de bases de datos MySQL	Azure Database for MySQL permite conectar el servidor de Azure Database for MySQL con aplicaciones cliente mediante Capa de sockets seguros (SSL). La aplicación de conexiones SSL entre el servidor de bases de datos y las aplicaciones cliente facilita la protección frente a ataques de tipo "Man in the middle" al cifrar el flujo de datos entre el servidor y la aplicación. Esta configuración exige que SSL esté siempre habilitado para el acceso al servidor de bases de datos.	Audit, Disabled	1.0.1
La aplicación de la conexión SSL debe estar habilitada para los servidores de base de datos PostgreSQL	Azure Database for PostgreSQL permite conectar el servidor de Azure Database for PostgreSQL a las aplicaciones cliente mediante la Capa de sockets seguros (SSL). La aplicación de conexiones SSL entre el servidor de bases de datos y las aplicaciones cliente facilita la protección frente a ataques de tipo "Man in the middle" al cifrar el flujo de datos entre el servidor y la aplicación. Esta configuración exige que SSL esté siempre habilitado para el acceso al servidor de bases de datos.	Audit, Disabled	1.0.1
Las aplicaciones de funciones solo deberían ser accesibles a través de HTTPS	El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red.	Audit, Disabled, Deny	5.0.0
Las aplicaciones de funciones solo deben requerir FTPS	Habilite el cumplimiento con FTPS para mejorar la seguridad.	AuditIfNotExists, Disabled	3.0.0
Las aplicaciones de funciones deben usar la última versión de TLS	Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de funciones con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión.	AuditIfNotExists, Disabled	2.0.1
Los clústeres de Kubernetes solo deben ser accesibles a través de HTTPS	El uso de HTTPS garantiza la autenticación y protege los datos en tránsito frente a ataques de intercepción de nivel de red. Esta capacidad está disponible actualmente con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para más información, visite https://aka.ms/kubepolicydoc	audit, Audit, deny, Deny, disabled, Disabled	9.1.0
Solo se deben habilitar las conexiones seguras a la instancia de Azure Cache for Redis.	Permite auditar la habilitación solo de conexiones a Azure Cache for Redis a través de SSL. El uso de conexiones seguras garantiza la autenticación entre el servidor y el servicio, y protege los datos en tránsito de ataques de nivel de red, como "man in-the-middle", interceptación y secuestro de sesión	Audit, Deny, Disabled	1.0.0
Se debe habilitar la transferencia segura a las cuentas de almacenamiento	Permite auditar el requisito de transferencia segura en la cuenta de almacenamiento. La transferencia segura es una opción que obliga a la cuenta de almacenamiento a aceptar solamente solicitudes de conexiones seguras (HTTPS). El uso de HTTPS garantiza la autenticación entre el servidor y el servicio, y protege los datos en tránsito de ataques de nivel de red, como los de tipo "Man in the middle", interceptación y secuestro de sesión	Audit, Deny, Disabled	2.0.0

Habilitación del cifrado de datos en reposo de manera predeterminada

Id.: Punto de referencia de seguridad en la nube de Microsoft DP-4 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las variables de cuenta de Automation deben cifrarse	Es importante habilitar el cifrado de recursos de variables de cuentas de Automation al almacenar datos confidenciales.	Audit, Deny, Disabled	1.1.0
Se debe establecer la propiedad ClusterProtectionLevel en EncryptAndSign en los clústeres de Service Fabric	Service Fabric proporciona tres niveles de protección (None, Sign y EncryptAndSign) para la comunicación de nodo a nodo mediante un certificado de clúster principal. Establezca el nivel de protección para asegurarse de que todos los mensajes de nodo a nodo se cifran y se firman digitalmente.	Audit, Deny, Disabled	1.1.0
El cifrado de datos transparente en bases de datos SQL debe estar habilitado	El cifrado de datos transparente debe estar habilitado para proteger los datos en reposo y satisfacer los requisitos de cumplimiento.	AuditIfNotExists, Disabled	2.0.0
Las máquinas virtuales y los conjuntos de escalado de máquinas virtuales deben tener habilitado el cifrado en el host	Use el cifrado en el host para obtener el cifrado de un extremo a otro para la máquina virtual y los datos del conjunto de escalado de máquinas virtuales. El cifrado en el host permite el cifrado en reposo para las memorias caché de disco temporal y de sistema operativo y de datos. Los discos temporales y los discos de SO efímeros se cifran con claves administradas por la plataforma cuando se habilita el cifrado en el host. Las memorias caché del disco de datos y de sistema operativo se cifran en reposo con claves administradas por el cliente o por la plataforma, según el tipo de cifrado seleccionado en el disco. Obtenga más información en https://aka.ms/vm-hbe.	Audit, Deny, Disabled	1.0.0
Las máquinas virtuales deben cifrar los discos temporales, las cachés y los flujos de datos entre los recursos de Proceso y Almacenamiento	De manera predeterminada, los discos del sistema operativo y de datos de una máquina virtual se cifran en reposo mediante claves administradas por la plataforma. Los discos temporales, las memorias caché de datos y los datos que fluyen entre el proceso y el almacenamiento no se cifran. Ignore esta recomendación si: 1. Se utiliza el cifrado en el host, o 2. El cifrado del lado servidor en Managed Disks cumple sus requisitos de seguridad. Obtenga más información en: Cifrado del lado servidor de Azure Disk Storage: https://aka.ms/disksse, Diferentes ofertas de cifrado de disco: https://aka.ms/diskencryptioncomparison	AuditIfNotExists, Disabled	2.0.3

Uso de la opción de clave administrada por el cliente en el cifrado de datos en reposo cuando sea necesario

Id.: Punto de referencia de seguridad en la nube de Microsoft DP-5 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las cuentas de Azure Cosmos DB deben usar claves administradas por el cliente para cifrar los datos en reposo	Use claves administradas por el cliente para administrar el cifrado en reposo de la instancia de Azure Cosmos DB. De manera predeterminada, los datos se cifran en reposo con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/cosmosdb-cmk.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Las áreas de trabajo de Azure Machine Learning deben cifrarse con una clave administrada por el cliente.	Administre el cifrado en reposo de los datos del área de trabajo de Azure Machine Learning con claves administradas por el cliente. De manera predeterminada, los datos del cliente se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/azureml-workspaces-cmk.	Audit, Deny, Disabled	1.0.3
Las cuentas de Cognitive Services deben habilitar el cifrado de datos con una clave administrada por el cliente.	Las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos almacenados en Cognitive Services con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Para más información sobre las claves administradas por el cliente, consulte https://go.microsoft.com/fwlink/?linkid=2121321.	Audit, Deny, Disabled	2.1.0
Los registros de contenedor deben cifrarse con una clave administrada por el cliente	Use claves administradas por el cliente para administrar el cifrado en reposo del contenido de los registros. De manera predeterminada, los datos se cifran en reposo con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/acr/CMK.	Audit, Deny, Disabled	1.1.2
Los servidores PostgreSQL deben usar claves administradas por el cliente para cifrar los datos en reposo.	Use claves administradas por el cliente para administrar el cifrado en reposo de los servidores PostgreSQL. De manera predeterminada, los datos se cifran en reposo con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración.	AuditIfNotExists, Disabled	1.0.4
Las cuentas de almacenamiento deben utilizar una clave administrada por el cliente para el cifrado	Proteja su cuenta de almacenamiento de blobs y archivos con mayor flexibilidad mediante claves administradas por el cliente. Cuando se especifica una clave administrada por el cliente, esa clave se usa para proteger y controlar el acceso a la clave que cifra los datos. El uso de claves administradas por el cliente proporciona funcionalidades adicionales para controlar la rotación de la clave de cifrado de claves o para borrar datos mediante criptografía.	Audit, Disabled	1.0.3

Confirmación de la seguridad de un repositorio de claves y certificados

Id.: Punto de referencia de seguridad en la nube de Microsoft DP-8 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Los almacenes de claves deben tener habilitada la protección contra eliminación	La eliminación malintencionada de un almacén de claves puede provocar una pérdida de datos permanente. Puede evitar la pérdida permanente de datos habilitando la protección de purga y la eliminación temporal. La protección contra purgas le protege frente a ataques internos mediante la aplicación de un período de retención obligatorio para almacenes de claves eliminados temporalmente. Ningún usuario de su organización o Microsoft podrá purgar los almacenes de claves durante el período de retención de eliminación temporal. Tenga en cuenta que los almacenes de claves creados después del 1 de septiembre de 2019 tienen habilitada la eliminación temporal de manera predeterminada.	Audit, Deny, Disabled	2.1.0
Los almacenes de claves deben tener habilitada la eliminación temporal	Si se elimina un almacén de claves que no tenga habilitada la eliminación temporal, se eliminarán permanentemente todos los secretos, claves y certificados almacenados en ese almacén de claves. La eliminación accidental de un almacén de claves puede provocar una pérdida de datos permanente. La eliminación temporal permite recuperar un almacén de claves eliminado accidentalmente durante un período de retención configurable.	Audit, Deny, Disabled	3.0.0
Los registros de recursos de Key Vault deben estar habilitados	Habilitación de la auditoría de los registros de recursos. De esta forma, puede volver a crear seguimientos de actividad con fines de investigación en caso de incidentes de seguridad o riesgos para la red.	AuditIfNotExists, Disabled	5.0.0

Administración de recursos

Uso exclusivo de los servicios aprobados

Id.: Punto de referencia de seguridad en la nube de Microsoft AM-2 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Se deben migrar las cuentas de almacenamiento a los nuevos recursos de Azure Resource Manager	Use el nuevo Azure Resource Manager para las cuentas de almacenamiento a fin de proporcionar mejoras de seguridad como las siguientes: mayor control de acceso (RBAC), mejor auditoría, gobernanza e implementación basados en Azure Resource Manager, acceso a las identidades administradas, acceso a los secretos de Key Vault, autenticación basada en Azure AD y compatibilidad con las etiquetas y los grupos de recursos para facilitar la administración de seguridad.	Audit, Deny, Disabled	1.0.0
Se deben migrar las máquinas virtuales a nuevos recursos de Azure Resource Manager	Use el nuevo Azure Resource Manager para las máquinas virtuales a fin de proporcionar mejoras de seguridad como las siguientes: mayor control de acceso (RBAC), mejor auditoría, gobernanza e implementación basados en Azure Resource Manager, acceso a identidades administradas, acceso a secretos de Key Vault, autenticación basada en Azure AD y compatibilidad con etiquetas y grupos de recursos para facilitar la administración de seguridad.	Audit, Deny, Disabled	1.0.0

Uso exclusivo de aplicaciones aprobadas en una máquina virtual

Id.: Punto de referencia de seguridad en la nube de Microsoft AM-5 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Los controles de aplicaciones adaptables para definir aplicaciones seguras deben estar habilitados en las máquinas	Habilite controles de aplicaciones para definir la lista de aplicaciones seguras conocidas que se ejecutan en las máquinas, y recibir avisos cuando se ejecuten otras aplicaciones. Esta directiva también ayuda a proteger las máquinas frente al malware. Para simplificar el proceso de configuración y mantenimiento de las reglas, Security Center usa el aprendizaje automático para analizar las aplicaciones que se ejecutan en cada máquina y sugerir la lista de aplicaciones seguras conocidas.	AuditIfNotExists, Disabled	3.0.0
Se deben actualizar las reglas de la lista de permitidos de la directiva de controles de aplicaciones adaptables	Supervise los cambios en el comportamiento de los grupos de máquinas configurados para la auditoría mediante controles de aplicaciones adaptables de Azure Security Center. Security Center usa el aprendizaje automático para analizar los procesos en ejecución en las máquinas y sugerir una lista de aplicaciones seguras conocidas. Estas se presentan como aplicaciones recomendadas que se deben permitir en directivas de control de aplicaciones adaptables.	AuditIfNotExists, Disabled	3.0.0

registro y detección de amenazas

Habilitación de capacidades de detección de amenazas

Id.: Punto de referencia de seguridad en la nube de Microsoft LT-1 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
[Versión preliminar]: Los clústeres de Kubernetes con Azure Arc habilitado deben tener instalada la extensión de Microsoft Defender for Cloud	La extensión Microsoft Defender for Cloud para Azure Arc proporciona protección contra amenazas para los clústeres de Kubernetes habilitados para Arc. La extensión recopila datos de todos los nodos del clúster y los envía al back-end de Azure Defender para Kubernetes en la nube para su posterior análisis. Puede encontrar más información en https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	4.0.1-preview
Se debe habilitar Azure Defender para servidores de Azure SQL Database	Azure Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales.	AuditIfNotExists, Disabled	1.0.2
Se debe habilitar Azure Defender para Resource Manager	Azure Defender para Resource Manager supervisa automáticamente las operaciones de administración de recursos de la organización. Azure Defender detecta amenazas y alerta sobre actividades sospechosas. Obtenga más información sobre las funcionalidades de Azure Defender para Resource Manager en https://aka.ms/defender-for-resource-manager. La habilitación de este plan de Azure Defender conlleva cargos. Obtenga información sobre los detalles de los precios por región en la página de precios de Security Center: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Se debe habilitar Azure Defender para servidores	Azure Defender para servidores proporciona protección en tiempo real contra amenazas para las cargas de trabajo del servidor y genera recomendaciones de protección, así como alertas sobre la actividad sospechosa.	AuditIfNotExists, Disabled	1.0.3
Azure Defender para SQL debe estar habilitado para servidores flexibles de PostgreSQL desprotegidos	Auditoría de servidores flexibles de PostgreSQL sin Advanced Data Security	AuditIfNotExists, Disabled	1.0.0
Azure Defender para SQL debe habilitarse en las instancias de SQL Managed Instances desprotegidas.	Permite auditr cada servicio SQL Managed Instance sin Advanced Data Security.	AuditIfNotExists, Disabled	1.0.2
Microsoft Defender para contenedores debería estar habilitado	Microsoft Defender para contenedores proporciona protección, evaluación de vulnerabilidades y protecciones en tiempo de ejecución para los entornos de Kubernetes de Azure, híbridos y multinube.	AuditIfNotExists, Disabled	1.0.0
Se debe habilitar Microsoft Defender para SQL para las áreas de trabajo de Synapse	Habilite Defender para SQL para proteger las áreas de trabajo de Synapse. Defender for SQL supervisa el Synapse SQL para detectar actividades anómalas que indiquen intentos inusuales y potencialmente peligrosos de acceder a las bases de datos o de aprovechar sus vulnerabilidades.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender para Storage (Clásico) debe estar habilitado	Microsoft Defender para Storage (Clásico) proporciona detecciones de intentos inusuales y potencialmente dañinos para acceder a las cuentas de almacenamiento o aprovechar alguna vulnerabilidad de seguridad.	AuditIfNotExists, Disabled	1.0.4

Habilitación de la detección de amenazas para la administración de identidades y accesos

Id.: Punto de referencia de seguridad en la nube de Microsoft LT-2 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
[Versión preliminar]: Los clústeres de Kubernetes con Azure Arc habilitado deben tener instalada la extensión de Microsoft Defender for Cloud	La extensión Microsoft Defender for Cloud para Azure Arc proporciona protección contra amenazas para los clústeres de Kubernetes habilitados para Arc. La extensión recopila datos de todos los nodos del clúster y los envía al back-end de Azure Defender para Kubernetes en la nube para su posterior análisis. Puede encontrar más información en https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	4.0.1-preview
Se debe habilitar Azure Defender para servidores de Azure SQL Database	Azure Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales.	AuditIfNotExists, Disabled	1.0.2
Se debe habilitar Azure Defender para Resource Manager	Azure Defender para Resource Manager supervisa automáticamente las operaciones de administración de recursos de la organización. Azure Defender detecta amenazas y alerta sobre actividades sospechosas. Obtenga más información sobre las funcionalidades de Azure Defender para Resource Manager en https://aka.ms/defender-for-resource-manager. La habilitación de este plan de Azure Defender conlleva cargos. Obtenga información sobre los detalles de los precios por región en la página de precios de Security Center: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Se debe habilitar Azure Defender para servidores	Azure Defender para servidores proporciona protección en tiempo real contra amenazas para las cargas de trabajo del servidor y genera recomendaciones de protección, así como alertas sobre la actividad sospechosa.	AuditIfNotExists, Disabled	1.0.3
Azure Defender para SQL debe estar habilitado para servidores flexibles de PostgreSQL desprotegidos	Auditoría de servidores flexibles de PostgreSQL sin Advanced Data Security	AuditIfNotExists, Disabled	1.0.0
Azure Defender para SQL debe habilitarse en las instancias de SQL Managed Instances desprotegidas.	Permite auditr cada servicio SQL Managed Instance sin Advanced Data Security.	AuditIfNotExists, Disabled	1.0.2
Microsoft Defender para contenedores debería estar habilitado	Microsoft Defender para contenedores proporciona protección, evaluación de vulnerabilidades y protecciones en tiempo de ejecución para los entornos de Kubernetes de Azure, híbridos y multinube.	AuditIfNotExists, Disabled	1.0.0
Se debe habilitar Microsoft Defender para SQL para las áreas de trabajo de Synapse	Habilite Defender para SQL para proteger las áreas de trabajo de Synapse. Defender for SQL supervisa el Synapse SQL para detectar actividades anómalas que indiquen intentos inusuales y potencialmente peligrosos de acceder a las bases de datos o de aprovechar sus vulnerabilidades.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender para Storage (Clásico) debe estar habilitado	Microsoft Defender para Storage (Clásico) proporciona detecciones de intentos inusuales y potencialmente dañinos para acceder a las cuentas de almacenamiento o aprovechar alguna vulnerabilidad de seguridad.	AuditIfNotExists, Disabled	1.0.4

Habilitación del registro para la investigación de seguridad

Id.: Punto de referencia de seguridad en la nube de Microsoft LT-3 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las aplicaciones de App Service deben tener activados los registros de recursos	Audite la habilitación de los registros de recursos en la aplicación. Esto le permite volver a crear seguimientos de actividad con fines de investigación si se produce un incidente de seguridad o se pone en peligro la red.	AuditIfNotExists, Disabled	2.0.1
La auditoría de SQL Server debe estar habilitada	La auditoría debe estar habilitada en SQL Server para realizar un seguimiento de las actividades de todas las bases de datos del servidor y guardarlas en un registro de auditoría.	AuditIfNotExists, Disabled	2.0.0
Los registros de recursos de Azure Data Lake Store deben estar habilitados.	Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red.	AuditIfNotExists, Disabled	5.0.0
Los registros de recursos en las áreas de trabajo de Azure Databricks deben estar habilitados	Los registros de recursos habilitan que se vuelvan a crear seguimientos de actividad con fines de investigación en caso de que se produzcan incidentes de seguridad o riesgos para la red.	AuditIfNotExists, Disabled	1.0.1
Los registros de recursos de Azure Kubernetes Service se deben habilitar	Los registros de recursos de Azure Kubernetes Service pueden ayudar a volver a crear trazos de actividad al investigar incidentes de seguridad. Habilite esta opción para asegurarse de que los registros existirán cuando sea necesario	AuditIfNotExists, Disabled	1.0.0
Los registros de recursos del área de trabajo de Azure Machine Learning deben estar habilitados	Los registros de recursos habilitan que se vuelvan a crear seguimientos de actividad con fines de investigación en caso de que se produzcan incidentes de seguridad o riesgos para la red.	AuditIfNotExists, Disabled	1.0.1
Los registros de recursos de Azure Stream Analytics deben estar habilitados.	Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red.	AuditIfNotExists, Disabled	5.0.0
Los registros de recursos de las cuentas de Batch deben estar habilitados.	Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red.	AuditIfNotExists, Disabled	5.0.0
Los registros de recursos de Data Lake Analytics deben estar habilitados	Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red.	AuditIfNotExists, Disabled	5.0.0
Los registros de recursos de la instancia de Event Hubs deben estar habilitados.	Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red.	AuditIfNotExists, Disabled	5.0.0
Los registros de recursos de Key Vault deben estar habilitados	Habilitación de la auditoría de los registros de recursos. De esta forma, puede volver a crear seguimientos de actividad con fines de investigación en caso de incidentes de seguridad o riesgos para la red.	AuditIfNotExists, Disabled	5.0.0
Los registros de recursos de Logic Apps deben estar habilitados	Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red.	AuditIfNotExists, Disabled	5.1.0
Los registros de recursos de los servicios Search deben estar habilitados.	Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red.	AuditIfNotExists, Disabled	5.0.0
Los registros de recursos de Service Bus deben estar habilitados	Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red.	AuditIfNotExists, Disabled	5.0.0

Centralizar la administración y el análisis de los registros de seguridad

Id.: Punto de referencia de seguridad en la nube de Microsoft LT-5 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
El aprovisionamiento automático del agente de Log Analytics debe estar habilitado en la suscripción	A fin de supervisar las amenazas y vulnerabilidades de seguridad, Azure Security Center recopila datos de las máquinas virtuales de Azure. El agente de Log Analytics, anteriormente conocido como Microsoft Monitoring Agent (MMA), recopila los datos al leer distintas configuraciones relacionadas con la seguridad y distintos registros de eventos de la máquina y copiar los datos en el área de trabajo de Log Analytics para analizarlos. Se recomienda habilitar el aprovisionamiento automático para implementar automáticamente el agente en todas las máquinas virtuales de Azure admitidas y en las nuevas que se creen.	AuditIfNotExists, Disabled	1.0.1
El agente de Log Analytics debe instalarse en la máquina virtual para la supervisión de Azure Security Center.	Esta directiva audita cualquier máquina virtual Windows o Linux si el agente de Log Analytics no está instalado y Security Center la utiliza para supervisar las amenazas y vulnerabilidades de seguridad	AuditIfNotExists, Disabled	1.0.0
El agente de Log Analytics debe instalarse en sus conjuntos de escalado de máquinas virtuales para supervisar Azure Security Center.	Security Center recopila datos de las máquinas virtuales de Azure para supervisar las amenazas y vulnerabilidades de la seguridad.	AuditIfNotExists, Disabled	1.0.0

Configuración de la retención del almacenamiento de registros

Id.: Punto de referencia de seguridad en la nube de Microsoft LT-6 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Los servidores SQL Server con auditoría en el destino de la cuenta de almacenamiento se deben configurar con una retención de 90 días o superior.	Con fines de investigación de incidentes, se recomienda establecer la retención de datos de auditoría de las instancias de SQL Server en el destino de la cuenta de almacenamiento en al menos 90 días. Confirme que cumple las reglas de retención necesarias para las regiones en las que trabaja. A veces, es necesario para cumplir con los estándares normativos.	AuditIfNotExists, Disabled	3.0.0

Respuesta a los incidentes

Preparación: notificación de incidentes de configuración

Id.: Punto de referencia de seguridad en la nube de Microsoft IR-2 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
La opción para enviar notificaciones por correo electrónico para alertas de gravedad alta debe estar habilitada.	Para asegurarse de que las personas pertinentes de la organización reciban una notificación cuando se produzca una vulneración de seguridad potencial en una de las suscripciones, habilite las notificaciones por correo electrónico de alertas de gravedad alta en Security Center.	AuditIfNotExists, Disabled	1.0.1
La opción para enviar notificaciones por correo electrónico al propietario de la suscripción en relación a alertas de gravedad alta debe estar habilitada.	Para asegurarse de que los propietarios de suscripciones reciban una notificación cuando se produzca una vulneración de seguridad potencial en sus suscripciones, establezca notificaciones por correo electrónico a los propietarios de las suscripciones de alertas de gravedad alta en Security Center.	AuditIfNotExists, Disabled	2.0.0
Las suscripciones deben tener una dirección de correo electrónico de contacto para los problemas de seguridad	Para asegurarse de que las personas pertinentes de la organización reciban una notificación cuando se produzca una vulneración de seguridad potencial en una de las suscripciones, establezca un contacto de seguridad para la recepción de notificaciones por correo electrónico de Security Center.	AuditIfNotExists, Disabled	1.0.1

Detección y análisis: creación de incidentes en función de alertas de alta calidad

Id.: Punto de referencia de seguridad en la nube de Microsoft IR-3 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Se debe habilitar Azure Defender para servidores de Azure SQL Database	Azure Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales.	AuditIfNotExists, Disabled	1.0.2
Se debe habilitar Azure Defender para Resource Manager	Azure Defender para Resource Manager supervisa automáticamente las operaciones de administración de recursos de la organización. Azure Defender detecta amenazas y alerta sobre actividades sospechosas. Obtenga más información sobre las funcionalidades de Azure Defender para Resource Manager en https://aka.ms/defender-for-resource-manager. La habilitación de este plan de Azure Defender conlleva cargos. Obtenga información sobre los detalles de los precios por región en la página de precios de Security Center: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Se debe habilitar Azure Defender para servidores	Azure Defender para servidores proporciona protección en tiempo real contra amenazas para las cargas de trabajo del servidor y genera recomendaciones de protección, así como alertas sobre la actividad sospechosa.	AuditIfNotExists, Disabled	1.0.3
Azure Defender para SQL debe estar habilitado para servidores flexibles de PostgreSQL desprotegidos	Auditoría de servidores flexibles de PostgreSQL sin Advanced Data Security	AuditIfNotExists, Disabled	1.0.0
Azure Defender para SQL debe habilitarse en las instancias de SQL Managed Instances desprotegidas.	Permite auditr cada servicio SQL Managed Instance sin Advanced Data Security.	AuditIfNotExists, Disabled	1.0.2
Microsoft Defender para contenedores debería estar habilitado	Microsoft Defender para contenedores proporciona protección, evaluación de vulnerabilidades y protecciones en tiempo de ejecución para los entornos de Kubernetes de Azure, híbridos y multinube.	AuditIfNotExists, Disabled	1.0.0
Se debe habilitar Microsoft Defender para SQL para las áreas de trabajo de Synapse	Habilite Defender para SQL para proteger las áreas de trabajo de Synapse. Defender for SQL supervisa el Synapse SQL para detectar actividades anómalas que indiquen intentos inusuales y potencialmente peligrosos de acceder a las bases de datos o de aprovechar sus vulnerabilidades.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender para Storage (Clásico) debe estar habilitado	Microsoft Defender para Storage (Clásico) proporciona detecciones de intentos inusuales y potencialmente dañinos para acceder a las cuentas de almacenamiento o aprovechar alguna vulnerabilidad de seguridad.	AuditIfNotExists, Disabled	1.0.4

Detección y análisis: investigación de incidentes

Id.: Punto de referencia de seguridad en la nube de Microsoft IR-4 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Network Watcher debe estar habilitado	Network Watcher es un servicio regional que permite supervisar y diagnosticar problemas en un nivel de escenario de red mediante Azure. La supervisión del nivel de escenario permite diagnosticar problemas en una vista de nivel de red de un extremo a otro. Es preciso que se haya creado un grupo de recursos de Network Watcher en todas las regiones en las que haya una red virtual. Si algún grupo de recursos de Network Watcher no está disponible en una región determinada, se habilita una alerta.	AuditIfNotExists, Disabled	3.0.0

Detección y análisis: clasificación de incidentes por orden de prioridad

Id.: Punto de referencia de seguridad en la nube de Microsoft IR-5 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Se debe habilitar Azure Defender para servidores de Azure SQL Database	Azure Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales.	AuditIfNotExists, Disabled	1.0.2
Se debe habilitar Azure Defender para Resource Manager	Azure Defender para Resource Manager supervisa automáticamente las operaciones de administración de recursos de la organización. Azure Defender detecta amenazas y alerta sobre actividades sospechosas. Obtenga más información sobre las funcionalidades de Azure Defender para Resource Manager en https://aka.ms/defender-for-resource-manager. La habilitación de este plan de Azure Defender conlleva cargos. Obtenga información sobre los detalles de los precios por región en la página de precios de Security Center: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Se debe habilitar Azure Defender para servidores	Azure Defender para servidores proporciona protección en tiempo real contra amenazas para las cargas de trabajo del servidor y genera recomendaciones de protección, así como alertas sobre la actividad sospechosa.	AuditIfNotExists, Disabled	1.0.3
Azure Defender para SQL debe estar habilitado para servidores flexibles de PostgreSQL desprotegidos	Auditoría de servidores flexibles de PostgreSQL sin Advanced Data Security	AuditIfNotExists, Disabled	1.0.0
Azure Defender para SQL debe habilitarse en las instancias de SQL Managed Instances desprotegidas.	Permite auditr cada servicio SQL Managed Instance sin Advanced Data Security.	AuditIfNotExists, Disabled	1.0.2
Microsoft Defender para contenedores debería estar habilitado	Microsoft Defender para contenedores proporciona protección, evaluación de vulnerabilidades y protecciones en tiempo de ejecución para los entornos de Kubernetes de Azure, híbridos y multinube.	AuditIfNotExists, Disabled	1.0.0
Se debe habilitar Microsoft Defender para SQL para las áreas de trabajo de Synapse	Habilite Defender para SQL para proteger las áreas de trabajo de Synapse. Defender for SQL supervisa el Synapse SQL para detectar actividades anómalas que indiquen intentos inusuales y potencialmente peligrosos de acceder a las bases de datos o de aprovechar sus vulnerabilidades.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender para Storage (Clásico) debe estar habilitado	Microsoft Defender para Storage (Clásico) proporciona detecciones de intentos inusuales y potencialmente dañinos para acceder a las cuentas de almacenamiento o aprovechar alguna vulnerabilidad de seguridad.	AuditIfNotExists, Disabled	1.0.4

administración de posturas y vulnerabilidades

Auditoría y aplicación de configuraciones seguras

Id.: Punto de referencia de seguridad en la nube de Microsoft PV-2 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
[en desuso]: Las aplicaciones de funciones deben tener habilitados los "Certificados de cliente (certificados de cliente entrantes)"	Los certificados de cliente permiten que la aplicación solicite un certificado para las solicitudes entrantes. Solo los clientes con certificados válidos pueden acceder a la aplicación. Esta directiva se ha reemplazado por una nueva directiva con el mismo nombre porque HTTP 2.0 no admite certificados de cliente.	Audit, Disabled	3.1.0 en desuso
Aplicaciones de App Service deben tener habilitados certificados de cliente (certificados de cliente entrantes)	Los certificados de cliente permiten que la aplicación solicite un certificado para las solicitudes entrantes. Solo los clientes que tienen un certificado válido podrán acceder a la aplicación. Esta directiva se aplica a las aplicaciones con la versión Http establecida en 1.1.	AuditIfNotExists, Disabled	1.0.0
Las aplicaciones de App Service deben tener la depuración remota desactivada	La depuración remota requiere que se abran puertos de entrada en una aplicación de App Service. Se debe desactivar la depuración remota.	AuditIfNotExists, Disabled	2.0.0
Las aplicaciones de App Service no deberían tener CORS configurado para permitir que todos los recursos accedan a sus aplicaciones	El uso compartido de recursos entre orígenes (CORS) no debe permitir que todos los dominios accedan a la aplicación. Permita la interacción con la aplicación solo de los dominios requeridos.	AuditIfNotExists, Disabled	2.0.0
Las instancias de proceso de Azure Machine Learning se deben volver a crear para obtener las actualizaciones de software más recientes	Asegúrese de que las instancias de proceso de Azure Machine Learning se ejecutan en el sistema operativo disponible más reciente. La seguridad se ha mejorado y se han reducido las vulnerabilidades mediante la ejecución con las revisiones de seguridad más recientes. Para más información, visite https://aka.ms/azureml-ci-updates/.	[parameters('effects')]	1.0.3
El complemento Azure Policy para Kubernetes Service (AKS) debería estar instalado y habilitado en sus clústeres	El complemento Azure Policy para Kubernetes Service (AKS) amplía Gatekeeper v3, un webhook del controlador de admisión de Open Policy Agent (OPA), para aplicar imposiciones y medidas de seguridad a escala en los clústeres de forma centralizada y coherente.	Audit, Disabled	1.0.2
Las aplicaciones de funciones deben tener la depuración remota desactivada	La depuración remota requiere que se abran puertos de entrada en las aplicaciones de funciones. Se debe desactivar la depuración remota.	AuditIfNotExists, Disabled	2.0.0
Las aplicaciones de funciones no deben tener CORS configurado para permitir que todos los recursos accedan a las aplicaciones	El uso compartido de recursos entre orígenes (CORS) no debe permitir que todos los dominios accedan a la aplicación de funciones. Permita la interacción con la aplicación de funciones solo de los dominios requeridos.	AuditIfNotExists, Disabled	2.0.0
Asegurarse de que los límites de los recursos de memoria y CPU del contenedor no superan los límites especificados en el clúster de Kubernetes	Aplique límites de recursos de CPU y memoria de contenedor en un clúster de Kubernetes para evitar los ataques de agotamiento de recursos. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	10.1.0
Los contenedores del clúster de Kubernetes no deben compartir el identificador de proceso del host ni el espacio de nombres IPC del host	No permita que los contenedores de pods compartan el espacio de nombres de id. de proceso de host ni el espacio de nombres de IPC de host en un clúster de Kubernetes. Esta recomendación forma parte de las versiones 5.2.2 y 5.2.3 de CIS, diseñadas para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	6.1.0
Los contenedores de clúster de Kubernetes solo deben usar perfiles de AppArmor permitidos	Los contenedores solo deben usar perfiles de AppArmor permitidos en un clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	7.1.1
Los contenedores de clúster de Kubernetes solo deben usar funcionalidades permitidas	Restrinja las funcionalidades para reducir la superficie de contenedores expuesta a ataques en un clúster de Kubernetes. Esta recomendación forma parte de las versiones 5.2.8 y 5.2.9 de CIS, diseñadas para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	7.1.0
Asegurarse de que solo se admiten las imágenes de contenedor permitidas en el clúster de Kubernetes	Use imágenes de registros de confianza para reducir el riesgo de exposición del clúster de Kubernetes a vulnerabilidades desconocidas, problemas de seguridad e imágenes malintencionadas. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	10.1.1
Los contenedores del clúster de Kubernetes deben ejecutarse con un sistema de archivos raíz de solo lectura	Ejecute contenedores con un sistema de archivos raíz de solo lectura para protegerlos de los cambios en tiempo de ejecución con la incorporación de archivos binarios malintencionados a la ruta de acceso en un clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	7.1.0
Los volúmenes hostPath del pod del clúster de Kubernetes solo deben usar rutas de host permitidas	Limite los montajes de volumen hostPath del pod a las rutas de acceso de host permitidas en un clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y Kubernetes habilitado para Azure Arc. Para más información, consulte https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	7.1.1
Los contenedores y pods de clúster de Kubernetes solo deben ejecutarse con identificadores de usuario y grupo aprobados	Controle los id. de usuario, grupo principal, grupo adicional y grupo de sistema de archivos que los pods y los contenedores pueden usar para ejecutarse en un clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	7.1.1
Los pods del clúster de Kubernetes solo pueden usar redes de host e intervalos de puerto permitidos	Restringe el acceso de los pods a la red del host y el intervalo de puertos de host permitidos en un clúster de Kubernetes. Esta recomendación forma parte de la versión 5.2.4 de CIS, diseñada para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	7.1.0
Los servicios de clúster de Kubernetes solo deben escuchar en los puertos permitidos	Restrinja los servicios para que escuchen solo en puertos permitidos para proteger el acceso al clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	9.1.0
No permitir contenedores con privilegios en el clúster de Kubernetes	No permita la creación de contenedores con privilegios en un clúster de Kubernetes. Esta recomendación forma parte de la versión 5.2.1 de CIS, diseñada para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	10.1.0
Los clústeres de Kubernetes deben deshabilitar las credenciales de la API de montaje automático	Deshabilite las credenciales de la API de montaje automático para evitar que un recurso de pod de riesgo ejecute comandos de la API en clústeres de Kubernetes. Para más información, consulte https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	5.1.0
Los clústeres de Kubernetes no deben permitir la elevación de privilegios del contenedor	No permita que los contenedores se ejecuten con elevación de privilegios en la raíz en un clúster de Kubernetes. Esta recomendación forma parte de la versión 5.2.5 de CIS, diseñada para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	8.1.0
Los clústeres de Kubernetes no deben conceder funcionalidades de seguridad CAP_SYS_ADMIN.	Para reducir la superficie expuesta a ataques de sus contenedores, restrinja las funcionalidades CAP_SYS_ADMIN de Linux. Para más información, consulte https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	6.1.0
Los clústeres de Kubernetes no deben usar el espacio de nombres predeterminado	Evite el uso del espacio de nombres predeterminado en los clústeres de Kubernetes para proteger del acceso no autorizado a los tipos de recurso ConfigMap, Pod, Secret, Service y ServiceAccount. Para más información, consulte https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	5.1.0

Auditoría y aplicación de configuraciones seguras para los recursos de proceso

Id.: Punto de referencia de seguridad en la nube de Microsoft PV-4 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
[Versión preliminar]: la extensión de atestación de invitados debe estar instalada en las máquinas virtuales Linux admitidas	Instale la extensión de atestación de invitados en máquinas virtuales Linux compatibles para permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. Una vez instalada, la integridad del arranque se atestiguará mediante la atestación remota. Esta evaluación se aplica a las máquinas virtuales Linux confidenciales y de inicio seguro.	AuditIfNotExists, Disabled	6.0.0 (preliminar)
[Versión preliminar]: la extensión de atestación de invitados debe estar instalada en los conjuntos de escalado de máquinas virtuales Linux admitidos	Instale la extensión de atestación de invitados en conjuntos de escalado de máquinas virtuales Linux compatibles para permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. Una vez instalada, la integridad del arranque se atestiguará mediante la atestación remota. Esta evaluación se aplica a los conjuntos de escalado de máquinas virtuales Linux confidenciales y de inicio seguro.	AuditIfNotExists, Disabled	5.1.0-preview
[Versión preliminar]: la extensión de atestación de invitados debe estar instalada en las máquinas virtuales Windows admitidas	Instale la extensión de atestación de invitados en máquinas virtuales compatibles para permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. Una vez instalada, la integridad del arranque se atestiguará mediante la atestación remota. Esta evaluación se aplica a las máquinas virtuales Windows confidenciales y de inicio seguro.	AuditIfNotExists, Disabled	4.0.0-preview
[Versión preliminar]: la extensión de atestación de invitados debe estar instalada en los conjuntos de escalado de máquinas virtuales Windows admitidos	Instale la extensión de atestación de invitados en conjuntos de escalado de máquinas virtuales compatibles para permitir que Azure Security Center atestigüe y supervise proactivamente la integridad del arranque. Una vez instalada, la integridad del arranque se atestiguará mediante la atestación remota. Esta evaluación se aplica a los conjuntos de escalado de máquinas virtuales Windows confidenciales y de inicio seguro.	AuditIfNotExists, Disabled	3.1.0: versión preliminar
[Versión preliminar]: el arranque seguro debe estar habilitado en las máquinas virtuales Windows admitidas	La habilitación del arranque seguro en máquinas virtuales Windows admitidas ayuda a mitigar los cambios malintencionados y no autorizados en la cadena de arranque. Una vez habilitado, solo se permitirá la ejecución de cargadores de arranque de confianza, del kernel y de controladores de kernel. Esta evaluación se aplica a las máquinas virtuales Windows confidenciales y de inicio seguro.	Audit, Disabled	4.0.0-preview
[Versión preliminar]: vTPM debe estar habilitado en las máquinas virtuales admitidas	Habilite el dispositivo TPM virtual en máquinas virtuales compatibles para facilitar el arranque medido y otras características de seguridad del sistema operativo que requieren un TPM. Una vez habilitado, vTPM se puede usar para atestiguar la integridad del arranque. Esta evaluación solo se aplica a las máquinas virtuales habilitadas para el inicio seguro.	Audit, Disabled	2.0.0-preview
La extensión "Configuración de invitado" debe estar instalada en las máquinas	Para garantizar la seguridad de la configuración de invitado, instale la extensión "Configuración de invitado". La configuración de invitado supervisada en la extensión engloba la configuración del sistema operativo, la configuración o presencia de las aplicaciones y la configuración del entorno. Una vez instaladas, las directivas de invitado estarán disponibles como "La protección contra vulnerabilidades de Windows debe estar habilitada.". Obtenga más información en https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.2
La extensión "Configuración de invitado" de las máquinas virtuales debe implementarse con una identidad administrada asignada por el sistema	La extensión Configuración de invitado requiere una identidad administrada asignada por el sistema. Si las máquinas virtuales de Azure incluidas en el ámbito de esta directiva tienen instalada la extensión "Configuración de invitado" pero no tienen una identidad administrada asignada por el sistema, no cumplirán los requisitos establecidos. Más información en https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.1

Reparación rápida y automática de vulnerabilidades

Id.: Punto de referencia de seguridad en la nube de Microsoft PV-6 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las vulnerabilidades de las imágenes del contenedor del registro de Azure deben resolverse (con tecnología de Administración de vulnerabilidades de Microsoft Defender)	La evaluación de vulnerabilidades de la imagen de contenedor examina el registro para detectar vulnerabilidades conocidas (CVE) y proporciona un informe detallado de vulnerabilidades para cada imagen. La resolución de vulnerabilidades puede mejorar considerablemente la posición de seguridad, lo que garantiza que las imágenes sean seguras para usarlas antes de la implementación.	AuditIfNotExists, Disabled	1.0.1
Las vulnerabilidades de las imágenes del contenedor en ejecución de Azure deben resolverse (con la tecnología de Administración de vulnerabilidades de Microsoft Defender)	La evaluación de vulnerabilidades de la imagen de contenedor examina el registro para detectar vulnerabilidades conocidas (CVE) y proporciona un informe detallado de vulnerabilidades para cada imagen. Esta recomendación proporciona visibilidad de las imágenes vulnerables que se ejecutan actualmente en los clústeres de Kubernetes. La corrección de vulnerabilidades en imágenes de contenedor que se están ejecutando actualmente es clave para mejorar la posición de seguridad, lo que reduce significativamente la superficie expuesta a ataques para las cargas de trabajo en contenedores.	AuditIfNotExists, Disabled	1.0.1
Las bases de datos SQL deben tener resueltos los hallazgos de vulnerabilidades.	Permite supervisar los resultados del examen de evaluación de puntos vulnerables y las recomendaciones para solucionar los de las bases de datos.	AuditIfNotExists, Disabled	4.1.0
Los servidores SQL de las máquinas deben tener resueltos los hallazgos de vulnerabilidades.	La evaluación de vulnerabilidades de SQL examina la base de datos en busca de vulnerabilidades de seguridad y expone las posibles desviaciones de los procedimientos recomendados, como errores de configuración, permisos excesivos y datos confidenciales sin protección. La corrección de las vulnerabilidades detectadas puede mejorar considerablemente la posición de seguridad de la base de datos.	AuditIfNotExists, Disabled	1.0.0
Se deben instalar las actualizaciones del sistema en los conjuntos de escalado de máquinas virtuales	Audite si falta alguna actualización de seguridad del sistema o actualización crítica que deba instalarse para garantizar que los conjuntos de escalado de máquinas virtuales Windows y Linux sean seguros.	AuditIfNotExists, Disabled	3.0.0
Se deben instalar actualizaciones del sistema en las máquinas	Azure Security Center supervisará las actualizaciones del sistema de seguridad que faltan en los servidores como recomendaciones.	AuditIfNotExists, Disabled	3.0.0
Las vulnerabilidades en las configuraciones de seguridad de contenedor deben corregirse	Audite las vulnerabilidades en la configuración de seguridad de las máquinas con Docker instalado y muéstrelas como recomendaciones en Azure Security Center.	AuditIfNotExists, Disabled	3.0.0
Se deben corregir las vulnerabilidades en la configuración de seguridad en las máquinas	Azure Security Center supervisará los servidores que no cumplan la línea de base configurada como recomendaciones.	AuditIfNotExists, Disabled	3.1.0
Se deben corregir las vulnerabilidades en la configuración de seguridad de los conjuntos de escalado de máquinas virtuales	Audite las vulnerabilidades del sistema operativo en los conjuntos de escalado de máquinas virtuales para protegerlos frente a ataques.	AuditIfNotExists, Disabled	3.0.0

seguridad de los puntos de conexión

uso de la detección y respuesta de puntos de conexión (EDR)

Id.: Punto de referencia de seguridad en la nube de Microsoft ES-1 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Se debe habilitar Azure Defender para servidores	Azure Defender para servidores proporciona protección en tiempo real contra amenazas para las cargas de trabajo del servidor y genera recomendaciones de protección, así como alertas sobre la actividad sospechosa.	AuditIfNotExists, Disabled	1.0.3

Uso de software anti-malware moderno

Id.: Punto de referencia de seguridad en la nube de Microsoft ES-2 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
La solución de protección del punto de conexión debe instalarse en las máquinas virtuales	Audite la existencia y el estado de una solución de protección de puntos de conexión en los conjuntos de escalado de máquinas virtuales para protegerlos frente a amenazas y vulnerabilidades.	AuditIfNotExists, Disabled	3.0.0
Supervisar la falta de Endpoint Protection en Azure Security Center	Azure Security Center supervisará los servidores sin un agente de Endpoint Protection instalado como recomendaciones.	AuditIfNotExists, Disabled	3.1.0

Copia de seguridad y recuperación

Garantía de copias de seguridad automáticas periódicas

Id.: Punto de referencia de seguridad en la nube de Microsoft BR-1 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Azure Backup debe estar habilitado para Virtual Machines.	Asegúrese que Azure Virtual Machines está protegido; para ello, habilite Azure Backup. Azure Backup es una solución de protección de datos segura y rentable para Azure.	AuditIfNotExists, Disabled	3.0.0
La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for MariaDB	Azure Database for MariaDB le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor.	Audit, Disabled	1.0.1
La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for MySQL	Azure Database for MySQL le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor.	Audit, Disabled	1.0.1
La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for PostgreSQL	Azure Database for PostgreSQL le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor.	Audit, Disabled	1.0.1

Protección de datos de recuperación y copia de seguridad

Id.: Punto de referencia de seguridad en la nube de Microsoft BR-2 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Azure Backup debe estar habilitado para Virtual Machines.	Asegúrese que Azure Virtual Machines está protegido; para ello, habilite Azure Backup. Azure Backup es una solución de protección de datos segura y rentable para Azure.	AuditIfNotExists, Disabled	3.0.0
La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for MariaDB	Azure Database for MariaDB le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor.	Audit, Disabled	1.0.1
La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for MySQL	Azure Database for MySQL le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor.	Audit, Disabled	1.0.1
La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for PostgreSQL	Azure Database for PostgreSQL le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor.	Audit, Disabled	1.0.1

Seguridad de DevOps

Aplicación de seguridad de cargas de trabajo mediante el ciclo de vida de DevOps

Id.: Punto de referencia de seguridad en la nube de Microsoft DS-6 Propiedad: Compartida

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las vulnerabilidades de las imágenes del contenedor del registro de Azure deben resolverse (con tecnología de Administración de vulnerabilidades de Microsoft Defender)	La evaluación de vulnerabilidades de la imagen de contenedor examina el registro para detectar vulnerabilidades conocidas (CVE) y proporciona un informe detallado de vulnerabilidades para cada imagen. La resolución de vulnerabilidades puede mejorar considerablemente la posición de seguridad, lo que garantiza que las imágenes sean seguras para usarlas antes de la implementación.	AuditIfNotExists, Disabled	1.0.1
Las vulnerabilidades de las imágenes del contenedor en ejecución de Azure deben resolverse (con la tecnología de Administración de vulnerabilidades de Microsoft Defender)	La evaluación de vulnerabilidades de la imagen de contenedor examina el registro para detectar vulnerabilidades conocidas (CVE) y proporciona un informe detallado de vulnerabilidades para cada imagen. Esta recomendación proporciona visibilidad de las imágenes vulnerables que se ejecutan actualmente en los clústeres de Kubernetes. La corrección de vulnerabilidades en imágenes de contenedor que se están ejecutando actualmente es clave para mejorar la posición de seguridad, lo que reduce significativamente la superficie expuesta a ataques para las cargas de trabajo en contenedores.	AuditIfNotExists, Disabled	1.0.1
Las vulnerabilidades en las configuraciones de seguridad de contenedor deben corregirse	Audite las vulnerabilidades en la configuración de seguridad de las máquinas con Docker instalado y muéstrelas como recomendaciones en Azure Security Center.	AuditIfNotExists, Disabled	3.0.0

Pasos siguientes

Artículos adicionales sobre Azure Policy:

• Introducción al Cumplimiento normativo.
• Consulte la estructura de definición de la iniciativa.
• Consulte más ejemplos en Ejemplos de Azure Policy.
• Vea la Descripción de los efectos de directivas.
• Obtenga información sobre cómo corregir recursos no compatibles.