A Tartalék Bank of India informatikai keretrendszerének részletei a Bankok v2016 Szabályozási megfelelőség beépített kezdeményezéséhez

Az alábbi cikk azt ismerteti, hogy az Azure Policy Regulatory Compliance beépített kezdeményezésdefiníciója hogyan képezi le a megfelelőségi tartományokat és -vezérlőket a Reserve Bank of India IT Framework for Banks v2016-ban. További információ erről a megfelelőségi szabványról: Reserve Bank of India IT Framework for Banks v2016. A tulajdonjog megismeréséhez tekintse meg az Azure Policy szabályzatdefinícióját és a felhő megosztott felelősségét.

Az alábbi leképezések az Indiai Tartalék Bank 2016-os banki informatikai keretrendszeréhez tartoznak. Számos vezérlő egy Azure Policy-kezdeményezési definícióval van implementálva. A kezdeményezés teljes definíciójának áttekintéséhez nyissa meg a Szabályzatot az Azure Portalon, és válassza a Definíciók lapot. Ezután keresse meg és válassza ki az [Előzetes verzió]: Reserve Bank of India – It Framework for Banks Regulatory Compliance beépített kezdeményezési definícióját.

Fontos

Az alábbi vezérlők egy vagy több Azure Policy-definícióhoz lesznek társítva. Ezek a szabályzatok segíthetnek felmérni a vezérlőnek való megfelelőséget , azonban gyakran nem egy az egyhez vagy teljes egyezés van egy vezérlő és egy vagy több szabályzat között. Így az Azure Policy-beli megfelelőség csak magukra a szabályzatdefiníciókra vonatkozik; ez nem biztosítja, hogy teljes mértékben megfeleljen a vezérlők minden követelményének. Emellett a megfelelőségi szabvány olyan vezérlőket is tartalmaz, amelyeket jelenleg egyetlen Azure Policy-definíció sem kezel. Ezért az Azure Policy megfelelősége csak részlegesen tekinti át a teljes megfelelőségi állapotot. A megfelelőségi tartomány, a vezérlők és az Azure Policy-definíciók közötti társítások idővel változhatnak. A változáselőzmények megtekintéséhez tekintse meg a GitHub véglegesítési előzményeit.

Hitelesítési keretrendszer ügyfeleknek

Authentication Framework For Customers-9.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Az Azure-erőforrások tulajdonosi engedélyekkel rendelkező fiókjai számára engedélyezni kell az MFA-t	A többtényezős hitelesítést (MFA) minden tulajdonosi engedéllyel rendelkező előfizetési fiók esetében engedélyezni kell, hogy megelőzze a fiókok vagy erőforrások megsértését.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások olvasási engedélyeivel rendelkező fiókoknak engedélyezni kell az MFA-t	A többtényezős hitelesítést (MFA) minden olvasási jogosultsággal rendelkező előfizetési fiók esetében engedélyezni kell, hogy megelőzze a fiókok vagy erőforrások megsértését.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások írási engedélyekkel rendelkező fiókjai számára engedélyezni kell az MFA-t	A többtényezős hitelesítést (MFA) minden írási jogosultsággal rendelkező előfizetési fiók esetében engedélyezni kell, hogy megelőzze a fiókok vagy erőforrások megsértését.	AuditIfNotExists, Disabled	1.0.0
A Linux rendszerű gépek hitelesítéséhez SSH-kulcsok szükségesek	Bár maga az SSH titkosított kapcsolatot biztosít, a jelszavak SSH-val való használata továbbra is sebezhetővé teszi a virtuális gépet a találgatásos támadások ellen. Az Azure Linux rendszerű virtuális gépek SSH-val történő hitelesítésének legbiztonságosabb lehetősége egy nyilvános és privát kulcspár, más néven SSH-kulcsok használata. További információ: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed.	AuditIfNotExists, Disabled	3.2.0

Authentication Framework For Customers-9.3

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Az Azure-erőforrások tulajdonosi engedélyekkel rendelkező fiókjai számára engedélyezni kell az MFA-t	A többtényezős hitelesítést (MFA) minden tulajdonosi engedéllyel rendelkező előfizetési fiók esetében engedélyezni kell, hogy megelőzze a fiókok vagy erőforrások megsértését.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások olvasási engedélyeivel rendelkező fiókoknak engedélyezni kell az MFA-t	A többtényezős hitelesítést (MFA) minden olvasási jogosultsággal rendelkező előfizetési fiók esetében engedélyezni kell, hogy megelőzze a fiókok vagy erőforrások megsértését.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások írási engedélyekkel rendelkező fiókjai számára engedélyezni kell az MFA-t	A többtényezős hitelesítést (MFA) minden írási jogosultsággal rendelkező előfizetési fiók esetében engedélyezni kell, hogy megelőzze a fiókok vagy erőforrások megsértését.	AuditIfNotExists, Disabled	1.0.0
A Linux rendszerű gépek hitelesítéséhez SSH-kulcsok szükségesek	Bár maga az SSH titkosított kapcsolatot biztosít, a jelszavak SSH-val való használata továbbra is sebezhetővé teszi a virtuális gépet a találgatásos támadások ellen. Az Azure Linux rendszerű virtuális gépek SSH-val történő hitelesítésének legbiztonságosabb lehetősége egy nyilvános és privát kulcspár, más néven SSH-kulcsok használata. További információ: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed.	AuditIfNotExists, Disabled	3.2.0
Az Azure-erőforrások tulajdonosi engedélyeivel rendelkező vendégfiókokat el kell távolítani	A nem figyelt hozzáférés megakadályozása érdekében el kell távolítani a tulajdonosi engedélyekkel rendelkező külső fiókokat az előfizetésből.	AuditIfNotExists, Disabled	1.0.0
El kell távolítani az Azure-erőforrások olvasási engedélyeivel rendelkező vendégfiókokat	Az olvasási jogosultságokkal rendelkező külső fiókokat el kell távolítani az előfizetésből a nem figyelt hozzáférés megakadályozása érdekében.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrásokra vonatkozó írási engedélyekkel rendelkező vendégfiókokat el kell távolítani	Az írási jogosultságokkal rendelkező külső fiókokat el kell távolítani az előfizetésből a nem figyelt hozzáférés megakadályozása érdekében.	AuditIfNotExists, Disabled	1.0.0

Hálózatkezelés és biztonság

Network Inventory-4.2

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
[Előzetes verzió]: Az összes internetes forgalmat az üzembe helyezett Azure Firewallon keresztül kell irányítani	Az Azure Security Center megállapította, hogy egyes alhálózatok nem védettek egy következő generációs tűzfallal. Az alhálózatok védelme a lehetséges fenyegetések ellen az Azure Firewall vagy egy támogatott következő generációs tűzfal használatával történő hozzáférés korlátozásával	AuditIfNotExists, Disabled	3.0.0-előzetes verzió
[Előzetes verzió]: A hálózati adatgyűjtő ügynököt Linux rendszerű virtuális gépekre kell telepíteni	A Security Center a Microsoft Dependency-ügynökkel gyűjti össze a hálózati forgalmi adatokat az Azure-beli virtuális gépekről, hogy olyan speciális hálózatvédelmi funkciókat engedélyezzen, mint a hálózati térképen látható forgalomvizualizáció, a hálózatmegerősítési javaslatok és az adott hálózati fenyegetések.	AuditIfNotExists, Disabled	1.0.2-előzetes verzió
[Előzetes verzió]: A hálózati adatgyűjtő ügynököt windowsos virtuális gépekre kell telepíteni	A Security Center a Microsoft Dependency-ügynökkel gyűjti össze a hálózati forgalmi adatokat az Azure-beli virtuális gépekről, hogy olyan speciális hálózatvédelmi funkciókat engedélyezzen, mint a hálózati térképen látható forgalomvizualizáció, a hálózatmegerősítési javaslatok és az adott hálózati fenyegetések.	AuditIfNotExists, Disabled	1.0.2-előzetes verzió
A biztonságos alkalmazások meghatározásához használható adaptív alkalmazásvezérlőket engedélyezni kell a gépeken	Engedélyezheti az alkalmazásvezérlők számára, hogy meghatározzák a gépeken futó ismert alkalmazások listáját, és riasztást küldhessenek, amikor más alkalmazások futnak. Ez segít megkeményíteni a gépeket a kártevők ellen. A szabályok konfigurálásának és karbantartásának egyszerűsítése érdekében a Security Center gépi tanulással elemzi az egyes gépeken futó alkalmazásokat, és javaslatot tesz az ismert biztonságos alkalmazások listájára.	AuditIfNotExists, Disabled	3.0.0
Frissíteni kell az adaptív alkalmazásvezérlési szabályzat engedélyezési listára vonatkozó szabályait	Figyelheti az Azure Security Center adaptív alkalmazásvezérlői által naplózásra konfigurált gépcsoportok viselkedésének változásait. A Security Center gépi tanulással elemzi a gépeken futó folyamatokat, és javaslatot tesz az ismerten biztonságos alkalmazások listájára. Ezek ajánlott alkalmazásként jelennek meg az adaptív alkalmazásvezérlési szabályzatok engedélyezéséhez.	AuditIfNotExists, Disabled	3.0.0
A Network Watcher folyamatnaplóinak engedélyezniük kell a forgalomelemzést	A Traffic Analytics elemzi a folyamatnaplókat, hogy betekintést nyújtson az Azure-felhő forgalmi folyamatába. Segítségével megjelenítheti a hálózati tevékenységeket az Azure-előfizetésekben, azonosíthatja a gyakori pontokat, azonosíthatja a biztonsági fenyegetéseket, megismerheti a forgalmi mintákat, rögzítheti a hálózati helytelen konfigurációkat stb.	Naplózás, letiltva	1.0.1

Hálózati eszköz konfigurációkezelése–4.3

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
[Előzetes verzió]: Az összes internetes forgalmat az üzembe helyezett Azure Firewallon keresztül kell irányítani	Az Azure Security Center megállapította, hogy egyes alhálózatok nem védettek egy következő generációs tűzfallal. Az alhálózatok védelme a lehetséges fenyegetések ellen az Azure Firewall vagy egy támogatott következő generációs tűzfal használatával történő hozzáférés korlátozásával	AuditIfNotExists, Disabled	3.0.0-előzetes verzió
[Előzetes verzió]: a vTPM-et engedélyezni kell a támogatott virtuális gépeken	Engedélyezze a virtuális TPM-eszközt a támogatott virtuális gépeken, hogy megkönnyítse a mért rendszerindítást és más, TPM-t igénylő operációsrendszer-biztonsági funkciókat. Ha engedélyezve van, a vTPM használható a rendszerindítás integritásának igazolására. Ez az értékelés csak a megbízható indításra engedélyezett virtuális gépekre vonatkozik.	Naplózás, letiltva	2.0.0-előzetes verzió
Az adaptív hálózatmegerősítési javaslatokat az internetkapcsolattal rendelkező virtuális gépeken kell alkalmazni	Az Azure Security Center elemzi az internetkapcsolattal rendelkező virtuális gépek forgalmi mintáit, és olyan hálózati biztonsági csoportszabály-javaslatokat nyújt, amelyek csökkentik a potenciális támadási felületet	AuditIfNotExists, Disabled	3.0.0
Minden hálózati portot korlátozni kell a virtuális géphez társított hálózati biztonsági csoportokon	Az Azure Security Center megállapította, hogy a hálózati biztonsági csoportok bejövő szabályai túl megengedőek. A bejövő szabályok nem engedélyezhetik a hozzáférést az "Any" vagy az "Internet" tartományból. Ez lehetővé teheti, hogy a támadók megcélzhassák az erőforrásokat.	AuditIfNotExists, Disabled	3.0.0
Az App Service-alkalmazásoknak engedélyezniük kell az ügyféltanúsítványokat (bejövő ügyféltanúsítványokat)	Az ügyféltanúsítványok lehetővé teszik, hogy az alkalmazás tanúsítványt kérjen a bejövő kérésekhez. Csak az érvényes tanúsítvánnyal rendelkező ügyfelek érhetik el az alkalmazást. Ez a szabályzat az 1.1-es verziójú Http-verziójú alkalmazásokra vonatkozik.	AuditIfNotExists, Disabled	1.0.0
Az App Service-alkalmazásoknak ki kell kapcsolniuk a távoli hibakeresést	A távoli hibakereséshez meg kell nyitni a bejövő portokat egy App Service-alkalmazásban. A távoli hibakeresést ki kell kapcsolni.	AuditIfNotExists, Disabled	2.0.0
Az Azure tűzfalszabályzatának engedélyeznie kell a TLS-ellenőrzést az alkalmazásszabályokon belül	A TLS-ellenőrzés engedélyezése minden alkalmazásszabály esetében ajánlott a HTTPS-ben a rosszindulatú tevékenységek észlelésére, riasztására és enyhítésére. Ha többet szeretne megtudni az Azure Firewall TLS-vizsgálatáról, látogasson el a https://aka.ms/fw-tlsinspect	Naplózás, megtagadás, letiltva	1.0.0
Engedélyezni kell az Azure Web Application Firewall használatát az Azure Front Door belépési pontjaihoz	Az Azure Web Application Firewall (WAF) üzembe helyezése nyilvános elérésű webalkalmazások előtt a bejövő forgalom további ellenőrzéséhez. A webalkalmazási tűzfal (WAF) központi védelmet nyújt a webalkalmazásoknak az olyan gyakori biztonsági rések és biztonsági rések ellen, mint az SQL-injektálások, a helyek közötti szkriptelés, a helyi és távoli fájlvégrehajtások. A webalkalmazásokhoz való hozzáférést országonként, IP-címtartományok és egyéb HTTP-paraméterek szerint is korlátozhatja egyéni szabályokkal.	Naplózás, megtagadás, letiltva	1.0.2
A függvényalkalmazásoknak ki kell kapcsolniuk a távoli hibakeresést	A távoli hibakereséshez meg kell nyitni a bejövő portokat a függvényalkalmazásokon. A távoli hibakeresést ki kell kapcsolni.	AuditIfNotExists, Disabled	2.0.0
Az internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A virtuális gépek védelme a lehetséges fenyegetések ellen a hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Le kell tiltani az IP-továbbítást a virtuális gépen	Az IP-továbbítás engedélyezése a virtuális gép hálózati adapterén lehetővé teszi a gép számára a más célhelyekre címzett forgalom fogadását. Az IP-továbbításra ritkán van szükség (például ha a virtuális gépet hálózati virtuális berendezésként használja), ezért ezt a hálózati biztonsági csapatnak felül kell vizsgálnia.	AuditIfNotExists, Disabled	3.0.0
A virtuális gépek felügyeleti portjainak megfelelő hálózati hozzáférés-vezérléssel kell rendelkeznie	Az Azure Security Center ajánlásként figyeli a lehetséges hálózati just in time (JIT) hozzáférést	AuditIfNotExists, Disabled	3.0.0
A felügyeleti portokat be kell zárni a virtuális gépeken	A nyitott távfelügyeleti portok magas szintű kockázatot jelentenek a virtuális gép számára az internetes támadások miatt. Ezek a támadások megpróbálják találgatással kényszeríteni a hitelesítő adatokat, hogy rendszergazdai hozzáférést szerezzenek a géphez.	AuditIfNotExists, Disabled	3.0.0
A nem internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával megvédheti az internettel nem rendelkező virtuális gépeket a lehetséges fenyegetésektől. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Az alhálózatokat hálózati biztonsági csoporthoz kell társítani	Az alhálózat védelme a lehetséges fenyegetések ellen egy hálózati biztonsági csoporttal (NSG) való hozzáférés korlátozásával. Az NSG-k a hozzáférés-vezérlési lista (ACL) szabályainak listáját tartalmazzák, amelyek engedélyezik vagy letiltják az alhálózat felé történő hálózati forgalmat.	AuditIfNotExists, Disabled	3.0.0
A webalkalmazási tűzfalat (WAF) engedélyezni kell az Application Gatewayhez	Az Azure Web Application Firewall (WAF) üzembe helyezése nyilvános elérésű webalkalmazások előtt a bejövő forgalom további ellenőrzéséhez. A webalkalmazási tűzfal (WAF) központi védelmet nyújt a webalkalmazásoknak az olyan gyakori biztonsági rések és biztonsági rések ellen, mint az SQL-injektálások, a helyek közötti szkriptelés, a helyi és távoli fájlvégrehajtások. A webalkalmazásokhoz való hozzáférést országonként, IP-címtartományok és egyéb HTTP-paraméterek szerint is korlátozhatja egyéni szabályokkal.	Naplózás, megtagadás, letiltva	2.0.0
A webalkalmazási tűzfalnak (WAF) engedélyeznie kell az Application Gateway összes tűzfalszabályát	Az összes webalkalmazási tűzfal (WAF) szabály engedélyezése erősíti az alkalmazás biztonságát, és védi a webalkalmazásokat a gyakori biztonsági résekkel szemben. Ha többet szeretne megtudni a webalkalmazási tűzfalról (WAF) az Application Gateway használatával, látogasson el a https://aka.ms/waf-ag	Naplózás, megtagadás, letiltva	1.0.1

Anomáliadetektálás-4.7

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
[Előzetes verzió]: Az összes internetes forgalmat az üzembe helyezett Azure Firewallon keresztül kell irányítani	Az Azure Security Center megállapította, hogy egyes alhálózatok nem védettek egy következő generációs tűzfallal. Az alhálózatok védelme a lehetséges fenyegetések ellen az Azure Firewall vagy egy támogatott következő generációs tűzfal használatával történő hozzáférés korlátozásával	AuditIfNotExists, Disabled	3.0.0-előzetes verzió
Az adaptív hálózatmegerősítési javaslatokat az internetkapcsolattal rendelkező virtuális gépeken kell alkalmazni	Az Azure Security Center elemzi az internetkapcsolattal rendelkező virtuális gépek forgalmi mintáit, és olyan hálózati biztonsági csoportszabály-javaslatokat nyújt, amelyek csökkentik a potenciális támadási felületet	AuditIfNotExists, Disabled	3.0.0
Minden hálózati portot korlátozni kell a virtuális géphez társított hálózati biztonsági csoportokon	Az Azure Security Center megállapította, hogy a hálózati biztonsági csoportok bejövő szabályai túl megengedőek. A bejövő szabályok nem engedélyezhetik a hozzáférést az "Any" vagy az "Internet" tartományból. Ez lehetővé teheti, hogy a támadók megcélzhassák az erőforrásokat.	AuditIfNotExists, Disabled	3.0.0
Engedélyezni kell az Azure Web Application Firewall használatát az Azure Front Door belépési pontjaihoz	Az Azure Web Application Firewall (WAF) üzembe helyezése nyilvános elérésű webalkalmazások előtt a bejövő forgalom további ellenőrzéséhez. A webalkalmazási tűzfal (WAF) központi védelmet nyújt a webalkalmazásoknak az olyan gyakori biztonsági rések és biztonsági rések ellen, mint az SQL-injektálások, a helyek közötti szkriptelés, a helyi és távoli fájlvégrehajtások. A webalkalmazásokhoz való hozzáférést országonként, IP-címtartományok és egyéb HTTP-paraméterek szerint is korlátozhatja egyéni szabályokkal.	Naplózás, megtagadás, letiltva	1.0.2
Engedélyezni kell a magas súlyosságú riasztások e-mailes értesítését	Ha gondoskodni szeretne arról, hogy a szervezet megfelelő tagjai értesítést kapnak, amikor biztonsági incidens történik az egyik előfizetésében, engedélyezze az e-mailes értesítéseket a Security Centerben a nagy súlyosságú riasztásokhoz.	AuditIfNotExists, Disabled	1.1.0
Engedélyezni kell az előfizetés tulajdonosának küldött e-mail-értesítést a nagy súlyosságú riasztások esetén	Annak biztosítása érdekében, hogy az előfizetés tulajdonosai értesítést kapnak arról, ha biztonsági incidens áll fenn az előfizetésükben, állítson be e-mail-értesítéseket az előfizetés-tulajdonosoknak a Security Center nagy súlyosságú riasztásaihoz.	AuditIfNotExists, Disabled	2.1.0
Az internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A virtuális gépek védelme a lehetséges fenyegetések ellen a hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Le kell tiltani az IP-továbbítást a virtuális gépen	Az IP-továbbítás engedélyezése a virtuális gép hálózati adapterén lehetővé teszi a gép számára a más célhelyekre címzett forgalom fogadását. Az IP-továbbításra ritkán van szükség (például ha a virtuális gépet hálózati virtuális berendezésként használja), ezért ezt a hálózati biztonsági csapatnak felül kell vizsgálnia.	AuditIfNotExists, Disabled	3.0.0
A virtuális gépek felügyeleti portjainak megfelelő hálózati hozzáférés-vezérléssel kell rendelkeznie	Az Azure Security Center ajánlásként figyeli a lehetséges hálózati just in time (JIT) hozzáférést	AuditIfNotExists, Disabled	3.0.0
A felügyeleti portokat be kell zárni a virtuális gépeken	A nyitott távfelügyeleti portok magas szintű kockázatot jelentenek a virtuális gép számára az internetes támadások miatt. Ezek a támadások megpróbálják találgatással kényszeríteni a hitelesítő adatokat, hogy rendszergazdai hozzáférést szerezzenek a géphez.	AuditIfNotExists, Disabled	3.0.0
A nem internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával megvédheti az internettel nem rendelkező virtuális gépeket a lehetséges fenyegetésektől. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Az alhálózatokat hálózati biztonsági csoporthoz kell társítani	Az alhálózat védelme a lehetséges fenyegetések ellen egy hálózati biztonsági csoporttal (NSG) való hozzáférés korlátozásával. Az NSG-k a hozzáférés-vezérlési lista (ACL) szabályainak listáját tartalmazzák, amelyek engedélyezik vagy letiltják az alhálózat felé történő hálózati forgalmat.	AuditIfNotExists, Disabled	3.0.0
Az előfizetéseknek rendelkezniük kell egy kapcsolattartási e-mail-címmel biztonsági problémák esetén	Ha gondoskodni szeretne arról, hogy a szervezet érintett tagjai értesítést kapjanak, amikor biztonsági incidens lép fel az egyik előfizetésében, állítson be egy biztonsági kapcsolattartót, hogy e-mail-értesítéseket kapjon a Security Centertől.	AuditIfNotExists, Disabled	1.0.1
A webalkalmazási tűzfalat (WAF) engedélyezni kell az Application Gatewayhez	Az Azure Web Application Firewall (WAF) üzembe helyezése nyilvános elérésű webalkalmazások előtt a bejövő forgalom további ellenőrzéséhez. A webalkalmazási tűzfal (WAF) központi védelmet nyújt a webalkalmazásoknak az olyan gyakori biztonsági rések és biztonsági rések ellen, mint az SQL-injektálások, a helyek közötti szkriptelés, a helyi és távoli fájlvégrehajtások. A webalkalmazásokhoz való hozzáférést országonként, IP-címtartományok és egyéb HTTP-paraméterek szerint is korlátozhatja egyéni szabályokkal.	Naplózás, megtagadás, letiltva	2.0.0

Security Operation Center-4.9

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Engedélyezni kell az Azure Defender for App Service-t	Az Azure Defender for App Service a felhő skáláját és az Azure felhőszolgáltatói láthatóságát használja a gyakori webalkalmazás-támadások figyeléséhez.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell az Azure Defender for Azure SQL Database-kiszolgálókat	Az Azure Defender for SQL lehetővé teszi az adatbázisok lehetséges biztonsági réseinek feltárását és enyhítését, az SQL-adatbázisok fenyegetéseit jelző rendellenes tevékenységek észlelését, valamint a bizalmas adatok felderítését és besorolását.	AuditIfNotExists, Disabled	1.0.2
Engedélyezni kell az Azure Defender for Key Vaultot	Az Azure Defender for Key Vault további védelmi és biztonságiintelligencia-réteget biztosít a Key Vault-fiókok elérésére vagy kihasználására tett szokatlan és potenciálisan káros kísérletek észlelésével.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell az Azure Defendert a nyílt forráskódú relációs adatbázisokhoz	A nyílt forráskódú relációs adatbázisokhoz készült Azure Defender rendellenes tevékenységeket észlel, amelyek szokatlan és potenciálisan káros kísérleteket jeleznek az adatbázisok elérésére vagy kihasználására. További információ az Azure Defender nyílt forráskódú relációs adatbázisokhoz való képességeiről a következő címen https://aka.ms/AzDforOpenSourceDBsDocu: . Fontos: A terv engedélyezése a nyílt forráskódú relációs adatbázisok védelmének költségeit fogja eredményezni. További információ a Security Center díjszabási oldalán található díjszabásról: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell az Azure Defender for Resource Managert	Az Azure Defender for Resource Manager automatikusan figyeli a szervezet erőforrás-kezelési műveleteit. Az Azure Defender észleli a gyanús tevékenységekkel kapcsolatos fenyegetéseket és riasztásokat. További információ az Azure Defender for Resource Manager képességeiről a következő címen https://aka.ms/defender-for-resource-manager : . Az Azure Defender-csomag engedélyezése díjakat eredményez. A Security Center díjszabási oldalán megismerheti a régiónkénti díjszabás részleteit: https://aka.ms/pricing-security-center .	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell az Azure Defendert a kiszolgálókhoz	A kiszolgálókhoz készült Azure Defender valós idejű fenyegetésvédelmet biztosít a kiszolgálói számítási feladatokhoz, és keményítési javaslatokat és riasztásokat hoz létre a gyanús tevékenységekről.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell a gépeken futó SQL-kiszolgálókhoz készült Azure Defendert	Az Azure Defender for SQL lehetővé teszi az adatbázisok lehetséges biztonsági réseinek feltárását és enyhítését, az SQL-adatbázisok fenyegetéseit jelző rendellenes tevékenységek észlelését, valamint a bizalmas adatok felderítését és besorolását.	AuditIfNotExists, Disabled	1.0.2
Az Azure Defender for SQL-t engedélyezni kell a nem védett Azure SQL-kiszolgálókon	SQL-kiszolgálók naplózása speciális adatbiztonság nélkül	AuditIfNotExists, Disabled	2.0.1
Az Azure Defender for SQL-t engedélyezni kell a nem védett felügyelt SQL-példányokhoz	Minden felügyelt SQL-példány naplózása speciális adatbiztonság nélkül.	AuditIfNotExists, Disabled	1.0.2
Engedélyezni kell a magas súlyosságú riasztások e-mailes értesítését	Ha gondoskodni szeretne arról, hogy a szervezet megfelelő tagjai értesítést kapnak, amikor biztonsági incidens történik az egyik előfizetésében, engedélyezze az e-mailes értesítéseket a Security Centerben a nagy súlyosságú riasztásokhoz.	AuditIfNotExists, Disabled	1.1.0
Engedélyezni kell az előfizetés tulajdonosának küldött e-mail-értesítést a nagy súlyosságú riasztások esetén	Annak biztosítása érdekében, hogy az előfizetés tulajdonosai értesítést kapnak arról, ha biztonsági incidens áll fenn az előfizetésükben, állítson be e-mail-értesítéseket az előfizetés-tulajdonosoknak a Security Center nagy súlyosságú riasztásaihoz.	AuditIfNotExists, Disabled	2.1.0
Engedélyezni kell a Microsoft Defender for Containers szolgáltatást	A Microsoft Defender for Containers az Azure-beli, hibrid és többfelhős Kubernetes-környezetekhez biztosít megkeményedési, sebezhetőségi felmérési és futásidejű védelmet.	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell a Microsoft Defender for Storage használatát	A Microsoft Defender for Storage észleli a tárfiókokat fenyegető potenciális fenyegetéseket. Segít megelőzni az adatokra és számítási feladatokra gyakorolt három fő hatást: rosszindulatú fájlfeltöltéseket, bizalmas adatok kiszivárgását és adatsérülést. Az új Defender for Storage csomag tartalmazza a kártevők vizsgálatát és a bizalmas adatfenyegetések észlelését. Ez a csomag kiszámítható díjszabási struktúrát is biztosít (tárfiókonként) a lefedettség és a költségek szabályozásához.	AuditIfNotExists, Disabled	1.0.0
Engedélyezve kell lennie a Network Watchernek	A Network Watcher egy regionális szolgáltatás, amely lehetővé teszi a feltételek monitorozását és diagnosztizálása hálózati forgatókönyvek szintjén az Azure-ban és az Azure-ban. A forgatókönyvszintű monitorozás lehetővé teszi a problémák diagnosztizálására a végpontok közötti hálózati szintű nézetben. Minden régióban létre kell hozni egy network watcher erőforráscsoportot, ahol virtuális hálózat található. A riasztás akkor engedélyezve van, ha egy hálózati figyelő erőforráscsoportja nem érhető el egy adott régióban.	AuditIfNotExists, Disabled	3.0.0
Az előfizetéseknek rendelkezniük kell egy kapcsolattartási e-mail-címmel biztonsági problémák esetén	Ha gondoskodni szeretne arról, hogy a szervezet érintett tagjai értesítést kapjanak, amikor biztonsági incidens lép fel az egyik előfizetésében, állítson be egy biztonsági kapcsolattartót, hogy e-mail-értesítéseket kapjon a Security Centertől.	AuditIfNotExists, Disabled	1.0.1

Szegélyvédelem és észlelés-4.10

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
[Előzetes verzió]: Az összes internetes forgalmat az üzembe helyezett Azure Firewallon keresztül kell irányítani	Az Azure Security Center megállapította, hogy egyes alhálózatok nem védettek egy következő generációs tűzfallal. Az alhálózatok védelme a lehetséges fenyegetések ellen az Azure Firewall vagy egy támogatott következő generációs tűzfal használatával történő hozzáférés korlátozásával	AuditIfNotExists, Disabled	3.0.0-előzetes verzió
Az adaptív hálózatmegerősítési javaslatokat az internetkapcsolattal rendelkező virtuális gépeken kell alkalmazni	Az Azure Security Center elemzi az internetkapcsolattal rendelkező virtuális gépek forgalmi mintáit, és olyan hálózati biztonsági csoportszabály-javaslatokat nyújt, amelyek csökkentik a potenciális támadási felületet	AuditIfNotExists, Disabled	3.0.0
Minden hálózati portot korlátozni kell a virtuális géphez társított hálózati biztonsági csoportokon	Az Azure Security Center megállapította, hogy a hálózati biztonsági csoportok bejövő szabályai túl megengedőek. A bejövő szabályok nem engedélyezhetik a hozzáférést az "Any" vagy az "Internet" tartományból. Ez lehetővé teheti, hogy a támadók megcélzhassák az erőforrásokat.	AuditIfNotExists, Disabled	3.0.0
Engedélyezni kell az Azure Defendert a kiszolgálókhoz	A kiszolgálókhoz készült Azure Defender valós idejű fenyegetésvédelmet biztosít a kiszolgálói számítási feladatokhoz, és keményítési javaslatokat és riasztásokat hoz létre a gyanús tevékenységekről.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell az Azure Web Application Firewall használatát az Azure Front Door belépési pontjaihoz	Az Azure Web Application Firewall (WAF) üzembe helyezése nyilvános elérésű webalkalmazások előtt a bejövő forgalom további ellenőrzéséhez. A webalkalmazási tűzfal (WAF) központi védelmet nyújt a webalkalmazásoknak az olyan gyakori biztonsági rések és biztonsági rések ellen, mint az SQL-injektálások, a helyek közötti szkriptelés, a helyi és távoli fájlvégrehajtások. A webalkalmazásokhoz való hozzáférést országonként, IP-címtartományok és egyéb HTTP-paraméterek szerint is korlátozhatja egyéni szabályokkal.	Naplózás, megtagadás, letiltva	1.0.2
Az internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A virtuális gépek védelme a lehetséges fenyegetések ellen a hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Le kell tiltani az IP-továbbítást a virtuális gépen	Az IP-továbbítás engedélyezése a virtuális gép hálózati adapterén lehetővé teszi a gép számára a más célhelyekre címzett forgalom fogadását. Az IP-továbbításra ritkán van szükség (például ha a virtuális gépet hálózati virtuális berendezésként használja), ezért ezt a hálózati biztonsági csapatnak felül kell vizsgálnia.	AuditIfNotExists, Disabled	3.0.0
A virtuális gépek felügyeleti portjainak megfelelő hálózati hozzáférés-vezérléssel kell rendelkeznie	Az Azure Security Center ajánlásként figyeli a lehetséges hálózati just in time (JIT) hozzáférést	AuditIfNotExists, Disabled	3.0.0
A felügyeleti portokat be kell zárni a virtuális gépeken	A nyitott távfelügyeleti portok magas szintű kockázatot jelentenek a virtuális gép számára az internetes támadások miatt. Ezek a támadások megpróbálják találgatással kényszeríteni a hitelesítő adatokat, hogy rendszergazdai hozzáférést szerezzenek a géphez.	AuditIfNotExists, Disabled	3.0.0
A nem internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával megvédheti az internettel nem rendelkező virtuális gépeket a lehetséges fenyegetésektől. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Az alhálózatokat hálózati biztonsági csoporthoz kell társítani	Az alhálózat védelme a lehetséges fenyegetések ellen egy hálózati biztonsági csoporttal (NSG) való hozzáférés korlátozásával. Az NSG-k a hozzáférés-vezérlési lista (ACL) szabályainak listáját tartalmazzák, amelyek engedélyezik vagy letiltják az alhálózat felé történő hálózati forgalmat.	AuditIfNotExists, Disabled	3.0.0
A webalkalmazási tűzfalat (WAF) engedélyezni kell az Application Gatewayhez	Az Azure Web Application Firewall (WAF) üzembe helyezése nyilvános elérésű webalkalmazások előtt a bejövő forgalom további ellenőrzéséhez. A webalkalmazási tűzfal (WAF) központi védelmet nyújt a webalkalmazásoknak az olyan gyakori biztonsági rések és biztonsági rések ellen, mint az SQL-injektálások, a helyek közötti szkriptelés, a helyi és távoli fájlvégrehajtások. A webalkalmazásokhoz való hozzáférést országonként, IP-címtartományok és egyéb HTTP-paraméterek szerint is korlátozhatja egyéni szabályokkal.	Naplózás, megtagadás, letiltva	2.0.0

Jogosulatlan szoftverek végrehajtásának megakadályozása

Szoftverleltár-2.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A biztonságos alkalmazások meghatározásához használható adaptív alkalmazásvezérlőket engedélyezni kell a gépeken	Engedélyezheti az alkalmazásvezérlők számára, hogy meghatározzák a gépeken futó ismert alkalmazások listáját, és riasztást küldhessenek, amikor más alkalmazások futnak. Ez segít megkeményíteni a gépeket a kártevők ellen. A szabályok konfigurálásának és karbantartásának egyszerűsítése érdekében a Security Center gépi tanulással elemzi az egyes gépeken futó alkalmazásokat, és javaslatot tesz az ismert biztonságos alkalmazások listájára.	AuditIfNotExists, Disabled	3.0.0
Frissíteni kell az adaptív alkalmazásvezérlési szabályzat engedélyezési listára vonatkozó szabályait	Figyelheti az Azure Security Center adaptív alkalmazásvezérlői által naplózásra konfigurált gépcsoportok viselkedésének változásait. A Security Center gépi tanulással elemzi a gépeken futó folyamatokat, és javaslatot tesz az ismerten biztonságos alkalmazások listájára. Ezek ajánlott alkalmazásként jelennek meg az adaptív alkalmazásvezérlési szabályzatok engedélyezéséhez.	AuditIfNotExists, Disabled	3.0.0

Engedélyezett szoftvertelepítés-2.2

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A biztonságos alkalmazások meghatározásához használható adaptív alkalmazásvezérlőket engedélyezni kell a gépeken	Engedélyezheti az alkalmazásvezérlők számára, hogy meghatározzák a gépeken futó ismert alkalmazások listáját, és riasztást küldhessenek, amikor más alkalmazások futnak. Ez segít megkeményíteni a gépeket a kártevők ellen. A szabályok konfigurálásának és karbantartásának egyszerűsítése érdekében a Security Center gépi tanulással elemzi az egyes gépeken futó alkalmazásokat, és javaslatot tesz az ismert biztonságos alkalmazások listájára.	AuditIfNotExists, Disabled	3.0.0
Frissíteni kell az adaptív alkalmazásvezérlési szabályzat engedélyezési listára vonatkozó szabályait	Figyelheti az Azure Security Center adaptív alkalmazásvezérlői által naplózásra konfigurált gépcsoportok viselkedésének változásait. A Security Center gépi tanulással elemzi a gépeken futó folyamatokat, és javaslatot tesz az ismerten biztonságos alkalmazások listájára. Ezek ajánlott alkalmazásként jelennek meg az adaptív alkalmazásvezérlési szabályzatok engedélyezéséhez.	AuditIfNotExists, Disabled	3.0.0

Security Update Management-2.3

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Az SQL-adatbázisok sebezhetőségi megállapításait meg kell oldani	A sebezhetőségi felmérés eredményeinek és az adatbázis biztonsági réseinek elhárítására vonatkozó javaslatok figyelése.	AuditIfNotExists, Disabled	4.1.0
A gépeken lévő SQL-kiszolgálókon a biztonsági rések megoldásának kell lennie	Az SQL biztonsági rések felmérése biztonsági réseket keres az adatbázisban, és elérhetővé teszi az ajánlott eljárásoktól való eltéréseket, például a helytelen konfigurációkat, a túlzott engedélyeket és a nem védett bizalmas adatokat. A talált biztonsági rések megoldása nagyban javíthatja az adatbázis biztonsági helyzetét.	AuditIfNotExists, Disabled	1.0.0
A virtuálisgép-méretezési csoportok rendszerfrissítéseit telepíteni kell	Naplózza az esetleges hiányzó biztonsági rendszerfrissítéseket és kulcsfontosságú frissítéseket, amelyeket telepíteni kell, hogy Windows és Linux rendszerű virtuálisgép-méretezési csoportjai biztonságban legyenek.	AuditIfNotExists, Disabled	3.0.0
A rendszerfrissítéseket telepíteni kell a gépekre	A kiszolgálók hiányzó biztonsági rendszerfrissítéseit az Azure Security Center ajánlásként figyeli	AuditIfNotExists, Disabled	4.0.0
A tároló biztonsági konfigurációinak biztonsági réseit orvosolni kell	A biztonsági konfiguráció biztonsági réseinek naplózása olyan gépeken, amelyeken a Docker telepítve van, és javaslatokként jelenik meg az Azure Security Centerben.	AuditIfNotExists, Disabled	3.0.0
A gépek biztonsági konfigurációjának biztonsági réseit orvosolni kell	Az Azure Security Center javaslatként figyeli a konfigurált alapkonfigurációnak nem megfelelő kiszolgálókat	AuditIfNotExists, Disabled	3.1.0
A virtuálisgép-méretezési csoportok biztonsági konfigurációjának biztonsági réseit orvosolni kell	Ellenőrizze a virtuálisgép-méretezési csoportok operációsrendszer-biztonsági réseit, hogy megvédje őket a támadásoktól.	AuditIfNotExists, Disabled	3.0.0

Javítás/sebezhetőség > Változáskezelés

Javítás/sebezhetőség > Change Management-7.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A biztonságirés-felmérési megoldást engedélyezni kell a virtuális gépeken	A virtuális gépeket naplózva észleli, hogy támogatott sebezhetőségi felmérési megoldást futtatnak-e. Minden kiberkockázati és biztonsági program alapvető összetevője a biztonsági rések azonosítása és elemzése. Az Azure Security Center standard tarifacsomagja további költségek nélkül tartalmazza a virtuális gépek biztonsági réseinek vizsgálatát. Emellett a Security Center automatikusan üzembe helyezheti ezt az eszközt.	AuditIfNotExists, Disabled	3.0.0
Az SQL-adatbázisok sebezhetőségi megállapításait meg kell oldani	A sebezhetőségi felmérés eredményeinek és az adatbázis biztonsági réseinek elhárítására vonatkozó javaslatok figyelése.	AuditIfNotExists, Disabled	4.1.0
A gépeken lévő SQL-kiszolgálókon a biztonsági rések megoldásának kell lennie	Az SQL biztonsági rések felmérése biztonsági réseket keres az adatbázisban, és elérhetővé teszi az ajánlott eljárásoktól való eltéréseket, például a helytelen konfigurációkat, a túlzott engedélyeket és a nem védett bizalmas adatokat. A talált biztonsági rések megoldása nagyban javíthatja az adatbázis biztonsági helyzetét.	AuditIfNotExists, Disabled	1.0.0
A virtuálisgép-méretezési csoportok rendszerfrissítéseit telepíteni kell	Naplózza az esetleges hiányzó biztonsági rendszerfrissítéseket és kulcsfontosságú frissítéseket, amelyeket telepíteni kell, hogy Windows és Linux rendszerű virtuálisgép-méretezési csoportjai biztonságban legyenek.	AuditIfNotExists, Disabled	3.0.0
A rendszerfrissítéseket telepíteni kell a gépekre	A kiszolgálók hiányzó biztonsági rendszerfrissítéseit az Azure Security Center ajánlásként figyeli	AuditIfNotExists, Disabled	4.0.0
A tároló biztonsági konfigurációinak biztonsági réseit orvosolni kell	A biztonsági konfiguráció biztonsági réseinek naplózása olyan gépeken, amelyeken a Docker telepítve van, és javaslatokként jelenik meg az Azure Security Centerben.	AuditIfNotExists, Disabled	3.0.0
A gépek biztonsági konfigurációjának biztonsági réseit orvosolni kell	Az Azure Security Center javaslatként figyeli a konfigurált alapkonfigurációnak nem megfelelő kiszolgálókat	AuditIfNotExists, Disabled	3.1.0
A virtuálisgép-méretezési csoportok biztonsági konfigurációjának biztonsági réseit orvosolni kell	Ellenőrizze a virtuálisgép-méretezési csoportok operációsrendszer-biztonsági réseit, hogy megvédje őket a támadásoktól.	AuditIfNotExists, Disabled	3.0.0
A sebezhetőségi felmérést engedélyezni kell felügyelt SQL-példányon	Minden olyan felügyelt SQL-példány naplózása, amely nem rendelkezik engedélyezve az ismétlődő biztonságirés-felmérési vizsgálatokkal. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	1.0.1
A sebezhetőségi felmérést engedélyezni kell az SQL-kiszolgálókon	Olyan Azure SQL-kiszolgálók naplózása, amelyeken nincs megfelelően konfigurálva a biztonságirés-felmérés. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	3.0.0

Javítás/sebezhetőség > Change Management-7.2

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A biztonságirés-felmérési megoldást engedélyezni kell a virtuális gépeken	A virtuális gépeket naplózva észleli, hogy támogatott sebezhetőségi felmérési megoldást futtatnak-e. Minden kiberkockázati és biztonsági program alapvető összetevője a biztonsági rések azonosítása és elemzése. Az Azure Security Center standard tarifacsomagja további költségek nélkül tartalmazza a virtuális gépek biztonsági réseinek vizsgálatát. Emellett a Security Center automatikusan üzembe helyezheti ezt az eszközt.	AuditIfNotExists, Disabled	3.0.0
Az SQL-adatbázisok sebezhetőségi megállapításait meg kell oldani	A sebezhetőségi felmérés eredményeinek és az adatbázis biztonsági réseinek elhárítására vonatkozó javaslatok figyelése.	AuditIfNotExists, Disabled	4.1.0
A gépeken lévő SQL-kiszolgálókon a biztonsági rések megoldásának kell lennie	Az SQL biztonsági rések felmérése biztonsági réseket keres az adatbázisban, és elérhetővé teszi az ajánlott eljárásoktól való eltéréseket, például a helytelen konfigurációkat, a túlzott engedélyeket és a nem védett bizalmas adatokat. A talált biztonsági rések megoldása nagyban javíthatja az adatbázis biztonsági helyzetét.	AuditIfNotExists, Disabled	1.0.0
A virtuálisgép-méretezési csoportok rendszerfrissítéseit telepíteni kell	Naplózza az esetleges hiányzó biztonsági rendszerfrissítéseket és kulcsfontosságú frissítéseket, amelyeket telepíteni kell, hogy Windows és Linux rendszerű virtuálisgép-méretezési csoportjai biztonságban legyenek.	AuditIfNotExists, Disabled	3.0.0
A rendszerfrissítéseket telepíteni kell a gépekre	A kiszolgálók hiányzó biztonsági rendszerfrissítéseit az Azure Security Center ajánlásként figyeli	AuditIfNotExists, Disabled	4.0.0
A tároló biztonsági konfigurációinak biztonsági réseit orvosolni kell	A biztonsági konfiguráció biztonsági réseinek naplózása olyan gépeken, amelyeken a Docker telepítve van, és javaslatokként jelenik meg az Azure Security Centerben.	AuditIfNotExists, Disabled	3.0.0
A gépek biztonsági konfigurációjának biztonsági réseit orvosolni kell	Az Azure Security Center javaslatként figyeli a konfigurált alapkonfigurációnak nem megfelelő kiszolgálókat	AuditIfNotExists, Disabled	3.1.0
A virtuálisgép-méretezési csoportok biztonsági konfigurációjának biztonsági réseit orvosolni kell	Ellenőrizze a virtuálisgép-méretezési csoportok operációsrendszer-biztonsági réseit, hogy megvédje őket a támadásoktól.	AuditIfNotExists, Disabled	3.0.0
A sebezhetőségi felmérést engedélyezni kell felügyelt SQL-példányon	Minden olyan felügyelt SQL-példány naplózása, amely nem rendelkezik engedélyezve az ismétlődő biztonságirés-felmérési vizsgálatokkal. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	1.0.1
A sebezhetőségi felmérést engedélyezni kell az SQL-kiszolgálókon	Olyan Azure SQL-kiszolgálók naplózása, amelyeken nincs megfelelően konfigurálva a biztonságirés-felmérés. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	3.0.0

Javítás/sebezhetőség > Change Management-7.6

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Engedélyezni kell az Azure Defender for App Service-t	Az Azure Defender for App Service a felhő skáláját és az Azure felhőszolgáltatói láthatóságát használja a gyakori webalkalmazás-támadások figyeléséhez.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell az Azure Defender for Azure SQL Database-kiszolgálókat	Az Azure Defender for SQL lehetővé teszi az adatbázisok lehetséges biztonsági réseinek feltárását és enyhítését, az SQL-adatbázisok fenyegetéseit jelző rendellenes tevékenységek észlelését, valamint a bizalmas adatok felderítését és besorolását.	AuditIfNotExists, Disabled	1.0.2
Engedélyezni kell az Azure Defender for Key Vaultot	Az Azure Defender for Key Vault további védelmi és biztonságiintelligencia-réteget biztosít a Key Vault-fiókok elérésére vagy kihasználására tett szokatlan és potenciálisan káros kísérletek észlelésével.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell az Azure Defendert a nyílt forráskódú relációs adatbázisokhoz	A nyílt forráskódú relációs adatbázisokhoz készült Azure Defender rendellenes tevékenységeket észlel, amelyek szokatlan és potenciálisan káros kísérleteket jeleznek az adatbázisok elérésére vagy kihasználására. További információ az Azure Defender nyílt forráskódú relációs adatbázisokhoz való képességeiről a következő címen https://aka.ms/AzDforOpenSourceDBsDocu: . Fontos: A terv engedélyezése a nyílt forráskódú relációs adatbázisok védelmének költségeit fogja eredményezni. További információ a Security Center díjszabási oldalán található díjszabásról: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell az Azure Defender for Resource Managert	Az Azure Defender for Resource Manager automatikusan figyeli a szervezet erőforrás-kezelési műveleteit. Az Azure Defender észleli a gyanús tevékenységekkel kapcsolatos fenyegetéseket és riasztásokat. További információ az Azure Defender for Resource Manager képességeiről a következő címen https://aka.ms/defender-for-resource-manager : . Az Azure Defender-csomag engedélyezése díjakat eredményez. A Security Center díjszabási oldalán megismerheti a régiónkénti díjszabás részleteit: https://aka.ms/pricing-security-center .	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell az Azure Defendert a kiszolgálókhoz	A kiszolgálókhoz készült Azure Defender valós idejű fenyegetésvédelmet biztosít a kiszolgálói számítási feladatokhoz, és keményítési javaslatokat és riasztásokat hoz létre a gyanús tevékenységekről.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell a gépeken futó SQL-kiszolgálókhoz készült Azure Defendert	Az Azure Defender for SQL lehetővé teszi az adatbázisok lehetséges biztonsági réseinek feltárását és enyhítését, az SQL-adatbázisok fenyegetéseit jelző rendellenes tevékenységek észlelését, valamint a bizalmas adatok felderítését és besorolását.	AuditIfNotExists, Disabled	1.0.2
Az Azure Defender for SQL-t engedélyezni kell a nem védett Azure SQL-kiszolgálókon	SQL-kiszolgálók naplózása speciális adatbiztonság nélkül	AuditIfNotExists, Disabled	2.0.1
Az Azure Defender for SQL-t engedélyezni kell a nem védett felügyelt SQL-példányokhoz	Minden felügyelt SQL-példány naplózása speciális adatbiztonság nélkül.	AuditIfNotExists, Disabled	1.0.2
Engedélyezni kell a Microsoft Defender for Containers szolgáltatást	A Microsoft Defender for Containers az Azure-beli, hibrid és többfelhős Kubernetes-környezetekhez biztosít megkeményedési, sebezhetőségi felmérési és futásidejű védelmet.	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell a Microsoft Defender for Storage használatát	A Microsoft Defender for Storage észleli a tárfiókokat fenyegető potenciális fenyegetéseket. Segít megelőzni az adatokra és számítási feladatokra gyakorolt három fő hatást: rosszindulatú fájlfeltöltéseket, bizalmas adatok kiszivárgását és adatsérülést. Az új Defender for Storage csomag tartalmazza a kártevők vizsgálatát és a bizalmas adatfenyegetések észlelését. Ez a csomag kiszámítható díjszabási struktúrát is biztosít (tárfiókonként) a lefedettség és a költségek szabályozásához.	AuditIfNotExists, Disabled	1.0.0
Az SQL-adatbázisok sebezhetőségi megállapításait meg kell oldani	A sebezhetőségi felmérés eredményeinek és az adatbázis biztonsági réseinek elhárítására vonatkozó javaslatok figyelése.	AuditIfNotExists, Disabled	4.1.0
A gépeken lévő SQL-kiszolgálókon a biztonsági rések megoldásának kell lennie	Az SQL biztonsági rések felmérése biztonsági réseket keres az adatbázisban, és elérhetővé teszi az ajánlott eljárásoktól való eltéréseket, például a helytelen konfigurációkat, a túlzott engedélyeket és a nem védett bizalmas adatokat. A talált biztonsági rések megoldása nagyban javíthatja az adatbázis biztonsági helyzetét.	AuditIfNotExists, Disabled	1.0.0
A virtuálisgép-méretezési csoportok rendszerfrissítéseit telepíteni kell	Naplózza az esetleges hiányzó biztonsági rendszerfrissítéseket és kulcsfontosságú frissítéseket, amelyeket telepíteni kell, hogy Windows és Linux rendszerű virtuálisgép-méretezési csoportjai biztonságban legyenek.	AuditIfNotExists, Disabled	3.0.0
A rendszerfrissítéseket telepíteni kell a gépekre	A kiszolgálók hiányzó biztonsági rendszerfrissítéseit az Azure Security Center ajánlásként figyeli	AuditIfNotExists, Disabled	4.0.0
A tároló biztonsági konfigurációinak biztonsági réseit orvosolni kell	A biztonsági konfiguráció biztonsági réseinek naplózása olyan gépeken, amelyeken a Docker telepítve van, és javaslatokként jelenik meg az Azure Security Centerben.	AuditIfNotExists, Disabled	3.0.0
A gépek biztonsági konfigurációjának biztonsági réseit orvosolni kell	Az Azure Security Center javaslatként figyeli a konfigurált alapkonfigurációnak nem megfelelő kiszolgálókat	AuditIfNotExists, Disabled	3.1.0
A virtuálisgép-méretezési csoportok biztonsági konfigurációjának biztonsági réseit orvosolni kell	Ellenőrizze a virtuálisgép-méretezési csoportok operációsrendszer-biztonsági réseit, hogy megvédje őket a támadásoktól.	AuditIfNotExists, Disabled	3.0.0

Javítás/biztonságirés > Change Management-7.7

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
[Előzetes verzió]: A tárfiók nyilvános hozzáférését le kell tiltani	A tárolókhoz és blobokhoz való névtelen nyilvános olvasási hozzáférés az Azure Storage-ban kényelmes módja az adatok megosztásának, de biztonsági kockázatot jelenthet. A nem kívánt névtelen hozzáférés által okozott adatsértések megelőzése érdekében a Microsoft azt javasolja, hogy tiltsa meg a tárfiókhoz való nyilvános hozzáférést, kivéve, ha az Ön forgatókönyve megköveteli.	naplózás, Naplózás, megtagadás, Megtagadás, Letiltás, Letiltva, Letiltva	3.1.0-előzetes verzió
Az API Management-szolgáltatásoknak virtuális hálózatot kell használniuk	Az Azure Virtual Network üzembe helyezése fokozott biztonságot és elkülönítést biztosít, és lehetővé teszi, hogy az API Management szolgáltatást egy nem internetes, szabályozható hálózaton helyezze el, amelyhez ön szabályozza a hozzáférést. Ezek a hálózatok ezután különböző VPN-technológiák használatával csatlakoztathatók a helyszíni hálózatokhoz, ami lehetővé teszi a háttérszolgáltatások elérését a hálózaton és/vagy a helyszínen. A fejlesztői portál és az API-átjáró úgy konfigurálható, hogy elérhető legyen az internetről vagy csak a virtuális hálózaton belül.	Naplózás, megtagadás, letiltva	1.0.2
Az alkalmazáskonfigurációnak privát hivatkozást kell használnia	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A privát kapcsolati platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. Ha a teljes szolgáltatás helyett privát végpontokat társít az alkalmazáskonfigurációs példányokhoz, az adatszivárgási kockázatokkal szemben is védelmet nyújt. További információ: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, Disabled	1.0.2
A Linux rendszerű gépek hitelesítéséhez SSH-kulcsok szükségesek	Bár maga az SSH titkosított kapcsolatot biztosít, a jelszavak SSH-val való használata továbbra is sebezhetővé teszi a virtuális gépet a találgatásos támadások ellen. Az Azure Linux rendszerű virtuális gépek SSH-val történő hitelesítésének legbiztonságosabb lehetősége egy nyilvános és privát kulcspár, más néven SSH-kulcsok használata. További információ: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed.	AuditIfNotExists, Disabled	3.2.0
Az engedélyezett IP-címtartományokat a Kubernetes Servicesben kell meghatározni	Korlátozza a Kubernetes Service Management API-hoz való hozzáférést úgy, hogy az API-hozzáférést csak adott tartományok IP-címéhez adja meg. Javasoljuk, hogy korlátozza az engedélyezett IP-tartományokhoz való hozzáférést, hogy csak az engedélyezett hálózatokból származó alkalmazások férhessenek hozzá a fürthöz.	Naplózás, letiltva	2.0.1
Az Azure Event Grid-tartományoknak privát hivatkozást kell használniuk	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. Ha a teljes szolgáltatás helyett privát végpontokat társít az Event Grid-tartományhoz, az adatszivárgási kockázatokkal szemben is védett lesz. További információ: https://aka.ms/privateendpoints.	Naplózás, letiltva	1.0.2
Az Azure Event Grid-témaköröknek privát hivatkozást kell használniuk	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. Ha a teljes szolgáltatás helyett privát végpontokat társít az Event Grid-témakörhöz, az adatszivárgási kockázatokkal szemben is védett lesz. További információ: https://aka.ms/privateendpoints.	Naplózás, letiltva	1.0.2
Az Azure Key Vaultnak engedélyeznie kell a tűzfalat	Engedélyezze a kulcstartó tűzfalát, hogy a kulcstartó alapértelmezés szerint ne legyen elérhető nyilvános IP-címek számára. Igény szerint konfigurálhat meghatározott IP-címtartományokat az adott hálózatokhoz való hozzáférés korlátozásához. További információ: https://docs.microsoft.com/azure/key-vault/general/network-security	Naplózás, megtagadás, letiltva	3.2.1
Az Azure Key Vaultsnak privát hivatkozást kell használnia	Az Azure Private Link lehetővé teszi, hogy a virtuális hálózatokat nyilvános IP-cím nélkül csatlakoztassa az Azure-szolgáltatásokhoz a forrásnál vagy a célhelyen. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. A privát végpontok Key Vaulthoz való leképezésével csökkentheti az adatszivárgási kockázatokat. További információ a privát hivatkozásokról: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Az Azure Machine Tanulás-munkaterületeknek privát hivatkozást kell használniuk	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. A privát végpontok Azure Machine-Tanulás-munkaterületekre való leképezésével csökken az adatszivárgás kockázata. További információ a privát hivatkozásokról: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Naplózás, letiltva	1.0.0
Az Azure Spring Cloudnak hálózati injektálást kell használnia	Az Azure Spring Cloud-példányoknak virtuális hálózati injektálást kell használniuk a következő célokra: 1. Az Azure Spring Cloud elkülönítése az internetről. 2. Engedélyezze az Azure Spring Cloud számára, hogy a helyszíni adatközpontokban vagy az Azure szolgáltatásban lévő rendszerekkel kommunikáljon más virtuális hálózatokon. 3. Lehetővé teszi az ügyfelek számára az Azure Spring Cloud bejövő és kimenő hálózati kommunikációjának szabályozását.	Naplózás, Letiltás, Megtagadás	1.2.0
A tárolóregisztrációs adatbázisok nem engedélyezhetik a korlátlan hálózati hozzáférést	Az Azure-tárolóregisztrációs adatbázisok alapértelmezés szerint elfogadják az interneten keresztüli kapcsolatokat bármely hálózat gazdagépeitől. Ha meg szeretné védeni a regisztrációs adatbázisokat a lehetséges fenyegetésektől, engedélyezze a hozzáférést csak meghatározott privát végpontokról, nyilvános IP-címekről vagy címtartományokból. Ha a beállításjegyzékben nincsenek hálózati szabályok konfigurálva, az nem megfelelő erőforrásokban jelenik meg. További információ a Tárolóregisztrációs adatbázis hálózati szabályairól: https://aka.ms/acr/privatelinkéshttps://aka.ms/acr/portal/public-networkhttps://aka.ms/acr/vnet.	Naplózás, megtagadás, letiltva	2.0.0
A tárolóregisztrációs adatbázisoknak privát hivatkozást kell használniuk	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A privát kapcsolati platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. Ha a teljes szolgáltatás helyett privát végpontokat rendel a tárolóregisztrációs adatbázisokhoz, az adatszivárgási kockázatokkal szemben is védelmet nyújt. További információ: https://aka.ms/acr/private-link.	Naplózás, letiltva	1.0.1
Engedélyezni kell a privát végpontkapcsolatokat az Azure SQL Database-ben	A privát végpontkapcsolatok biztonságos kommunikációt kényszerítenek ki az Azure SQL Database-hez való privát kapcsolat engedélyezésével.	Naplózás, letiltva	1.1.0
A privát végpontot engedélyezni kell MariaDB-kiszolgálókhoz	A privát végpontkapcsolatok biztonságos kommunikációt kényszerítenek ki az Azure Database for MariaDB-hez való privát kapcsolat engedélyezésével. Konfiguráljon egy privát végpontkapcsolatot, hogy csak ismert hálózatokról érkező forgalomhoz lehessen hozzáférni, és megakadályozza az összes többi IP-címhez való hozzáférést, beleértve az Azure-t is.	AuditIfNotExists, Disabled	1.0.2
A privát végpontot engedélyezni kell a MySQL-kiszolgálókon	A privát végpontkapcsolatok biztonságos kommunikációt kényszerítenek ki az Azure Database for MySQL-hez való privát kapcsolat engedélyezésével. Konfiguráljon egy privát végpontkapcsolatot, hogy csak ismert hálózatokról érkező forgalomhoz lehessen hozzáférni, és megakadályozza az összes többi IP-címhez való hozzáférést, beleértve az Azure-t is.	AuditIfNotExists, Disabled	1.0.2
A privát végpontot engedélyezni kell a PostgreSQL-kiszolgálókhoz	A privát végpontkapcsolatok biztonságos kommunikációt kényszerítenek ki az Azure Database for PostgreSQL-hez való privát kapcsolat engedélyezésével. Konfiguráljon egy privát végpontkapcsolatot, hogy csak ismert hálózatokról érkező forgalomhoz lehessen hozzáférni, és megakadályozza az összes többi IP-címhez való hozzáférést, beleértve az Azure-t is.	AuditIfNotExists, Disabled	1.0.2
Le kell tiltani a nyilvános hálózati hozzáférést az Azure SQL Database-ben	A nyilvános hálózati hozzáférési tulajdonság letiltása növeli a biztonságot azáltal, hogy biztosítja, hogy az Azure SQL Database csak privát végpontról érhető el. Ez a konfiguráció letiltja az IP- vagy virtuális hálózatalapú tűzfalszabályoknak megfelelő összes bejelentkezést.	Naplózás, megtagadás, letiltva	1.1.0
A nyilvános hálózati hozzáférést le kell tiltani MariaDB-kiszolgálók esetében	A biztonság javítása érdekében tiltsa le a nyilvános hálózati hozzáférési tulajdonságot, és győződjön meg arról, hogy az Azure Database for MariaDB csak privát végpontról érhető el. Ez a konfiguráció szigorúan letiltja a hozzáférést az Azure IP-tartományán kívüli nyilvános címtérről, és letilt minden olyan bejelentkezést, amely megfelel az IP- vagy a virtuális hálózatalapú tűzfalszabályoknak.	Naplózás, megtagadás, letiltva	2.0.0
A nyilvános hálózati hozzáférést le kell tiltani a MySQL-kiszolgálókon	A biztonság javítása érdekében tiltsa le a nyilvános hálózati hozzáférési tulajdonságot, és győződjön meg arról, hogy az Azure Database for MySQL csak privát végpontról érhető el. Ez a konfiguráció szigorúan letiltja a hozzáférést az Azure IP-tartományán kívüli nyilvános címtérről, és letilt minden olyan bejelentkezést, amely megfelel az IP- vagy a virtuális hálózatalapú tűzfalszabályoknak.	Naplózás, megtagadás, letiltva	2.0.0
A nyilvános hálózati hozzáférést le kell tiltani a PostgreSQL-kiszolgálók esetében	A biztonság javítása érdekében tiltsa le a nyilvános hálózati hozzáférési tulajdonságot, és győződjön meg arról, hogy az Azure Database for PostgreSQL csak privát végpontról érhető el. Ez a konfiguráció letiltja a hozzáférést az Azure IP-címtartományán kívüli bármely nyilvános címtérről, és letiltja az IP- vagy virtuális hálózatalapú tűzfalszabályoknak megfelelő összes bejelentkezést.	Naplózás, megtagadás, letiltva	2.0.1
A tárfiókok számára korlátozni kell a hálózati hozzáférést	A tárfiókokhoz való hálózati hozzáférést korlátozni kell. Konfigurálja a hálózati szabályokat, hogy csak az engedélyezett hálózatokból származó alkalmazások férhessenek hozzá a tárfiókhoz. Az adott internetről vagy helyszíni ügyfelekről érkező kapcsolatok engedélyezéséhez hozzáférést lehet biztosítani adott Azure-beli virtuális hálózatokból vagy nyilvános internetes IP-címtartományokból érkező forgalomhoz	Naplózás, megtagadás, letiltva	1.1.1
A tárfiókok virtuális hálózati szabályokkal korlátozhatják a hálózati hozzáférést	Az IP-alapú szűrés helyett a virtuális hálózati szabályokkal védheti meg a tárfiókokat a potenciális fenyegetésektől. Az IP-alapú szűrés letiltása megakadályozza, hogy a nyilvános IP-címek hozzáférjenek a tárfiókokhoz.	Naplózás, megtagadás, letiltva	1.0.1
A tárfiókok privát hivatkozást használnak	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. A privát végpontok tárfiókhoz való leképezésével csökken az adatszivárgás kockázata. További információ a privát hivatkozásokról: https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
A VM Image Builder-sablonoknak privát hivatkozást kell használniuk	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. Azáltal, hogy privát végpontokat társít a VM Image Builder építőerőforrásaihoz, az adatszivárgási kockázatok csökkennek. További információ a privát hivatkozásokról: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Naplózás, Letiltás, Megtagadás	1.1.0

Auditnaplók karbantartása, monitorozása és elemzése

Auditnaplók karbantartása, monitorozása és elemzése – 16.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Minden folyamatnapló-erőforrásnak engedélyezett állapotban kell lennie	Naplóerőforrások naplózása annak ellenőrzéséhez, hogy engedélyezve van-e a folyamatnapló állapota. A folyamatnaplók engedélyezésével naplózhatja az IP-forgalommal kapcsolatos információkat. Használható a hálózati folyamatok optimalizálására, az átviteli sebesség figyelésére, a megfelelőség ellenőrzésére, a behatolások észlelésére és egyebekre.	Naplózás, letiltva	1.0.1
Az Azure Monitornak minden régióból be kell gyűjtenie a tevékenységnaplókat	Ez a szabályzat naplózza az Azure Monitor naplóprofilt, amely nem exportál tevékenységeket az összes Azure-támogatás régióból, beleértve a globálist is.	AuditIfNotExists, Disabled	2.0.0
A folyamatnaplókat minden hálózati biztonsági csoporthoz konfigurálni kell	Hálózati biztonsági csoportok naplózása annak ellenőrzéséhez, hogy a folyamatnaplók konfigurálva vannak-e. A folyamatnaplók engedélyezésével naplózhatja a hálózati biztonsági csoporton áthaladó IP-forgalom adatait. Használható a hálózati folyamatok optimalizálására, az átviteli sebesség figyelésére, a megfelelőség ellenőrzésére, a behatolások észlelésére és egyebekre.	Naplózás, letiltva	1.1.0
A napló időtartamát engedélyezni kell a PostgreSQL-adatbáziskiszolgálók esetében	Ez a szabályzat segít a környezetben lévő PostgreSQL-adatbázisok naplózásában anélkül, hogy engedélyezve van log_duration beállítás.	AuditIfNotExists, Disabled	1.0.0
A Network Watcher folyamatnaplóinak engedélyezniük kell a forgalomelemzést	A Traffic Analytics elemzi a folyamatnaplókat, hogy betekintést nyújtson az Azure-felhő forgalmi folyamatába. Segítségével megjelenítheti a hálózati tevékenységeket az Azure-előfizetésekben, azonosíthatja a gyakori pontokat, azonosíthatja a biztonsági fenyegetéseket, megismerheti a forgalmi mintákat, rögzítheti a hálózati helytelen konfigurációkat stb.	Naplózás, letiltva	1.0.1

Auditnaplók karbantartása, monitorozása és elemzése – 16.2

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
[Előzetes verzió]: A Log Analytics-bővítményt telepíteni kell a Linux Azure Arc-gépekre	Ez a szabályzat naplózza a Linux Azure Arc-gépeket, ha a Log Analytics-bővítmény nincs telepítve.	AuditIfNotExists, Disabled	1.0.1-előzetes verzió
[Előzetes verzió]: A Log Analytics-bővítményt telepíteni kell a Windows Azure Arc-gépekre	Ez a szabályzat naplózza a Windows Azure Arc-gépeket, ha a Log Analytics-bővítmény nincs telepítve.	AuditIfNotExists, Disabled	1.0.1-előzetes verzió
Az Azure Monitor naplóprofiljának naplókat kell gyűjtenie az "írás", a "törlés" és a "művelet" kategóriákhoz	Ez a szabályzat biztosítja, hogy egy naplóprofil gyűjtsön naplókat az "írás", a "törlés" és a "művelet" kategóriákhoz	AuditIfNotExists, Disabled	1.0.0
Az Azure-előfizetéseknek naplóprofillal kell rendelkezniük a tevékenységnaplóhoz	Ez a szabályzat biztosítja, hogy egy naplóprofil engedélyezve legyen-e a tevékenységnaplók exportálásához. Naplózza, ha nem jött létre naplóprofil a naplók tárfiókba vagy eseményközpontba való exportálásához.	AuditIfNotExists, Disabled	1.0.0

Auditnaplók karbantartása, monitorozása és elemzése –16.3

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
[Előzetes verzió]: A hálózati adatgyűjtő ügynököt Linux rendszerű virtuális gépekre kell telepíteni	A Security Center a Microsoft Dependency-ügynökkel gyűjti össze a hálózati forgalmi adatokat az Azure-beli virtuális gépekről, hogy olyan speciális hálózatvédelmi funkciókat engedélyezzen, mint a hálózati térképen látható forgalomvizualizáció, a hálózatmegerősítési javaslatok és az adott hálózati fenyegetések.	AuditIfNotExists, Disabled	1.0.2-előzetes verzió
[Előzetes verzió]: A hálózati adatgyűjtő ügynököt windowsos virtuális gépekre kell telepíteni	A Security Center a Microsoft Dependency-ügynökkel gyűjti össze a hálózati forgalmi adatokat az Azure-beli virtuális gépekről, hogy olyan speciális hálózatvédelmi funkciókat engedélyezzen, mint a hálózati térképen látható forgalomvizualizáció, a hálózatmegerősítési javaslatok és az adott hálózati fenyegetések.	AuditIfNotExists, Disabled	1.0.2-előzetes verzió
Az Azure Monitornak minden régióból be kell gyűjtenie a tevékenységnaplókat	Ez a szabályzat naplózza az Azure Monitor naplóprofilt, amely nem exportál tevékenységeket az összes Azure-támogatás régióból, beleértve a globálist is.	AuditIfNotExists, Disabled	2.0.0
A Log Analytics-ügynököt telepíteni kell a virtuálisgép-méretezési csoportokra az Azure Security Center monitorozásához	A Security Center adatokat gyűjt az Azure-beli virtuális gépekről a biztonsági rések és fenyegetések monitorozásához.	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell az erőforrásnaplókat a Key Vaultban	Erőforrásnaplók naplózása. Ez lehetővé teszi, hogy a vizsgálati célokra használható tevékenységútvonalakat újra létrehozva biztonsági incidens esetén vagy a hálózat sérülése esetén	AuditIfNotExists, Disabled	5.0.0

Biztonságos konfiguráció

Biztonságos configuration-5.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Engedélyezni kell az Azure Defender for Azure SQL Database-kiszolgálókat	Az Azure Defender for SQL lehetővé teszi az adatbázisok lehetséges biztonsági réseinek feltárását és enyhítését, az SQL-adatbázisok fenyegetéseit jelző rendellenes tevékenységek észlelését, valamint a bizalmas adatok felderítését és besorolását.	AuditIfNotExists, Disabled	1.0.2
Engedélyezni kell az Azure Defender for Resource Managert	Az Azure Defender for Resource Manager automatikusan figyeli a szervezet erőforrás-kezelési műveleteit. Az Azure Defender észleli a gyanús tevékenységekkel kapcsolatos fenyegetéseket és riasztásokat. További információ az Azure Defender for Resource Manager képességeiről a következő címen https://aka.ms/defender-for-resource-manager : . Az Azure Defender-csomag engedélyezése díjakat eredményez. A Security Center díjszabási oldalán megismerheti a régiónkénti díjszabás részleteit: https://aka.ms/pricing-security-center .	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell az Azure Defendert a kiszolgálókhoz	A kiszolgálókhoz készült Azure Defender valós idejű fenyegetésvédelmet biztosít a kiszolgálói számítási feladatokhoz, és keményítési javaslatokat és riasztásokat hoz létre a gyanús tevékenységekről.	AuditIfNotExists, Disabled	1.0.3
Az Azure Defender for SQL-t engedélyezni kell a nem védett Azure SQL-kiszolgálókon	SQL-kiszolgálók naplózása speciális adatbiztonság nélkül	AuditIfNotExists, Disabled	2.0.1
Az Azure Defender for SQL-t engedélyezni kell a nem védett felügyelt SQL-példányokhoz	Minden felügyelt SQL-példány naplózása speciális adatbiztonság nélkül.	AuditIfNotExists, Disabled	1.0.2
Engedélyezni kell a Microsoft Defender for Azure Cosmos DB-t	Az Azure Cosmos DB-hez készült Microsoft Defender egy Azure-natív biztonsági réteg, amely észleli az Azure Cosmos DB-fiókokban lévő adatbázisok kihasználására tett kísérleteket. Az Azure Cosmos DB-hez készült Defender a Microsoft Threat Intelligence alapján észleli a lehetséges SQL-injektálást, az ismert rossz szereplőket, a gyanús hozzáférési mintákat és az adatbázis potenciális kihasználását feltört identitások vagy rosszindulatú bennfentesek segítségével.	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell a Microsoft Defender for Storage használatát	A Microsoft Defender for Storage észleli a tárfiókokat fenyegető potenciális fenyegetéseket. Segít megelőzni az adatokra és számítási feladatokra gyakorolt három fő hatást: rosszindulatú fájlfeltöltéseket, bizalmas adatok kiszivárgását és adatsérülést. Az új Defender for Storage csomag tartalmazza a kártevők vizsgálatát és a bizalmas adatfenyegetések észlelését. Ez a csomag kiszámítható díjszabási struktúrát is biztosít (tárfiókonként) a lefedettség és a költségek szabályozásához.	AuditIfNotExists, Disabled	1.0.0
A Windows Defender Exploit Guardot engedélyezni kell a gépeken	A Windows Defender Exploit Guard az Azure Policy vendégkonfigurációs ügynökét használja. Az Exploit Guard négy olyan összetevővel rendelkezik, amelyek az eszközök különböző támadási vektorokkal szembeni zárolására és a kártevők elleni támadásokban gyakran használt viselkedés blokkolására szolgálnak, miközben lehetővé teszik a vállalatok számára a biztonsági kockázat és a termelékenységi követelmények egyensúlyba helyezését (csak Windows rendszeren).	AuditIfNotExists, Disabled	2.0.0

Biztonságos konfiguráció–5.2

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A gyakori elérésű fóliát engedélyezni kell Windows Server Azure Edition rendszerű virtuális gépeken	Az újraindítások minimalizálása és a frissítések gyors telepítése a hotpatch használatával. További információ: https://docs.microsoft.com/azure/automanage/automanage-hotpatch	Naplózás, megtagadás, letiltva	1.0.0
A virtuálisgép-méretezési csoportok biztonsági konfigurációjának biztonsági réseit orvosolni kell	Ellenőrizze a virtuálisgép-méretezési csoportok operációsrendszer-biztonsági réseit, hogy megvédje őket a támadásoktól.	AuditIfNotExists, Disabled	3.0.0

Biztonságos levelezési és üzenetkezelési rendszerek

Biztonságos levelezési és üzenetkezelési rendszerek –10.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Az adaptív hálózatmegerősítési javaslatokat az internetkapcsolattal rendelkező virtuális gépeken kell alkalmazni	Az Azure Security Center elemzi az internetkapcsolattal rendelkező virtuális gépek forgalmi mintáit, és olyan hálózati biztonsági csoportszabály-javaslatokat nyújt, amelyek csökkentik a potenciális támadási felületet	AuditIfNotExists, Disabled	3.0.0
Minden hálózati portot korlátozni kell a virtuális géphez társított hálózati biztonsági csoportokon	Az Azure Security Center megállapította, hogy a hálózati biztonsági csoportok bejövő szabályai túl megengedőek. A bejövő szabályok nem engedélyezhetik a hozzáférést az "Any" vagy az "Internet" tartományból. Ez lehetővé teheti, hogy a támadók megcélzhassák az erőforrásokat.	AuditIfNotExists, Disabled	3.0.0
Az App Service-alkalmazások csak HTTPS-en keresztül érhetők el	A HTTPS használata biztosítja a kiszolgáló-/szolgáltatáshitelesítést, és védi az átvitt adatokat a hálózati réteg lehallgatási támadásaitól.	Naplózás, Letiltás, Megtagadás	4.0.0
Az App Service-alkalmazásoknak csak FTPS-t kell igényelniük	Engedélyezze az FTPS-kényszerítéseket a fokozott biztonság érdekében.	AuditIfNotExists, Disabled	3.0.0
Az App Service-alkalmazásoknak a legújabb TLS-verziót kell használniuk	A TLS-hez rendszeres időközönként újabb verziók jelennek meg biztonsági hibák, további funkciók és a sebesség növelése miatt. Frissítsen az App Service-alkalmazások legújabb TLS-verziójára, hogy kihasználhassa a legújabb verzió biztonsági javításait és/vagy új funkcióit.	AuditIfNotExists, Disabled	2.0.1
Engedélyezni kell az SSL-kapcsolatot a MySQL-adatbáziskiszolgálók esetében	Az Azure Database for MySQL támogatja az Azure Database for MySQL-kiszolgáló csatlakoztatását az ügyfélalkalmazásokhoz a Secure Sockets Layer (SSL) használatával. Az adatbázis-kiszolgáló és az ügyfélalkalmazások közötti SSL-kapcsolatok kényszerítése a kiszolgáló és az alkalmazás közötti adatfolyam titkosításával segít védelmet nyújtani a "középen lévő ember" támadások ellen. Ez a konfiguráció kikényszeríti, hogy az SSL mindig engedélyezve legyen az adatbázis-kiszolgáló eléréséhez.	Naplózás, letiltva	1.0.1
Engedélyezni kell az SSL-kapcsolatot a PostgreSQL-adatbáziskiszolgálókon	Az Azure Database for PostgreSQL támogatja az Azure Database for PostgreSQL-kiszolgáló csatlakoztatását az ügyfélalkalmazásokhoz a Secure Sockets Layer (SSL) használatával. Az adatbázis-kiszolgáló és az ügyfélalkalmazások közötti SSL-kapcsolatok kényszerítése a kiszolgáló és az alkalmazás közötti adatfolyam titkosításával segít védelmet nyújtani a "középen lévő ember" támadások ellen. Ez a konfiguráció kikényszeríti, hogy az SSL mindig engedélyezve legyen az adatbázis-kiszolgáló eléréséhez.	Naplózás, letiltva	1.0.1
A függvényalkalmazások csak HTTPS-en keresztül érhetők el	A HTTPS használata biztosítja a kiszolgáló-/szolgáltatáshitelesítést, és védi az átvitt adatokat a hálózati réteg lehallgatási támadásaitól.	Naplózás, Letiltás, Megtagadás	5.0.0
A függvényalkalmazásoknak csak FTPS-t kell igényelniük	Engedélyezze az FTPS-kényszerítéseket a fokozott biztonság érdekében.	AuditIfNotExists, Disabled	3.0.0
A függvényalkalmazások a legújabb TLS-verziót használják	A TLS-hez rendszeres időközönként újabb verziók jelennek meg biztonsági hibák, további funkciók és a sebesség növelése miatt. Frissítsen a függvényalkalmazások legújabb TLS-verziójára, hogy kihasználhassa a legújabb verzió biztonsági javításait és/vagy új funkcióit.	AuditIfNotExists, Disabled	2.0.1
Az internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A virtuális gépek védelme a lehetséges fenyegetések ellen a hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
A nem internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával megvédheti az internettel nem rendelkező virtuális gépeket a lehetséges fenyegetésektől. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Csak az Azure Cache for Redis biztonságos kapcsolatait kell engedélyezni	Csak SSL-kapcsolat engedélyezésének naplózása az Azure Cache for Redishez. A biztonságos kapcsolatok használata biztosítja a kiszolgáló és a szolgáltatás közötti hitelesítést, és védi az átvitel alatt álló adatokat a hálózati réteg támadásaitól, például az emberközi, a lehallgatási és a munkamenet-eltérítési támadásoktól	Naplózás, megtagadás, letiltva	1.0.0
Engedélyezni kell a tárfiókokba való biztonságos átvitelt	A tárfiók biztonságos átvitelének naplózási követelménye. A biztonságos átvitel egy olyan lehetőség, amely arra kényszeríti a tárfiókot, hogy csak biztonságos kapcsolatokból (HTTPS) fogadja el a kéréseket. A HTTPS használata biztosítja a kiszolgáló és a szolgáltatás közötti hitelesítést, és védi az átvitt adatokat a hálózati réteg támadásaitól, például a középen belüli behatolástól, a lehallgatástól és a munkamenet-eltérítéstől	Naplózás, megtagadás, letiltva	2.0.0
Az alhálózatokat hálózati biztonsági csoporthoz kell társítani	Az alhálózat védelme a lehetséges fenyegetések ellen egy hálózati biztonsági csoporttal (NSG) való hozzáférés korlátozásával. Az NSG-k a hozzáférés-vezérlési lista (ACL) szabályainak listáját tartalmazzák, amelyek engedélyezik vagy letiltják az alhálózat felé történő hálózati forgalmat.	AuditIfNotExists, Disabled	3.0.0
A Windows rendszerű gépeket biztonságos kommunikációs protokollok használatára kell konfigurálni	Az interneten keresztül kommunikáló adatok védelméhez a gépeknek az iparági szabványnak megfelelő titkosítási protokoll legújabb verzióját, a Transport Layer Securityt (TLS) kell használniuk. A TLS a gépek közötti kapcsolat titkosításával biztosítja a hálózaton keresztüli kommunikációt.	AuditIfNotExists, Disabled	4.1.1

Biztonságos levelezési és üzenetkezelési rendszerek–10.2

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Az adaptív hálózatmegerősítési javaslatokat az internetkapcsolattal rendelkező virtuális gépeken kell alkalmazni	Az Azure Security Center elemzi az internetkapcsolattal rendelkező virtuális gépek forgalmi mintáit, és olyan hálózati biztonsági csoportszabály-javaslatokat nyújt, amelyek csökkentik a potenciális támadási felületet	AuditIfNotExists, Disabled	3.0.0
Minden hálózati portot korlátozni kell a virtuális géphez társított hálózati biztonsági csoportokon	Az Azure Security Center megállapította, hogy a hálózati biztonsági csoportok bejövő szabályai túl megengedőek. A bejövő szabályok nem engedélyezhetik a hozzáférést az "Any" vagy az "Internet" tartományból. Ez lehetővé teheti, hogy a támadók megcélzhassák az erőforrásokat.	AuditIfNotExists, Disabled	3.0.0
Az App Service-alkalmazások csak HTTPS-en keresztül érhetők el	A HTTPS használata biztosítja a kiszolgáló-/szolgáltatáshitelesítést, és védi az átvitt adatokat a hálózati réteg lehallgatási támadásaitól.	Naplózás, Letiltás, Megtagadás	4.0.0
Az App Service-alkalmazásoknak csak FTPS-t kell igényelniük	Engedélyezze az FTPS-kényszerítéseket a fokozott biztonság érdekében.	AuditIfNotExists, Disabled	3.0.0
Az App Service-alkalmazásoknak a legújabb TLS-verziót kell használniuk	A TLS-hez rendszeres időközönként újabb verziók jelennek meg biztonsági hibák, további funkciók és a sebesség növelése miatt. Frissítsen az App Service-alkalmazások legújabb TLS-verziójára, hogy kihasználhassa a legújabb verzió biztonsági javításait és/vagy új funkcióit.	AuditIfNotExists, Disabled	2.0.1
Engedélyezni kell az SSL-kapcsolatot a MySQL-adatbáziskiszolgálók esetében	Az Azure Database for MySQL támogatja az Azure Database for MySQL-kiszolgáló csatlakoztatását az ügyfélalkalmazásokhoz a Secure Sockets Layer (SSL) használatával. Az adatbázis-kiszolgáló és az ügyfélalkalmazások közötti SSL-kapcsolatok kényszerítése a kiszolgáló és az alkalmazás közötti adatfolyam titkosításával segít védelmet nyújtani a "középen lévő ember" támadások ellen. Ez a konfiguráció kikényszeríti, hogy az SSL mindig engedélyezve legyen az adatbázis-kiszolgáló eléréséhez.	Naplózás, letiltva	1.0.1
Engedélyezni kell az SSL-kapcsolatot a PostgreSQL-adatbáziskiszolgálókon	Az Azure Database for PostgreSQL támogatja az Azure Database for PostgreSQL-kiszolgáló csatlakoztatását az ügyfélalkalmazásokhoz a Secure Sockets Layer (SSL) használatával. Az adatbázis-kiszolgáló és az ügyfélalkalmazások közötti SSL-kapcsolatok kényszerítése a kiszolgáló és az alkalmazás közötti adatfolyam titkosításával segít védelmet nyújtani a "középen lévő ember" támadások ellen. Ez a konfiguráció kikényszeríti, hogy az SSL mindig engedélyezve legyen az adatbázis-kiszolgáló eléréséhez.	Naplózás, letiltva	1.0.1
A függvényalkalmazások csak HTTPS-en keresztül érhetők el	A HTTPS használata biztosítja a kiszolgáló-/szolgáltatáshitelesítést, és védi az átvitt adatokat a hálózati réteg lehallgatási támadásaitól.	Naplózás, Letiltás, Megtagadás	5.0.0
A függvényalkalmazásoknak csak FTPS-t kell igényelniük	Engedélyezze az FTPS-kényszerítéseket a fokozott biztonság érdekében.	AuditIfNotExists, Disabled	3.0.0
A függvényalkalmazások a legújabb TLS-verziót használják	A TLS-hez rendszeres időközönként újabb verziók jelennek meg biztonsági hibák, további funkciók és a sebesség növelése miatt. Frissítsen a függvényalkalmazások legújabb TLS-verziójára, hogy kihasználhassa a legújabb verzió biztonsági javításait és/vagy új funkcióit.	AuditIfNotExists, Disabled	2.0.1
Az internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A virtuális gépek védelme a lehetséges fenyegetések ellen a hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
A nem internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával megvédheti az internettel nem rendelkező virtuális gépeket a lehetséges fenyegetésektől. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Csak az Azure Cache for Redis biztonságos kapcsolatait kell engedélyezni	Csak SSL-kapcsolat engedélyezésének naplózása az Azure Cache for Redishez. A biztonságos kapcsolatok használata biztosítja a kiszolgáló és a szolgáltatás közötti hitelesítést, és védi az átvitel alatt álló adatokat a hálózati réteg támadásaitól, például az emberközi, a lehallgatási és a munkamenet-eltérítési támadásoktól	Naplózás, megtagadás, letiltva	1.0.0
Engedélyezni kell a tárfiókokba való biztonságos átvitelt	A tárfiók biztonságos átvitelének naplózási követelménye. A biztonságos átvitel egy olyan lehetőség, amely arra kényszeríti a tárfiókot, hogy csak biztonságos kapcsolatokból (HTTPS) fogadja el a kéréseket. A HTTPS használata biztosítja a kiszolgáló és a szolgáltatás közötti hitelesítést, és védi az átvitt adatokat a hálózati réteg támadásaitól, például a középen belüli behatolástól, a lehallgatástól és a munkamenet-eltérítéstől	Naplózás, megtagadás, letiltva	2.0.0
Az alhálózatokat hálózati biztonsági csoporthoz kell társítani	Az alhálózat védelme a lehetséges fenyegetések ellen egy hálózati biztonsági csoporttal (NSG) való hozzáférés korlátozásával. Az NSG-k a hozzáférés-vezérlési lista (ACL) szabályainak listáját tartalmazzák, amelyek engedélyezik vagy letiltják az alhálózat felé történő hálózati forgalmat.	AuditIfNotExists, Disabled	3.0.0
A Windows rendszerű gépeket biztonságos kommunikációs protokollok használatára kell konfigurálni	Az interneten keresztül kommunikáló adatok védelméhez a gépeknek az iparági szabványnak megfelelő titkosítási protokoll legújabb verzióját, a Transport Layer Securityt (TLS) kell használniuk. A TLS a gépek közötti kapcsolat titkosításával biztosítja a hálózaton keresztüli kommunikációt.	AuditIfNotExists, Disabled	4.1.1

Felhasználói hozzáférés-vezérlés/ -kezelés

Felhasználói hozzáférés-vezérlés / Management-8.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Az Azure-erőforrások tulajdonosi engedélyekkel rendelkező fiókjai számára engedélyezni kell az MFA-t	A többtényezős hitelesítést (MFA) minden tulajdonosi engedéllyel rendelkező előfizetési fiók esetében engedélyezni kell, hogy megelőzze a fiókok vagy erőforrások megsértését.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások olvasási engedélyeivel rendelkező fiókoknak engedélyezni kell az MFA-t	A többtényezős hitelesítést (MFA) minden olvasási jogosultsággal rendelkező előfizetési fiók esetében engedélyezni kell, hogy megelőzze a fiókok vagy erőforrások megsértését.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások írási engedélyekkel rendelkező fiókjai számára engedélyezni kell az MFA-t	A többtényezős hitelesítést (MFA) minden írási jogosultsággal rendelkező előfizetési fiók esetében engedélyezni kell, hogy megelőzze a fiókok vagy erőforrások megsértését.	AuditIfNotExists, Disabled	1.0.0
Egyéni RBAC-szerepkörök használatának naplózása	Az egyéni RBAC-szerepkörök helyett az olyan beépített szerepkörök naplózása, mint a "Tulajdonos, Közreműködő, Olvasó", amelyek hibalehetőséget jelentenek. Az egyéni szerepkörök használata kivételnek minősül, és szigorú felülvizsgálatot és fenyegetésmodellezést igényel	Naplózás, letiltva	1.0.1
Az Azure szerepköralapú hozzáférés-vezérlést (RBAC) a Kubernetes Servicesben kell használni	A felhasználók által végrehajtható műveletek részletes szűréséhez használja az Azure Szerepköralapú hozzáférés-vezérlést (RBAC) a Kubernetes-szolgáltatásfürtök engedélyeinek kezeléséhez és a vonatkozó engedélyezési szabályzatok konfigurálásához.	Naplózás, letiltva	1.0.3
Az Azure-erőforrások tulajdonosi engedélyekkel rendelkező blokkolt fiókjait el kell távolítani	A tulajdonosi engedélyekkel rendelkező elavult fiókokat el kell távolítani az előfizetésből. Az elavult fiókok olyan fiókok, amelyek nem voltak bejelentkezve.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások olvasási és írási engedélyekkel rendelkező blokkolt fiókjait el kell távolítani	Az elavult fiókokat el kell távolítani az előfizetésekből. Az elavult fiókok olyan fiókok, amelyek nem voltak bejelentkezve.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások tulajdonosi engedélyeivel rendelkező vendégfiókokat el kell távolítani	A nem figyelt hozzáférés megakadályozása érdekében el kell távolítani a tulajdonosi engedélyekkel rendelkező külső fiókokat az előfizetésből.	AuditIfNotExists, Disabled	1.0.0
El kell távolítani az Azure-erőforrások olvasási engedélyeivel rendelkező vendégfiókokat	Az olvasási jogosultságokkal rendelkező külső fiókokat el kell távolítani az előfizetésből a nem figyelt hozzáférés megakadályozása érdekében.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrásokra vonatkozó írási engedélyekkel rendelkező vendégfiókokat el kell távolítani	Az írási jogosultságokkal rendelkező külső fiókokat el kell távolítani az előfizetésből a nem figyelt hozzáférés megakadályozása érdekében.	AuditIfNotExists, Disabled	1.0.0

Felhasználói hozzáférés-vezérlés / Management-8.2

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Azure Active Directory-rendszergazdát kell kiépíteni SQL-kiszolgálókhoz	Azure Active Directory-rendszergazda üzembe helyezésének naplózása az SQL Serverhez az Azure AD-hitelesítés engedélyezéséhez. Az Azure AD-hitelesítés lehetővé teszi az adatbázis-felhasználók és más Microsoft-szolgáltatások	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások tulajdonosi engedélyekkel rendelkező blokkolt fiókjait el kell távolítani	A tulajdonosi engedélyekkel rendelkező elavult fiókokat el kell távolítani az előfizetésből. Az elavult fiókok olyan fiókok, amelyek nem voltak bejelentkezve.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások olvasási és írási engedélyekkel rendelkező blokkolt fiókjait el kell távolítani	Az elavult fiókokat el kell távolítani az előfizetésekből. Az elavult fiókok olyan fiókok, amelyek nem voltak bejelentkezve.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások tulajdonosi engedélyeivel rendelkező vendégfiókokat el kell távolítani	A nem figyelt hozzáférés megakadályozása érdekében el kell távolítani a tulajdonosi engedélyekkel rendelkező külső fiókokat az előfizetésből.	AuditIfNotExists, Disabled	1.0.0
El kell távolítani az Azure-erőforrások olvasási engedélyeivel rendelkező vendégfiókokat	Az olvasási jogosultságokkal rendelkező külső fiókokat el kell távolítani az előfizetésből a nem figyelt hozzáférés megakadályozása érdekében.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrásokra vonatkozó írási engedélyekkel rendelkező vendégfiókokat el kell távolítani	Az írási jogosultságokkal rendelkező külső fiókokat el kell távolítani az előfizetésből a nem figyelt hozzáférés megakadályozása érdekében.	AuditIfNotExists, Disabled	1.0.0
A Service Fabric-fürtöknek csak az Azure Active Directoryt kell használniuk az ügyfél-hitelesítéshez	Ügyfélhitelesítés használatának naplózása csak az Azure Active Directoryn keresztül a Service Fabricben	Naplózás, megtagadás, letiltva	1.1.0

Felhasználói hozzáférés-vezérlés / Management-8.3

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Az előfizetéshez legfeljebb 3 tulajdonost kell kijelölni	Javasoljuk, hogy legfeljebb 3 előfizetés-tulajdonost jelöljön ki annak érdekében, hogy csökkentse a feltört tulajdonos megsértésének lehetőségét.	AuditIfNotExists, Disabled	3.0.0
Az Azure-erőforrások tulajdonosi engedélyekkel rendelkező blokkolt fiókjait el kell távolítani	A tulajdonosi engedélyekkel rendelkező elavult fiókokat el kell távolítani az előfizetésből. Az elavult fiókok olyan fiókok, amelyek nem voltak bejelentkezve.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások tulajdonosi engedélyeivel rendelkező vendégfiókokat el kell távolítani	A nem figyelt hozzáférés megakadályozása érdekében el kell távolítani a tulajdonosi engedélyekkel rendelkező külső fiókokat az előfizetésből.	AuditIfNotExists, Disabled	1.0.0
A virtuális gépek felügyeleti portjainak megfelelő hálózati hozzáférés-vezérléssel kell rendelkeznie	Az Azure Security Center ajánlásként figyeli a lehetséges hálózati just in time (JIT) hozzáférést	AuditIfNotExists, Disabled	3.0.0
Az előfizetéshez egynél több tulajdonosnak kell tartoznia	Javasoljuk, hogy több előfizetés-tulajdonost jelöljön ki, hogy rendszergazdai hozzáféréssel rendelkezzen.	AuditIfNotExists, Disabled	3.0.0

Felhasználói hozzáférés-vezérlés / Management-8.4

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Az App Service-alkalmazásoknak felügyelt identitást kell használniuk	Felügyelt identitás használata a fokozott hitelesítési biztonság érdekében	AuditIfNotExists, Disabled	3.0.0
A függvényalkalmazások felügyelt identitást használnak	Felügyelt identitás használata a fokozott hitelesítési biztonság érdekében	AuditIfNotExists, Disabled	3.0.0
A virtuális gépek vendégkonfigurációs bővítményét rendszer által hozzárendelt felügyelt identitással kell üzembe helyezni	A Vendégkonfiguráció bővítményhez rendszer által hozzárendelt felügyelt identitás szükséges. A szabályzat hatálya alá tartozó Azure-beli virtuális gépek nem lesznek kompatibilisek, ha telepítve van a Vendégkonfiguráció bővítmény, de nincs hozzárendelve a rendszer által hozzárendelt felügyelt identitás. További információ: https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1

Felhasználói hozzáférés-vezérlés / Management-8.5

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Az előfizetéshez legfeljebb 3 tulajdonost kell kijelölni	Javasoljuk, hogy legfeljebb 3 előfizetés-tulajdonost jelöljön ki annak érdekében, hogy csökkentse a feltört tulajdonos megsértésének lehetőségét.	AuditIfNotExists, Disabled	3.0.0
Azure Active Directory-rendszergazdát kell kiépíteni SQL-kiszolgálókhoz	Azure Active Directory-rendszergazda üzembe helyezésének naplózása az SQL Serverhez az Azure AD-hitelesítés engedélyezéséhez. Az Azure AD-hitelesítés lehetővé teszi az adatbázis-felhasználók és más Microsoft-szolgáltatások	AuditIfNotExists, Disabled	1.0.0
Egyéni RBAC-szerepkörök használatának naplózása	Az egyéni RBAC-szerepkörök helyett az olyan beépített szerepkörök naplózása, mint a "Tulajdonos, Közreműködő, Olvasó", amelyek hibalehetőséget jelentenek. Az egyéni szerepkörök használata kivételnek minősül, és szigorú felülvizsgálatot és fenyegetésmodellezést igényel	Naplózás, letiltva	1.0.1
Az Azure szerepköralapú hozzáférés-vezérlést (RBAC) a Kubernetes Servicesben kell használni	A felhasználók által végrehajtható műveletek részletes szűréséhez használja az Azure Szerepköralapú hozzáférés-vezérlést (RBAC) a Kubernetes-szolgáltatásfürtök engedélyeinek kezeléséhez és a vonatkozó engedélyezési szabályzatok konfigurálásához.	Naplózás, letiltva	1.0.3
Az Azure-erőforrások tulajdonosi engedélyekkel rendelkező blokkolt fiókjait el kell távolítani	A tulajdonosi engedélyekkel rendelkező elavult fiókokat el kell távolítani az előfizetésből. Az elavult fiókok olyan fiókok, amelyek nem voltak bejelentkezve.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások olvasási és írási engedélyekkel rendelkező blokkolt fiókjait el kell távolítani	Az elavult fiókokat el kell távolítani az előfizetésekből. Az elavult fiókok olyan fiókok, amelyek nem voltak bejelentkezve.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrások tulajdonosi engedélyeivel rendelkező vendégfiókokat el kell távolítani	A nem figyelt hozzáférés megakadályozása érdekében el kell távolítani a tulajdonosi engedélyekkel rendelkező külső fiókokat az előfizetésből.	AuditIfNotExists, Disabled	1.0.0
El kell távolítani az Azure-erőforrások olvasási engedélyeivel rendelkező vendégfiókokat	Az olvasási jogosultságokkal rendelkező külső fiókokat el kell távolítani az előfizetésből a nem figyelt hozzáférés megakadályozása érdekében.	AuditIfNotExists, Disabled	1.0.0
Az Azure-erőforrásokra vonatkozó írási engedélyekkel rendelkező vendégfiókokat el kell távolítani	Az írási jogosultságokkal rendelkező külső fiókokat el kell távolítani az előfizetésből a nem figyelt hozzáférés megakadályozása érdekében.	AuditIfNotExists, Disabled	1.0.0
A virtuális gépek felügyeleti portjainak megfelelő hálózati hozzáférés-vezérléssel kell rendelkeznie	Az Azure Security Center ajánlásként figyeli a lehetséges hálózati just in time (JIT) hozzáférést	AuditIfNotExists, Disabled	3.0.0
A Service Fabric-fürtöknek csak az Azure Active Directoryt kell használniuk az ügyfél-hitelesítéshez	Ügyfélhitelesítés használatának naplózása csak az Azure Active Directoryn keresztül a Service Fabricben	Naplózás, megtagadás, letiltva	1.1.0
Az előfizetéshez egynél több tulajdonosnak kell tartoznia	Javasoljuk, hogy több előfizetés-tulajdonost jelöljön ki, hogy rendszergazdai hozzáféréssel rendelkezzen.	AuditIfNotExists, Disabled	3.0.0

Felhasználói hozzáférés-vezérlés / Management-8.8

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Egyéni RBAC-szerepkörök használatának naplózása	Az egyéni RBAC-szerepkörök helyett az olyan beépített szerepkörök naplózása, mint a "Tulajdonos, Közreműködő, Olvasó", amelyek hibalehetőséget jelentenek. Az egyéni szerepkörök használata kivételnek minősül, és szigorú felülvizsgálatot és fenyegetésmodellezést igényel	Naplózás, letiltva	1.0.1
Az Azure szerepköralapú hozzáférés-vezérlést (RBAC) a Kubernetes Servicesben kell használni	A felhasználók által végrehajtható műveletek részletes szűréséhez használja az Azure Szerepköralapú hozzáférés-vezérlést (RBAC) a Kubernetes-szolgáltatásfürtök engedélyeinek kezeléséhez és a vonatkozó engedélyezési szabályzatok konfigurálásához.	Naplózás, letiltva	1.0.3

Sebezhetőségi felmérés és behatolásteszt és piros csapatgyakorlatok

Sebezhetőségi felmérés és behatolási teszt és vörös csapat gyakorlatai–18.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A biztonságirés-felmérési megoldást engedélyezni kell a virtuális gépeken	A virtuális gépeket naplózva észleli, hogy támogatott sebezhetőségi felmérési megoldást futtatnak-e. Minden kiberkockázati és biztonsági program alapvető összetevője a biztonsági rések azonosítása és elemzése. Az Azure Security Center standard tarifacsomagja további költségek nélkül tartalmazza a virtuális gépek biztonsági réseinek vizsgálatát. Emellett a Security Center automatikusan üzembe helyezheti ezt az eszközt.	AuditIfNotExists, Disabled	3.0.0
A sebezhetőségi felmérést engedélyezni kell felügyelt SQL-példányon	Minden olyan felügyelt SQL-példány naplózása, amely nem rendelkezik engedélyezve az ismétlődő biztonságirés-felmérési vizsgálatokkal. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	1.0.1
A sebezhetőségi felmérést engedélyezni kell az SQL-kiszolgálókon	Olyan Azure SQL-kiszolgálók naplózása, amelyeken nincs megfelelően konfigurálva a biztonságirés-felmérés. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	3.0.0

Sebezhetőségi felmérés és behatolási teszt és vörös csapat gyakorlatai–18.2

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A biztonságirés-felmérési megoldást engedélyezni kell a virtuális gépeken	A virtuális gépeket naplózva észleli, hogy támogatott sebezhetőségi felmérési megoldást futtatnak-e. Minden kiberkockázati és biztonsági program alapvető összetevője a biztonsági rések azonosítása és elemzése. Az Azure Security Center standard tarifacsomagja további költségek nélkül tartalmazza a virtuális gépek biztonsági réseinek vizsgálatát. Emellett a Security Center automatikusan üzembe helyezheti ezt az eszközt.	AuditIfNotExists, Disabled	3.0.0
Az SQL-adatbázisok sebezhetőségi megállapításait meg kell oldani	A sebezhetőségi felmérés eredményeinek és az adatbázis biztonsági réseinek elhárítására vonatkozó javaslatok figyelése.	AuditIfNotExists, Disabled	4.1.0
A sebezhetőségi felmérést engedélyezni kell felügyelt SQL-példányon	Minden olyan felügyelt SQL-példány naplózása, amely nem rendelkezik engedélyezve az ismétlődő biztonságirés-felmérési vizsgálatokkal. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	1.0.1
A sebezhetőségi felmérést engedélyezni kell az SQL-kiszolgálókon	Olyan Azure SQL-kiszolgálók naplózása, amelyeken nincs megfelelően konfigurálva a biztonságirés-felmérés. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	3.0.0

Sebezhetőségi felmérés és behatolási teszt és vörös csapat gyakorlatai–18.4

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Az SQL-adatbázisok sebezhetőségi megállapításait meg kell oldani	A sebezhetőségi felmérés eredményeinek és az adatbázis biztonsági réseinek elhárítására vonatkozó javaslatok figyelése.	AuditIfNotExists, Disabled	4.1.0
A gépeken lévő SQL-kiszolgálókon a biztonsági rések megoldásának kell lennie	Az SQL biztonsági rések felmérése biztonsági réseket keres az adatbázisban, és elérhetővé teszi az ajánlott eljárásoktól való eltéréseket, például a helytelen konfigurációkat, a túlzott engedélyeket és a nem védett bizalmas adatokat. A talált biztonsági rések megoldása nagyban javíthatja az adatbázis biztonsági helyzetét.	AuditIfNotExists, Disabled	1.0.0
A tároló biztonsági konfigurációinak biztonsági réseit orvosolni kell	A biztonsági konfiguráció biztonsági réseinek naplózása olyan gépeken, amelyeken a Docker telepítve van, és javaslatokként jelenik meg az Azure Security Centerben.	AuditIfNotExists, Disabled	3.0.0
A gépek biztonsági konfigurációjának biztonsági réseit orvosolni kell	Az Azure Security Center javaslatként figyeli a konfigurált alapkonfigurációnak nem megfelelő kiszolgálókat	AuditIfNotExists, Disabled	3.1.0
A virtuálisgép-méretezési csoportok biztonsági konfigurációjának biztonsági réseit orvosolni kell	Ellenőrizze a virtuálisgép-méretezési csoportok operációsrendszer-biztonsági réseit, hogy megvédje őket a támadásoktól.	AuditIfNotExists, Disabled	3.0.0

Kockázatalapú tranzakciófigyelés

Kockázatalapú tranzakciófigyelés–20.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A biztonságirés-felmérési megoldást engedélyezni kell a virtuális gépeken	A virtuális gépeket naplózva észleli, hogy támogatott sebezhetőségi felmérési megoldást futtatnak-e. Minden kiberkockázati és biztonsági program alapvető összetevője a biztonsági rések azonosítása és elemzése. Az Azure Security Center standard tarifacsomagja további költségek nélkül tartalmazza a virtuális gépek biztonsági réseinek vizsgálatát. Emellett a Security Center automatikusan üzembe helyezheti ezt az eszközt.	AuditIfNotExists, Disabled	3.0.0
Engedélyezni kell a magas súlyosságú riasztások e-mailes értesítését	Ha gondoskodni szeretne arról, hogy a szervezet megfelelő tagjai értesítést kapnak, amikor biztonsági incidens történik az egyik előfizetésében, engedélyezze az e-mailes értesítéseket a Security Centerben a nagy súlyosságú riasztásokhoz.	AuditIfNotExists, Disabled	1.1.0
Engedélyezni kell az előfizetés tulajdonosának küldött e-mail-értesítést a nagy súlyosságú riasztások esetén	Annak biztosítása érdekében, hogy az előfizetés tulajdonosai értesítést kapnak arról, ha biztonsági incidens áll fenn az előfizetésükben, állítson be e-mail-értesítéseket az előfizetés-tulajdonosoknak a Security Center nagy súlyosságú riasztásaihoz.	AuditIfNotExists, Disabled	2.1.0
Az előfizetéseknek rendelkezniük kell egy kapcsolattartási e-mail-címmel biztonsági problémák esetén	Ha gondoskodni szeretne arról, hogy a szervezet érintett tagjai értesítést kapjanak, amikor biztonsági incidens lép fel az egyik előfizetésében, állítson be egy biztonsági kapcsolattartót, hogy e-mail-értesítéseket kapjon a Security Centertől.	AuditIfNotExists, Disabled	1.0.1
A sebezhetőségi felmérést engedélyezni kell felügyelt SQL-példányon	Minden olyan felügyelt SQL-példány naplózása, amely nem rendelkezik engedélyezve az ismétlődő biztonságirés-felmérési vizsgálatokkal. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	1.0.1
A sebezhetőségi felmérést engedélyezni kell az SQL-kiszolgálókon	Olyan Azure SQL-kiszolgálók naplózása, amelyeken nincs megfelelően konfigurálva a biztonságirés-felmérés. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	3.0.0

Mérőszámok

Metrics-21.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Az Azure Cosmos DB-fiókoknak ügyfél által felügyelt kulcsokkal kell titkosítaniuk az inaktív adatokat	Az ügyfél által felügyelt kulcsokkal kezelheti a titkosítást az Azure Cosmos DB többi részén. Alapértelmezés szerint az adatok inaktív állapotban, szolgáltatás által felügyelt kulcsokkal vannak titkosítva, de az ügyfél által felügyelt kulcsokra általában szükség van a jogszabályi megfelelőségi szabványoknak való megfeleléshez. Az ügyfél által felügyelt kulcsok lehetővé teszik az adatok titkosítását az Ön által létrehozott és birtokolt Azure Key Vault-kulccsal. Teljes körűen felügyelheti és felügyelheti a kulcsfontosságú életciklust, beleértve a rotációt és a felügyeletet is. További információ: https://aka.ms/cosmosdb-cmk.	naplózás, Naplózás, megtagadás, Megtagadás, Letiltás, Letiltva, Letiltva	1.1.0
Engedélyezni kell az Azure Defender for Key Vaultot	Az Azure Defender for Key Vault további védelmi és biztonságiintelligencia-réteget biztosít a Key Vault-fiókok elérésére vagy kihasználására tett szokatlan és potenciálisan káros kísérletek észlelésével.	AuditIfNotExists, Disabled	1.0.3
Az Azure Key Vaultnak engedélyeznie kell a tűzfalat	Engedélyezze a kulcstartó tűzfalát, hogy a kulcstartó alapértelmezés szerint ne legyen elérhető nyilvános IP-címek számára. Igény szerint konfigurálhat meghatározott IP-címtartományokat az adott hálózatokhoz való hozzáférés korlátozásához. További információ: https://docs.microsoft.com/azure/key-vault/general/network-security	Naplózás, megtagadás, letiltva	3.2.1
Az Azure Key Vaultsnak privát hivatkozást kell használnia	Az Azure Private Link lehetővé teszi, hogy a virtuális hálózatokat nyilvános IP-cím nélkül csatlakoztassa az Azure-szolgáltatásokhoz a forrásnál vagy a célhelyen. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. A privát végpontok Key Vaulthoz való leképezésével csökkentheti az adatszivárgási kockázatokat. További információ a privát hivatkozásokról: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Az Azure Machine Tanulás-munkaterületeket ügyfél által felügyelt kulccsal kell titkosítani	Az Azure Machine többi részén Tanulás munkaterület adatainak kezelése ügyfél által felügyelt kulcsokkal. Alapértelmezés szerint az ügyféladatok szolgáltatás által felügyelt kulcsokkal vannak titkosítva, de az ügyfél által felügyelt kulcsokra általában szükség van a jogszabályi megfelelőségi szabványoknak való megfeleléshez. Az ügyfél által felügyelt kulcsok lehetővé teszik az adatok titkosítását az Ön által létrehozott és birtokolt Azure Key Vault-kulccsal. Teljes körűen felügyelheti és felügyelheti a kulcsfontosságú életciklust, beleértve a rotációt és a felügyeletet is. További információ: https://aka.ms/azureml-workspaces-cmk.	Naplózás, megtagadás, letiltva	1.0.3
A tanúsítványoknak a megadott maximális érvényességi idővel kell rendelkezniük	A szervezeti megfelelőségi követelmények kezeléséhez adja meg a tanúsítvány érvényességének maximális időtartamát a kulcstartóban.	naplózás, Naplózás, megtagadás, Megtagadás, Letiltás, Letiltva, Letiltva	2.2.1
A Cognitive Services-fiókoknak engedélyeznie kell az ügyfél által felügyelt kulccsal történő adattitkosítást	Az ügyfél által felügyelt kulcsok gyakran szükségesek a jogszabályi megfelelőségi szabványoknak való megfeleléshez. Az ügyfél által felügyelt kulcsok lehetővé teszik a Cognitive Servicesben tárolt adatok titkosítását az Ön által létrehozott és birtokolt Azure Key Vault-kulccsal. Teljes körűen felügyelheti és felügyelheti a kulcsfontosságú életciklust, beleértve a rotációt és a felügyeletet is. További információ az ügyfél által felügyelt kulcsokról itt https://go.microsoft.com/fwlink/?linkid=2121321: .	Naplózás, megtagadás, letiltva	2.1.0
A tárolóregisztrációs adatbázisokat ügyfél által felügyelt kulccsal kell titkosítani	Az ügyfél által kezelt kulcsokkal kezelheti a titkosítást a regisztrációs adatbázisok többi részén. Alapértelmezés szerint az adatok inaktív állapotban, szolgáltatás által felügyelt kulcsokkal vannak titkosítva, de az ügyfél által felügyelt kulcsokra általában szükség van a jogszabályi megfelelőségi szabványoknak való megfeleléshez. Az ügyfél által felügyelt kulcsok lehetővé teszik az adatok titkosítását az Ön által létrehozott és birtokolt Azure Key Vault-kulccsal. Teljes körűen felügyelheti és felügyelheti a kulcsfontosságú életciklust, beleértve a rotációt és a felügyeletet is. További információ: https://aka.ms/acr/CMK.	Naplózás, megtagadás, letiltva	1.1.2
A kulcstartók törlés elleni védelmének engedélyezve kell lennie	A kulcstartó rosszindulatú törlése állandó adatvesztéshez vezethet. A végleges adatvesztést megakadályozhatja a törlés elleni védelem és a helyreállítható törlés engedélyezésével. A törlés elleni védelem a helyreállíthatóan törölt kulcstartók kötelező megőrzési időtartamának kikényszerítésével védi meg a belső támadásokat. A helyreállítható törlési megőrzési időszak alatt a szervezeten vagy a Microsofton belül senki sem fogja tudni kiüríteni a kulcstartókat. Ne feledje, hogy a 2019. szeptember 1. után létrehozott kulcstartók alapértelmezés szerint engedélyezve vannak a helyreállítható törléssel.	Naplózás, megtagadás, letiltva	2.1.0
A kulcstartókban engedélyezve kell lennie a helyreállítható törlésnek	Ha a kulcstartót helyreállítható törlés nélkül törli, az véglegesen törli a kulcstartóban tárolt összes titkos kulcsot, kulcsot és tanúsítványt. A kulcstartó véletlen törlése tartós adatvesztéshez vezethet. A helyreállítható törlés lehetővé teszi egy véletlenül törölt kulcstartó helyreállítását egy konfigurálható megőrzési időszakra.	Naplózás, megtagadás, letiltva	3.0.0
A MySQL-kiszolgálóknak ügyfél által felügyelt kulcsokkal kell titkosítaniuk az inaktív adatokat	Az ügyfél által kezelt kulcsokkal kezelheti a titkosítást a MySQL-kiszolgálók többi részén. Alapértelmezés szerint az adatok inaktív állapotban, szolgáltatás által felügyelt kulcsokkal vannak titkosítva, de az ügyfél által felügyelt kulcsokra általában szükség van a jogszabályi megfelelőségi szabványoknak való megfeleléshez. Az ügyfél által felügyelt kulcsok lehetővé teszik az adatok titkosítását az Ön által létrehozott és birtokolt Azure Key Vault-kulccsal. Teljes körűen felügyelheti és felügyelheti a kulcsfontosságú életciklust, beleértve a rotációt és a felügyeletet is.	AuditIfNotExists, Disabled	1.0.4
A PostgreSQL-kiszolgálóknak ügyfél által felügyelt kulcsokkal kell titkosítaniuk az inaktív adatokat	Az ügyfél által felügyelt kulcsokkal kezelheti a titkosítást a PostgreSQL-kiszolgálók többi részén. Alapértelmezés szerint az adatok inaktív állapotban, szolgáltatás által felügyelt kulcsokkal vannak titkosítva, de az ügyfél által felügyelt kulcsokra általában szükség van a jogszabályi megfelelőségi szabványoknak való megfeleléshez. Az ügyfél által felügyelt kulcsok lehetővé teszik az adatok titkosítását az Ön által létrehozott és birtokolt Azure Key Vault-kulccsal. Teljes körűen felügyelheti és felügyelheti a kulcsfontosságú életciklust, beleértve a rotációt és a felügyeletet is.	AuditIfNotExists, Disabled	1.0.4
A felügyelt SQL-példányoknak ügyfél által felügyelt kulcsokkal kell titkosítaniuk az inaktív adatokat	A transzparens adattitkosítás (TDE) saját kulccsal történő implementálása nagyobb átláthatóságot és ellenőrzést biztosít a TDE Protector felett, nagyobb biztonságot biztosít egy HSM által támogatott külső szolgáltatással, valamint a feladatok elkülönítésének előmozdítását. Ez a javaslat a kapcsolódó megfelelőségi követelményekkel rendelkező szervezetekre vonatkozik.	Naplózás, megtagadás, letiltva	2.0.0
Az SQL-kiszolgálóknak ügyfél által felügyelt kulcsokkal kell titkosítaniuk az inaktív adatokat	A transzparens adattitkosítás (TDE) saját kulccsal történő implementálása nagyobb átláthatóságot és ellenőrzést biztosít a TDE Protector felett, nagyobb biztonságot biztosít a HSM által támogatott külső szolgáltatásokkal, valamint a vámok elkülönítésének előmozdítását. Ez a javaslat a kapcsolódó megfelelőségi követelményekkel rendelkező szervezetekre vonatkozik.	Naplózás, megtagadás, letiltva	2.0.1
A tárfiókoknak ügyfél által felügyelt kulcsot kell használniuk a titkosításhoz	A blob- és fájltárolási fiók védelme nagyobb rugalmassággal az ügyfél által felügyelt kulcsok használatával. Felhasználó által kezelt kulcs megadásakor a megadott kulccsal védi és szabályozza az adatokat titkosító kulcs hozzáférését. Az ügyfél által felügyelt kulcsok további képességeket biztosítanak a kulcstitkosítási kulcs forgatásának vagy az adatok kriptográfiai törlésének szabályozásához.	Naplózás, letiltva	1.0.3

Metrics-21.2

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A gyakori elérésű fóliát engedélyezni kell Windows Server Azure Edition rendszerű virtuális gépeken	Az újraindítások minimalizálása és a frissítések gyors telepítése a hotpatch használatával. További információ: https://docs.microsoft.com/azure/automanage/automanage-hotpatch	Naplózás, megtagadás, letiltva	1.0.0

Napló Gépház

Naplózási napló Gépház-17.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
[Előzetes verzió]: A hálózati adatgyűjtő ügynököt Linux rendszerű virtuális gépekre kell telepíteni	A Security Center a Microsoft Dependency-ügynökkel gyűjti össze a hálózati forgalmi adatokat az Azure-beli virtuális gépekről, hogy olyan speciális hálózatvédelmi funkciókat engedélyezzen, mint a hálózati térképen látható forgalomvizualizáció, a hálózatmegerősítési javaslatok és az adott hálózati fenyegetések.	AuditIfNotExists, Disabled	1.0.2-előzetes verzió
[Előzetes verzió]: A hálózati adatgyűjtő ügynököt windowsos virtuális gépekre kell telepíteni	A Security Center a Microsoft Dependency-ügynökkel gyűjti össze a hálózati forgalmi adatokat az Azure-beli virtuális gépekről, hogy olyan speciális hálózatvédelmi funkciókat engedélyezzen, mint a hálózati térképen látható forgalomvizualizáció, a hálózatmegerősítési javaslatok és az adott hálózati fenyegetések.	AuditIfNotExists, Disabled	1.0.2-előzetes verzió
Az App Service-alkalmazásoknak engedélyezniük kell az erőforrásnaplókat	Az erőforrásnaplók engedélyezésének naplózása az alkalmazásban. Ez lehetővé teszi a tevékenységnaplók ismételt létrehozását vizsgálati célokra, ha biztonsági incidens történik, vagy ha a hálózata sérült.	AuditIfNotExists, Disabled	2.0.1
A vendégkonfigurációs bővítményt telepíteni kell a gépekre	A gép vendégbeállításainak biztonságos konfigurálásához telepítse a Vendégkonfiguráció bővítményt. A bővítményfigyelők vendégbeállításai közé tartozik az operációs rendszer konfigurációja, az alkalmazáskonfiguráció vagy a jelenlét, valamint a környezeti beállítások. A telepítést követően a vendégen belüli szabályzatok elérhetővé válnak, például a "Windows Exploit Guard engedélyezve kell lennie". További információ: https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.3
A Linux-gépeknek meg kell felelniük az Azure számítási biztonsági alapkonfigurációjának követelményeinek	Megköveteli, hogy az előfeltételek a szabályzat-hozzárendelés hatókörében legyenek üzembe helyezve. A részletekért látogasson el ide https://aka.ms/gcpol. A gépek nem megfelelőek, ha a gép nincs megfelelően konfigurálva az Azure számítási biztonsági alapkonfigurációjának egyik javaslatához.	AuditIfNotExists, Disabled	2.2.0
Engedélyezni kell az Azure Data Lake Store-beli erőforrásnaplókat	Erőforrásnaplók naplózása. Ez lehetővé teszi, hogy újra létrehozhassa a vizsgálati célokra használható tevékenységútvonalakat; biztonsági incidens bekövetkezésekor vagy a hálózat sérülése esetén	AuditIfNotExists, Disabled	5.0.0
Engedélyezni kell az Azure Stream Analytics erőforrásnaplóit	Erőforrásnaplók naplózása. Ez lehetővé teszi, hogy újra létrehozhassa a vizsgálati célokra használható tevékenységútvonalakat; biztonsági incidens bekövetkezésekor vagy a hálózat sérülése esetén	AuditIfNotExists, Disabled	5.0.0
Engedélyezni kell az erőforrásnaplókat a Data Lake Analyticsben	Erőforrásnaplók naplózása. Ez lehetővé teszi, hogy újra létrehozhassa a vizsgálati célokra használható tevékenységútvonalakat; biztonsági incidens bekövetkezésekor vagy a hálózat sérülése esetén	AuditIfNotExists, Disabled	5.0.0
Engedélyezni kell az erőforrásnaplókat az Event Hubban	Erőforrásnaplók naplózása. Ez lehetővé teszi, hogy újra létrehozhassa a vizsgálati célokra használható tevékenységútvonalakat; biztonsági incidens bekövetkezésekor vagy a hálózat sérülése esetén	AuditIfNotExists, Disabled	5.0.0
Engedélyezni kell az erőforrásnaplókat a Key Vaultban	Erőforrásnaplók naplózása. Ez lehetővé teszi, hogy a vizsgálati célokra használható tevékenységútvonalakat újra létrehozva biztonsági incidens esetén vagy a hálózat sérülése esetén	AuditIfNotExists, Disabled	5.0.0
Engedélyezni kell az erőforrásnaplókat a Logic Appsben	Erőforrásnaplók naplózása. Ez lehetővé teszi, hogy újra létrehozhassa a vizsgálati célokra használható tevékenységútvonalakat; biztonsági incidens bekövetkezésekor vagy a hálózat sérülése esetén	AuditIfNotExists, Disabled	5.1.0
Engedélyezni kell az erőforrásnaplókat a Service Busban	Erőforrásnaplók naplózása. Ez lehetővé teszi, hogy újra létrehozhassa a vizsgálati célokra használható tevékenységútvonalakat; biztonsági incidens bekövetkezésekor vagy a hálózat sérülése esetén	AuditIfNotExists, Disabled	5.0.0
A virtuális gépek vendégkonfigurációs bővítményét rendszer által hozzárendelt felügyelt identitással kell üzembe helyezni	A Vendégkonfiguráció bővítményhez rendszer által hozzárendelt felügyelt identitás szükséges. A szabályzat hatálya alá tartozó Azure-beli virtuális gépek nem lesznek kompatibilisek, ha telepítve van a Vendégkonfiguráció bővítmény, de nincs hozzárendelve a rendszer által hozzárendelt felügyelt identitás. További információ: https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1
A Windows-gépeknek meg kell felelniük az Azure számítási biztonsági alapkonfiguráció követelményeinek	Megköveteli, hogy az előfeltételek a szabályzat-hozzárendelés hatókörében legyenek üzembe helyezve. A részletekért látogasson el ide https://aka.ms/gcpol. A gépek nem megfelelőek, ha a gép nincs megfelelően konfigurálva az Azure számítási biztonsági alapkonfigurációjának egyik javaslatához.	AuditIfNotExists, Disabled	2.0.0

Adathalászat elleni

Adathalászat elleni 14.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
[Előzetes verzió]: Az Azure Recovery Services-tárolóknak privát hivatkozást kell használniuk a biztonsági mentéshez	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. A privát végpontok Azure Recovery Services-tárolókhoz való leképezésével csökken az adatszivárgás kockázata. További információ a privát hivatkozásokról: https://aka.ms/AB-PrivateEndpoints.	Naplózás, letiltva	2.0.0-előzetes verzió
[Előzetes verzió]: A tárfiók nyilvános hozzáférését le kell tiltani	A tárolókhoz és blobokhoz való névtelen nyilvános olvasási hozzáférés az Azure Storage-ban kényelmes módja az adatok megosztásának, de biztonsági kockázatot jelenthet. A nem kívánt névtelen hozzáférés által okozott adatsértések megelőzése érdekében a Microsoft azt javasolja, hogy tiltsa meg a tárfiókhoz való nyilvános hozzáférést, kivéve, ha az Ön forgatókönyve megköveteli.	naplózás, Naplózás, megtagadás, Megtagadás, Letiltás, Letiltva, Letiltva	3.1.0-előzetes verzió
A biztonságos alkalmazások meghatározásához használható adaptív alkalmazásvezérlőket engedélyezni kell a gépeken	Engedélyezheti az alkalmazásvezérlők számára, hogy meghatározzák a gépeken futó ismert alkalmazások listáját, és riasztást küldhessenek, amikor más alkalmazások futnak. Ez segít megkeményíteni a gépeket a kártevők ellen. A szabályok konfigurálásának és karbantartásának egyszerűsítése érdekében a Security Center gépi tanulással elemzi az egyes gépeken futó alkalmazásokat, és javaslatot tesz az ismert biztonságos alkalmazások listájára.	AuditIfNotExists, Disabled	3.0.0
Frissíteni kell az adaptív alkalmazásvezérlési szabályzat engedélyezési listára vonatkozó szabályait	Figyelheti az Azure Security Center adaptív alkalmazásvezérlői által naplózásra konfigurált gépcsoportok viselkedésének változásait. A Security Center gépi tanulással elemzi a gépeken futó folyamatokat, és javaslatot tesz az ismerten biztonságos alkalmazások listájára. Ezek ajánlott alkalmazásként jelennek meg az adaptív alkalmazásvezérlési szabályzatok engedélyezéséhez.	AuditIfNotExists, Disabled	3.0.0
Az API Management-szolgáltatásoknak virtuális hálózatot kell használniuk	Az Azure Virtual Network üzembe helyezése fokozott biztonságot és elkülönítést biztosít, és lehetővé teszi, hogy az API Management szolgáltatást egy nem internetes, szabályozható hálózaton helyezze el, amelyhez ön szabályozza a hozzáférést. Ezek a hálózatok ezután különböző VPN-technológiák használatával csatlakoztathatók a helyszíni hálózatokhoz, ami lehetővé teszi a háttérszolgáltatások elérését a hálózaton és/vagy a helyszínen. A fejlesztői portál és az API-átjáró úgy konfigurálható, hogy elérhető legyen az internetről vagy csak a virtuális hálózaton belül.	Naplózás, megtagadás, letiltva	1.0.2
Az alkalmazáskonfigurációnak privát hivatkozást kell használnia	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A privát kapcsolati platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. Ha a teljes szolgáltatás helyett privát végpontokat társít az alkalmazáskonfigurációs példányokhoz, az adatszivárgási kockázatokkal szemben is védelmet nyújt. További információ: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, Disabled	1.0.2
Az engedélyezett IP-címtartományokat a Kubernetes Servicesben kell meghatározni	Korlátozza a Kubernetes Service Management API-hoz való hozzáférést úgy, hogy az API-hozzáférést csak adott tartományok IP-címéhez adja meg. Javasoljuk, hogy korlátozza az engedélyezett IP-tartományokhoz való hozzáférést, hogy csak az engedélyezett hálózatokból származó alkalmazások férhessenek hozzá a fürthöz.	Naplózás, letiltva	2.0.1
Az Azure AI Services-erőforrásoknak korlátozniuk kell a hálózati hozzáférést	A hálózati hozzáférés korlátozásával biztosítható, hogy csak az engedélyezett hálózatok férhessenek hozzá a szolgáltatáshoz. Ez úgy érhető el, hogy hálózati szabályokat konfigurál, hogy csak az engedélyezett hálózatokból származó alkalmazások férhessenek hozzá az Azure AI szolgáltatáshoz.	Naplózás, megtagadás, letiltva	3.2.0
Engedélyezni kell az Azure Defendert a kiszolgálókhoz	A kiszolgálókhoz készült Azure Defender valós idejű fenyegetésvédelmet biztosít a kiszolgálói számítási feladatokhoz, és keményítési javaslatokat és riasztásokat hoz létre a gyanús tevékenységekről.	AuditIfNotExists, Disabled	1.0.3
Az Azure Event Grid-tartományoknak privát hivatkozást kell használniuk	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. Ha a teljes szolgáltatás helyett privát végpontokat társít az Event Grid-tartományhoz, az adatszivárgási kockázatokkal szemben is védett lesz. További információ: https://aka.ms/privateendpoints.	Naplózás, letiltva	1.0.2
Az Azure Event Grid-témaköröknek privát hivatkozást kell használniuk	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. Ha a teljes szolgáltatás helyett privát végpontokat társít az Event Grid-témakörhöz, az adatszivárgási kockázatokkal szemben is védett lesz. További információ: https://aka.ms/privateendpoints.	Naplózás, letiltva	1.0.2
Az Azure File Syncnek privát hivatkozást kell használnia	Ha privát végpontot hoz létre a megadott Storage Sync Service-erőforráshoz, akkor a társzinkronizálási szolgáltatás erőforrását a szervezet hálózatának privát IP-címteréből kezelheti, nem pedig az internetről elérhető nyilvános végponton keresztül. A privát végpont önmagában történő létrehozása nem tiltja le a nyilvános végpontot.	AuditIfNotExists, Disabled	1.0.0
Az Azure Key Vaultnak engedélyeznie kell a tűzfalat	Engedélyezze a kulcstartó tűzfalát, hogy a kulcstartó alapértelmezés szerint ne legyen elérhető nyilvános IP-címek számára. Igény szerint konfigurálhat meghatározott IP-címtartományokat az adott hálózatokhoz való hozzáférés korlátozásához. További információ: https://docs.microsoft.com/azure/key-vault/general/network-security	Naplózás, megtagadás, letiltva	3.2.1
Az Azure Key Vaultsnak privát hivatkozást kell használnia	Az Azure Private Link lehetővé teszi, hogy a virtuális hálózatokat nyilvános IP-cím nélkül csatlakoztassa az Azure-szolgáltatásokhoz a forrásnál vagy a célhelyen. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. A privát végpontok Key Vaulthoz való leképezésével csökkentheti az adatszivárgási kockázatokat. További információ a privát hivatkozásokról: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Az Azure Machine Tanulás-munkaterületeknek privát hivatkozást kell használniuk	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. A privát végpontok Azure Machine-Tanulás-munkaterületekre való leképezésével csökken az adatszivárgás kockázata. További információ a privát hivatkozásokról: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Naplózás, letiltva	1.0.0
Az Azure Spring Cloudnak hálózati injektálást kell használnia	Az Azure Spring Cloud-példányoknak virtuális hálózati injektálást kell használniuk a következő célokra: 1. Az Azure Spring Cloud elkülönítése az internetről. 2. Engedélyezze az Azure Spring Cloud számára, hogy a helyszíni adatközpontokban vagy az Azure szolgáltatásban lévő rendszerekkel kommunikáljon más virtuális hálózatokon. 3. Lehetővé teszi az ügyfelek számára az Azure Spring Cloud bejövő és kimenő hálózati kommunikációjának szabályozását.	Naplózás, Letiltás, Megtagadás	1.2.0
A tárolóregisztrációs adatbázisok nem engedélyezhetik a korlátlan hálózati hozzáférést	Az Azure-tárolóregisztrációs adatbázisok alapértelmezés szerint elfogadják az interneten keresztüli kapcsolatokat bármely hálózat gazdagépeitől. Ha meg szeretné védeni a regisztrációs adatbázisokat a lehetséges fenyegetésektől, engedélyezze a hozzáférést csak meghatározott privát végpontokról, nyilvános IP-címekről vagy címtartományokból. Ha a beállításjegyzékben nincsenek hálózati szabályok konfigurálva, az nem megfelelő erőforrásokban jelenik meg. További információ a Tárolóregisztrációs adatbázis hálózati szabályairól: https://aka.ms/acr/privatelinkéshttps://aka.ms/acr/portal/public-networkhttps://aka.ms/acr/vnet.	Naplózás, megtagadás, letiltva	2.0.0
A tárolóregisztrációs adatbázisoknak privát hivatkozást kell használniuk	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A privát kapcsolati platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. Ha a teljes szolgáltatás helyett privát végpontokat rendel a tárolóregisztrációs adatbázisokhoz, az adatszivárgási kockázatokkal szemben is védelmet nyújt. További információ: https://aka.ms/acr/private-link.	Naplózás, letiltva	1.0.1
Engedélyezni kell a privát végpontkapcsolatokat az Azure SQL Database-ben	A privát végpontkapcsolatok biztonságos kommunikációt kényszerítenek ki az Azure SQL Database-hez való privát kapcsolat engedélyezésével.	Naplózás, letiltva	1.1.0
A privát végpontot engedélyezni kell MariaDB-kiszolgálókhoz	A privát végpontkapcsolatok biztonságos kommunikációt kényszerítenek ki az Azure Database for MariaDB-hez való privát kapcsolat engedélyezésével. Konfiguráljon egy privát végpontkapcsolatot, hogy csak ismert hálózatokról érkező forgalomhoz lehessen hozzáférni, és megakadályozza az összes többi IP-címhez való hozzáférést, beleértve az Azure-t is.	AuditIfNotExists, Disabled	1.0.2
A privát végpontot engedélyezni kell a MySQL-kiszolgálókon	A privát végpontkapcsolatok biztonságos kommunikációt kényszerítenek ki az Azure Database for MySQL-hez való privát kapcsolat engedélyezésével. Konfiguráljon egy privát végpontkapcsolatot, hogy csak ismert hálózatokról érkező forgalomhoz lehessen hozzáférni, és megakadályozza az összes többi IP-címhez való hozzáférést, beleértve az Azure-t is.	AuditIfNotExists, Disabled	1.0.2
A privát végpontot engedélyezni kell a PostgreSQL-kiszolgálókhoz	A privát végpontkapcsolatok biztonságos kommunikációt kényszerítenek ki az Azure Database for PostgreSQL-hez való privát kapcsolat engedélyezésével. Konfiguráljon egy privát végpontkapcsolatot, hogy csak ismert hálózatokról érkező forgalomhoz lehessen hozzáférni, és megakadályozza az összes többi IP-címhez való hozzáférést, beleértve az Azure-t is.	AuditIfNotExists, Disabled	1.0.2
Le kell tiltani a nyilvános hálózati hozzáférést az Azure SQL Database-ben	A nyilvános hálózati hozzáférési tulajdonság letiltása növeli a biztonságot azáltal, hogy biztosítja, hogy az Azure SQL Database csak privát végpontról érhető el. Ez a konfiguráció letiltja az IP- vagy virtuális hálózatalapú tűzfalszabályoknak megfelelő összes bejelentkezést.	Naplózás, megtagadás, letiltva	1.1.0
A nyilvános hálózati hozzáférést le kell tiltani MariaDB-kiszolgálók esetében	A biztonság javítása érdekében tiltsa le a nyilvános hálózati hozzáférési tulajdonságot, és győződjön meg arról, hogy az Azure Database for MariaDB csak privát végpontról érhető el. Ez a konfiguráció szigorúan letiltja a hozzáférést az Azure IP-tartományán kívüli nyilvános címtérről, és letilt minden olyan bejelentkezést, amely megfelel az IP- vagy a virtuális hálózatalapú tűzfalszabályoknak.	Naplózás, megtagadás, letiltva	2.0.0
A nyilvános hálózati hozzáférést le kell tiltani a MySQL-kiszolgálókon	A biztonság javítása érdekében tiltsa le a nyilvános hálózati hozzáférési tulajdonságot, és győződjön meg arról, hogy az Azure Database for MySQL csak privát végpontról érhető el. Ez a konfiguráció szigorúan letiltja a hozzáférést az Azure IP-tartományán kívüli nyilvános címtérről, és letilt minden olyan bejelentkezést, amely megfelel az IP- vagy a virtuális hálózatalapú tűzfalszabályoknak.	Naplózás, megtagadás, letiltva	2.0.0
A nyilvános hálózati hozzáférést le kell tiltani a PostgreSQL-kiszolgálók esetében	A biztonság javítása érdekében tiltsa le a nyilvános hálózati hozzáférési tulajdonságot, és győződjön meg arról, hogy az Azure Database for PostgreSQL csak privát végpontról érhető el. Ez a konfiguráció letiltja a hozzáférést az Azure IP-címtartományán kívüli bármely nyilvános címtérről, és letiltja az IP- vagy virtuális hálózatalapú tűzfalszabályoknak megfelelő összes bejelentkezést.	Naplózás, megtagadás, letiltva	2.0.1
A tárfiókok számára korlátozni kell a hálózati hozzáférést	A tárfiókokhoz való hálózati hozzáférést korlátozni kell. Konfigurálja a hálózati szabályokat, hogy csak az engedélyezett hálózatokból származó alkalmazások férhessenek hozzá a tárfiókhoz. Az adott internetről vagy helyszíni ügyfelekről érkező kapcsolatok engedélyezéséhez hozzáférést lehet biztosítani adott Azure-beli virtuális hálózatokból vagy nyilvános internetes IP-címtartományokból érkező forgalomhoz	Naplózás, megtagadás, letiltva	1.1.1
A tárfiókok virtuális hálózati szabályokkal korlátozhatják a hálózati hozzáférést	Az IP-alapú szűrés helyett a virtuális hálózati szabályokkal védheti meg a tárfiókokat a potenciális fenyegetésektől. Az IP-alapú szűrés letiltása megakadályozza, hogy a nyilvános IP-címek hozzáférjenek a tárfiókokhoz.	Naplózás, megtagadás, letiltva	1.0.1
A tárfiókok privát hivatkozást használnak	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. A privát végpontok tárfiókhoz való leképezésével csökken az adatszivárgás kockázata. További információ a privát hivatkozásokról: https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
A VM Image Builder-sablonoknak privát hivatkozást kell használniuk	Az Azure Private Link lehetővé teszi a virtuális hálózat azure-szolgáltatásokhoz való csatlakoztatását anélkül, hogy a forrásnál vagy a célnál nyilvános IP-címmel rendelkezik. A Private Link platform kezeli a fogyasztó és a szolgáltatások közötti kapcsolatot az Azure gerinchálózatán keresztül. Azáltal, hogy privát végpontokat társít a VM Image Builder építőerőforrásaihoz, az adatszivárgási kockázatok csökkennek. További információ a privát hivatkozásokról: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Naplózás, Letiltás, Megtagadás	1.1.0

Advanced Real-Timethreat Defence and Management

Advanced Real-Timethreat Defence and Management-13.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
[Elavult]: A függvényalkalmazásoknak engedélyezniük kell az "Ügyféltanúsítványok (Bejövő ügyféltanúsítványok)" funkciót	Az ügyféltanúsítványok lehetővé teszik, hogy az alkalmazás tanúsítványt kérjen a bejövő kérésekhez. Csak érvényes tanúsítványokkal rendelkező ügyfelek érhetik el az alkalmazást. Ezt a szabályzatot egy új, azonos nevű szabályzat váltotta fel, mert a Http 2.0 nem támogatja az ügyféltanúsítványokat.	Naplózás, letiltva	3.1.0-elavult
[Előzetes verzió]: A vendégigazolási bővítményt a támogatott Linux rendszerű virtuális gépekre kell telepíteni	Telepítse a vendégigazolási bővítményt a támogatott Linux rendszerű virtuális gépekre, hogy az Azure Security Center proaktívan tanúsítsa és monitorozza a rendszerindítás integritását. A telepítést követően a rendszerindítási integritást a rendszer távoli igazolással igazolja. Ez az értékelés a megbízható indítású és a bizalmas Linux rendszerű virtuális gépekre vonatkozik.	AuditIfNotExists, Disabled	6.0.0-előzetes verzió
[Előzetes verzió]: A vendégigazolási bővítményt telepíteni kell a támogatott Linux rendszerű virtuális gépek méretezési csoportjaira	Telepítse a vendégigazolási bővítményt a támogatott Linux rendszerű virtuális gépek méretezési csoportjaira, hogy az Azure Security Center proaktívan tanúsíthassa és monitorozza a rendszerindítás integritását. A telepítést követően a rendszerindítási integritást a rendszer távoli igazolással igazolja. Ez az értékelés a Megbízható indítás és a Bizalmas Linux rendszerű virtuálisgép-méretezési csoportokra vonatkozik.	AuditIfNotExists, Disabled	5.1.0-előzetes verzió
[Előzetes verzió]: A vendégigazolási bővítményt a támogatott Windows rendszerű virtuális gépekre kell telepíteni	Telepítse a vendégigazolási bővítményt a támogatott virtuális gépekre, hogy az Azure Security Center proaktívan tanúsítsa és monitorozza a rendszerindítás integritását. A telepítést követően a rendszerindítási integritást a rendszer távoli igazolással igazolja. Ez az értékelés a Megbízható indítás és a Bizalmas Windows rendszerű virtuális gépekre vonatkozik.	AuditIfNotExists, Disabled	4.0.0-előzetes verzió
[Előzetes verzió]: A vendégigazolási bővítményt a támogatott Windows rendszerű virtuális gépek méretezési csoportjaira kell telepíteni	Telepítse a vendégigazolási bővítményt a támogatott virtuálisgép-méretezési csoportokra, hogy az Azure Security Center proaktívan tanúsítsa és monitorozza a rendszerindítás integritását. A telepítést követően a rendszerindítási integritást a rendszer távoli igazolással igazolja. Ez az értékelés a Megbízható indítás és a Bizalmas Windows rendszerű virtuálisgép-méretezési csoportokra vonatkozik.	AuditIfNotExists, Disabled	3.1.0-előzetes verzió
[Előzetes verzió]: A biztonságos rendszerindítást engedélyezni kell a támogatott Windows rendszerű virtuális gépeken	Engedélyezze a biztonságos rendszerindítást a támogatott Windows rendszerű virtuális gépeken, hogy elhárítsa a rendszerindítási lánc rosszindulatú és jogosulatlan módosításait. Ha engedélyezve van, csak megbízható rendszerindítók, kernel- és kernelillesztők futtathatók. Ez az értékelés a Megbízható indítás és a Bizalmas Windows rendszerű virtuális gépekre vonatkozik.	Naplózás, letiltva	4.0.0-előzetes verzió
[Előzetes verzió]: a vTPM-et engedélyezni kell a támogatott virtuális gépeken	Engedélyezze a virtuális TPM-eszközt a támogatott virtuális gépeken, hogy megkönnyítse a mért rendszerindítást és más, TPM-t igénylő operációsrendszer-biztonsági funkciókat. Ha engedélyezve van, a vTPM használható a rendszerindítás integritásának igazolására. Ez az értékelés csak a megbízható indításra engedélyezett virtuális gépekre vonatkozik.	Naplózás, letiltva	2.0.0-előzetes verzió
A biztonságos alkalmazások meghatározásához használható adaptív alkalmazásvezérlőket engedélyezni kell a gépeken	Engedélyezheti az alkalmazásvezérlők számára, hogy meghatározzák a gépeken futó ismert alkalmazások listáját, és riasztást küldhessenek, amikor más alkalmazások futnak. Ez segít megkeményíteni a gépeket a kártevők ellen. A szabályok konfigurálásának és karbantartásának egyszerűsítése érdekében a Security Center gépi tanulással elemzi az egyes gépeken futó alkalmazásokat, és javaslatot tesz az ismert biztonságos alkalmazások listájára.	AuditIfNotExists, Disabled	3.0.0
Frissíteni kell az adaptív alkalmazásvezérlési szabályzat engedélyezési listára vonatkozó szabályait	Figyelheti az Azure Security Center adaptív alkalmazásvezérlői által naplózásra konfigurált gépcsoportok viselkedésének változásait. A Security Center gépi tanulással elemzi a gépeken futó folyamatokat, és javaslatot tesz az ismerten biztonságos alkalmazások listájára. Ezek ajánlott alkalmazásként jelennek meg az adaptív alkalmazásvezérlési szabályzatok engedélyezéséhez.	AuditIfNotExists, Disabled	3.0.0
Az App Service-alkalmazásoknak engedélyezniük kell az ügyféltanúsítványokat (bejövő ügyféltanúsítványokat)	Az ügyféltanúsítványok lehetővé teszik, hogy az alkalmazás tanúsítványt kérjen a bejövő kérésekhez. Csak az érvényes tanúsítvánnyal rendelkező ügyfelek érhetik el az alkalmazást. Ez a szabályzat az 1.1-es verziójú Http-verziójú alkalmazásokra vonatkozik.	AuditIfNotExists, Disabled	1.0.0
Az App Service-alkalmazásoknak ki kell kapcsolniuk a távoli hibakeresést	A távoli hibakereséshez meg kell nyitni a bejövő portokat egy App Service-alkalmazásban. A távoli hibakeresést ki kell kapcsolni.	AuditIfNotExists, Disabled	2.0.0
Az App Service-alkalmazásoknak nem kell konfigurálnia a CORS-t, hogy minden erőforrás hozzáférhessen az alkalmazásokhoz	A forrásközi erőforrás-megosztás (CORS) nem engedélyezi az összes tartomány számára az alkalmazás elérését. Csak a szükséges tartományok számára engedélyezi az alkalmazással való interakciót.	AuditIfNotExists, Disabled	2.0.0
Az App Service-alkalmazásoknak a legújabb TLS-verziót kell használniuk	A TLS-hez rendszeres időközönként újabb verziók jelennek meg biztonsági hibák, további funkciók és a sebesség növelése miatt. Frissítsen az App Service-alkalmazások legújabb TLS-verziójára, hogy kihasználhassa a legújabb verzió biztonsági javításait és/vagy új funkcióit.	AuditIfNotExists, Disabled	2.0.1
A végpontvédelmi állapottal kapcsolatos problémákat meg kell oldani a gépeken	A virtuális gépek végpontvédelmi állapotproblémáinak megoldása a legújabb fenyegetések és biztonsági rések elleni védelem érdekében. Az Azure Security Center által támogatott végpontvédelmi megoldásokat itt dokumentáljuk : https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. A végpontvédelem értékelése itt dokumentálva van – https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection.	AuditIfNotExists, Disabled	1.0.0
A végpontvédelmet telepíteni kell a gépekre	A gépek fenyegetésekkel és biztonsági résekkel szembeni védelméhez telepítsen egy támogatott végpontvédelmi megoldást.	AuditIfNotExists, Disabled	1.0.0
A végpontvédelmi megoldást telepíteni kell a virtuálisgép-méretezési csoportokra	A virtuálisgép-méretezési csoportok végpontvédelmi megoldásának meglétét és állapotát naplózza, hogy megvédje őket a fenyegetésektől és a biztonsági résektől.	AuditIfNotExists, Disabled	3.0.0
A függvényalkalmazásoknak ki kell kapcsolniuk a távoli hibakeresést	A távoli hibakereséshez meg kell nyitni a bejövő portokat a függvényalkalmazásokon. A távoli hibakeresést ki kell kapcsolni.	AuditIfNotExists, Disabled	2.0.0
A függvényalkalmazásoknak nem kell konfigurálnia a CORS-t, hogy minden erőforrás hozzáférhessen az alkalmazásokhoz	A forrásközi erőforrás-megosztás (CORS) nem engedélyezheti az összes tartomány számára a függvényalkalmazás elérését. Csak a szükséges tartományok használhatják a függvényalkalmazást.	AuditIfNotExists, Disabled	2.0.0
A függvényalkalmazások a legújabb TLS-verziót használják	A TLS-hez rendszeres időközönként újabb verziók jelennek meg biztonsági hibák, további funkciók és a sebesség növelése miatt. Frissítsen a függvényalkalmazások legújabb TLS-verziójára, hogy kihasználhassa a legújabb verzió biztonsági javításait és/vagy új funkcióit.	AuditIfNotExists, Disabled	2.0.1
A vendégkonfigurációs bővítményt telepíteni kell a gépekre	A gép vendégbeállításainak biztonságos konfigurálásához telepítse a Vendégkonfiguráció bővítményt. A bővítményfigyelők vendégbeállításai közé tartozik az operációs rendszer konfigurációja, az alkalmazáskonfiguráció vagy a jelenlét, valamint a környezeti beállítások. A telepítést követően a vendégen belüli szabályzatok elérhetővé válnak, például a "Windows Exploit Guard engedélyezve kell lennie". További információ: https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.3
A Linux-gépeknek meg kell felelniük az Azure számítási biztonsági alapkonfigurációjának követelményeinek	Megköveteli, hogy az előfeltételek a szabályzat-hozzárendelés hatókörében legyenek üzembe helyezve. A részletekért látogasson el ide https://aka.ms/gcpol. A gépek nem megfelelőek, ha a gép nincs megfelelően konfigurálva az Azure számítási biztonsági alapkonfigurációjának egyik javaslatához.	AuditIfNotExists, Disabled	2.2.0
Hiányzó Endpoint Protection monitorozása az Azure Security Centerben	A telepített Endpoint Protection-ügynökkel nem rendelkező kiszolgálókat az Azure Security Center figyeli javaslatként	AuditIfNotExists, Disabled	3.0.0
A tárfiókokat át kell telepíteni az új Azure Resource Manager-erőforrásokba	Új Azure Resource Manager használata tárfiókjaihoz olyan biztonsági fejlesztések biztosításához, mint például: erősebb hozzáférés-vezérlés (RBAC), jobb naplózás, Azure Resource Manager-alapú üzembe helyezés és irányítás, felügyelt identitásokhoz való hozzáférés, titkos kulcstartóhoz való hozzáférés, Azure AD-alapú hitelesítés és címkék és erőforráscsoportok támogatása a könnyebb biztonság érdekében	Naplózás, megtagadás, letiltva	1.0.0
A virtuális gépeket új Azure Resource Manager-erőforrásokba kell migrálni	Az új Azure Resource Manager használata a virtuális gépekhez olyan biztonsági fejlesztések biztosításához, mint például: erősebb hozzáférés-vezérlés (RBAC), jobb naplózás, Azure Resource Manager-alapú üzembe helyezés és irányítás, felügyelt identitásokhoz való hozzáférés, titkos kulcstartóhoz való hozzáférés, Azure AD-alapú hitelesítés és címkék és erőforráscsoportok támogatása a könnyebb biztonság érdekében	Naplózás, megtagadás, letiltva	1.0.0
A virtuális gépek vendégkonfigurációs bővítményét rendszer által hozzárendelt felügyelt identitással kell üzembe helyezni	A Vendégkonfiguráció bővítményhez rendszer által hozzárendelt felügyelt identitás szükséges. A szabályzat hatálya alá tartozó Azure-beli virtuális gépek nem lesznek kompatibilisek, ha telepítve van a Vendégkonfiguráció bővítmény, de nincs hozzárendelve a rendszer által hozzárendelt felügyelt identitás. További információ: https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1
A Windows Defender Exploit Guardot engedélyezni kell a gépeken	A Windows Defender Exploit Guard az Azure Policy vendégkonfigurációs ügynökét használja. Az Exploit Guard négy olyan összetevővel rendelkezik, amelyek az eszközök különböző támadási vektorokkal szembeni zárolására és a kártevők elleni támadásokban gyakran használt viselkedés blokkolására szolgálnak, miközben lehetővé teszik a vállalatok számára a biztonsági kockázat és a termelékenységi követelmények egyensúlyba helyezését (csak Windows rendszeren).	AuditIfNotExists, Disabled	2.0.0
A Windows-gépeknek meg kell felelniük az Azure számítási biztonsági alapkonfiguráció követelményeinek	Megköveteli, hogy az előfeltételek a szabályzat-hozzárendelés hatókörében legyenek üzembe helyezve. A részletekért látogasson el ide https://aka.ms/gcpol. A gépek nem megfelelőek, ha a gép nincs megfelelően konfigurálva az Azure számítási biztonsági alapkonfigurációjának egyik javaslatához.	AuditIfNotExists, Disabled	2.0.0

Advanced Real-Timethreat Defence and Management-13.2

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
[Előzetes verzió]: Az Azure Arc-kompatibilis Kubernetes-fürtöknek telepítve kell lenniük Felhőhöz készült Microsoft Defender bővítménynek	Felhőhöz készült Microsoft Defender Azure Arc-bővítmény fenyegetésvédelmet biztosít az Arc-kompatibilis Kubernetes-fürtök számára. A bővítmény adatokat gyűjt a fürt összes csomópontjáról, és elküldi azokat a felhőbeli Azure Defender for Kubernetes-háttérrendszernek további elemzés céljából. További információ: https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	6.0.0-előzetes verzió
A biztonságirés-felmérési megoldást engedélyezni kell a virtuális gépeken	A virtuális gépeket naplózva észleli, hogy támogatott sebezhetőségi felmérési megoldást futtatnak-e. Minden kiberkockázati és biztonsági program alapvető összetevője a biztonsági rések azonosítása és elemzése. Az Azure Security Center standard tarifacsomagja további költségek nélkül tartalmazza a virtuális gépek biztonsági réseinek vizsgálatát. Emellett a Security Center automatikusan üzembe helyezheti ezt az eszközt.	AuditIfNotExists, Disabled	3.0.0
Engedélyezni kell az Azure Defender for App Service-t	Az Azure Defender for App Service a felhő skáláját és az Azure felhőszolgáltatói láthatóságát használja a gyakori webalkalmazás-támadások figyeléséhez.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell az Azure Defender for Azure SQL Database-kiszolgálókat	Az Azure Defender for SQL lehetővé teszi az adatbázisok lehetséges biztonsági réseinek feltárását és enyhítését, az SQL-adatbázisok fenyegetéseit jelző rendellenes tevékenységek észlelését, valamint a bizalmas adatok felderítését és besorolását.	AuditIfNotExists, Disabled	1.0.2
Engedélyezni kell az Azure Defender for Key Vaultot	Az Azure Defender for Key Vault további védelmi és biztonságiintelligencia-réteget biztosít a Key Vault-fiókok elérésére vagy kihasználására tett szokatlan és potenciálisan káros kísérletek észlelésével.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell az Azure Defendert a nyílt forráskódú relációs adatbázisokhoz	A nyílt forráskódú relációs adatbázisokhoz készült Azure Defender rendellenes tevékenységeket észlel, amelyek szokatlan és potenciálisan káros kísérleteket jeleznek az adatbázisok elérésére vagy kihasználására. További információ az Azure Defender nyílt forráskódú relációs adatbázisokhoz való képességeiről a következő címen https://aka.ms/AzDforOpenSourceDBsDocu: . Fontos: A terv engedélyezése a nyílt forráskódú relációs adatbázisok védelmének költségeit fogja eredményezni. További információ a Security Center díjszabási oldalán található díjszabásról: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell az Azure Defender for Resource Managert	Az Azure Defender for Resource Manager automatikusan figyeli a szervezet erőforrás-kezelési műveleteit. Az Azure Defender észleli a gyanús tevékenységekkel kapcsolatos fenyegetéseket és riasztásokat. További információ az Azure Defender for Resource Manager képességeiről a következő címen https://aka.ms/defender-for-resource-manager : . Az Azure Defender-csomag engedélyezése díjakat eredményez. A Security Center díjszabási oldalán megismerheti a régiónkénti díjszabás részleteit: https://aka.ms/pricing-security-center .	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell az Azure Defendert a kiszolgálókhoz	A kiszolgálókhoz készült Azure Defender valós idejű fenyegetésvédelmet biztosít a kiszolgálói számítási feladatokhoz, és keményítési javaslatokat és riasztásokat hoz létre a gyanús tevékenységekről.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell a gépeken futó SQL-kiszolgálókhoz készült Azure Defendert	Az Azure Defender for SQL lehetővé teszi az adatbázisok lehetséges biztonsági réseinek feltárását és enyhítését, az SQL-adatbázisok fenyegetéseit jelző rendellenes tevékenységek észlelését, valamint a bizalmas adatok felderítését és besorolását.	AuditIfNotExists, Disabled	1.0.2
Az Azure Defender for SQL-t engedélyezni kell a nem védett Azure SQL-kiszolgálókon	SQL-kiszolgálók naplózása speciális adatbiztonság nélkül	AuditIfNotExists, Disabled	2.0.1
Az Azure Defender for SQL-t engedélyezni kell a nem védett felügyelt SQL-példányokhoz	Minden felügyelt SQL-példány naplózása speciális adatbiztonság nélkül.	AuditIfNotExists, Disabled	1.0.2
Az Azure Kubernetes Service-fürtöknek engedélyezniük kell a Defender-profilt	A Microsoft Defender for Containers felhőalapú natív Kubernetes-biztonsági képességeket biztosít, beleértve a környezetmegerősítést, a számítási feladatok védelmét és a futásidejű védelmet. Ha engedélyezi a SecurityProfile.AzureDefender szolgáltatást az Azure Kubernetes Service-fürtön, a rendszer egy ügynököt helyez üzembe a fürtben a biztonsági események adatainak gyűjtéséhez. További információ a Microsoft Defender for Containers szolgáltatásról https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks	Naplózás, letiltva	2.0.1
A végpontvédelmi állapottal kapcsolatos problémákat meg kell oldani a gépeken	A virtuális gépek végpontvédelmi állapotproblémáinak megoldása a legújabb fenyegetések és biztonsági rések elleni védelem érdekében. Az Azure Security Center által támogatott végpontvédelmi megoldásokat itt dokumentáljuk : https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. A végpontvédelem értékelése itt dokumentálva van – https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection.	AuditIfNotExists, Disabled	1.0.0
A végpontvédelmet telepíteni kell a gépekre	A gépek fenyegetésekkel és biztonsági résekkel szembeni védelméhez telepítsen egy támogatott végpontvédelmi megoldást.	AuditIfNotExists, Disabled	1.0.0
A végpontvédelmi megoldást telepíteni kell a virtuálisgép-méretezési csoportokra	A virtuálisgép-méretezési csoportok végpontvédelmi megoldásának meglétét és állapotát naplózza, hogy megvédje őket a fenyegetésektől és a biztonsági résektől.	AuditIfNotExists, Disabled	3.0.0
Engedélyezni kell a Microsoft Defender for Containers szolgáltatást	A Microsoft Defender for Containers az Azure-beli, hibrid és többfelhős Kubernetes-környezetekhez biztosít megkeményedési, sebezhetőségi felmérési és futásidejű védelmet.	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell a Microsoft Defender for Storage használatát	A Microsoft Defender for Storage észleli a tárfiókokat fenyegető potenciális fenyegetéseket. Segít megelőzni az adatokra és számítási feladatokra gyakorolt három fő hatást: rosszindulatú fájlfeltöltéseket, bizalmas adatok kiszivárgását és adatsérülést. Az új Defender for Storage csomag tartalmazza a kártevők vizsgálatát és a bizalmas adatfenyegetések észlelését. Ez a csomag kiszámítható díjszabási struktúrát is biztosít (tárfiókonként) a lefedettség és a költségek szabályozásához.	AuditIfNotExists, Disabled	1.0.0
Hiányzó Endpoint Protection monitorozása az Azure Security Centerben	A telepített Endpoint Protection-ügynökkel nem rendelkező kiszolgálókat az Azure Security Center figyeli javaslatként	AuditIfNotExists, Disabled	3.0.0
A sebezhetőségi felmérést engedélyezni kell felügyelt SQL-példányon	Minden olyan felügyelt SQL-példány naplózása, amely nem rendelkezik engedélyezve az ismétlődő biztonságirés-felmérési vizsgálatokkal. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	1.0.1
A sebezhetőségi felmérést engedélyezni kell az SQL-kiszolgálókon	Olyan Azure SQL-kiszolgálók naplózása, amelyeken nincs megfelelően konfigurálva a biztonságirés-felmérés. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	3.0.0
A Windows Defender Exploit Guardot engedélyezni kell a gépeken	A Windows Defender Exploit Guard az Azure Policy vendégkonfigurációs ügynökét használja. Az Exploit Guard négy olyan összetevővel rendelkezik, amelyek az eszközök különböző támadási vektorokkal szembeni zárolására és a kártevők elleni támadásokban gyakran használt viselkedés blokkolására szolgálnak, miközben lehetővé teszik a vállalatok számára a biztonsági kockázat és a termelékenységi követelmények egyensúlyba helyezését (csak Windows rendszeren).	AuditIfNotExists, Disabled	2.0.0

Advanced Real-Timethreat Defence and Management-13.3

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
[Előzetes verzió]: Az összes internetes forgalmat az üzembe helyezett Azure Firewallon keresztül kell irányítani	Az Azure Security Center megállapította, hogy egyes alhálózatok nem védettek egy következő generációs tűzfallal. Az alhálózatok védelme a lehetséges fenyegetések ellen az Azure Firewall vagy egy támogatott következő generációs tűzfal használatával történő hozzáférés korlátozásával	AuditIfNotExists, Disabled	3.0.0-előzetes verzió
A biztonságos alkalmazások meghatározásához használható adaptív alkalmazásvezérlőket engedélyezni kell a gépeken	Engedélyezheti az alkalmazásvezérlők számára, hogy meghatározzák a gépeken futó ismert alkalmazások listáját, és riasztást küldhessenek, amikor más alkalmazások futnak. Ez segít megkeményíteni a gépeket a kártevők ellen. A szabályok konfigurálásának és karbantartásának egyszerűsítése érdekében a Security Center gépi tanulással elemzi az egyes gépeken futó alkalmazásokat, és javaslatot tesz az ismert biztonságos alkalmazások listájára.	AuditIfNotExists, Disabled	3.0.0
Az adaptív hálózatmegerősítési javaslatokat az internetkapcsolattal rendelkező virtuális gépeken kell alkalmazni	Az Azure Security Center elemzi az internetkapcsolattal rendelkező virtuális gépek forgalmi mintáit, és olyan hálózati biztonsági csoportszabály-javaslatokat nyújt, amelyek csökkentik a potenciális támadási felületet	AuditIfNotExists, Disabled	3.0.0
Minden hálózati portot korlátozni kell a virtuális géphez társított hálózati biztonsági csoportokon	Az Azure Security Center megállapította, hogy a hálózati biztonsági csoportok bejövő szabályai túl megengedőek. A bejövő szabályok nem engedélyezhetik a hozzáférést az "Any" vagy az "Internet" tartományból. Ez lehetővé teheti, hogy a támadók megcélzhassák az erőforrásokat.	AuditIfNotExists, Disabled	3.0.0
Frissíteni kell az adaptív alkalmazásvezérlési szabályzat engedélyezési listára vonatkozó szabályait	Figyelheti az Azure Security Center adaptív alkalmazásvezérlői által naplózásra konfigurált gépcsoportok viselkedésének változásait. A Security Center gépi tanulással elemzi a gépeken futó folyamatokat, és javaslatot tesz az ismerten biztonságos alkalmazások listájára. Ezek ajánlott alkalmazásként jelennek meg az adaptív alkalmazásvezérlési szabályzatok engedélyezéséhez.	AuditIfNotExists, Disabled	3.0.0
Az Azure Backupot engedélyezni kell a virtuális gépeken	Az Azure Backup engedélyezésével gondoskodjon az Azure-beli virtuális gépek védelméről. Az Azure Backup egy biztonságos és költséghatékony adatvédelmi megoldás az Azure-hoz.	AuditIfNotExists, Disabled	3.0.0
Engedélyezni kell a georedundáns biztonsági mentést az Azure Database for MariaDB-ben	Az Azure Database for MariaDB lehetővé teszi az adatbázis-kiszolgáló redundanciabeállításának kiválasztását. Beállítható georedundáns biztonsági mentési tárolóra, amelyben az adatok nem csak abban a régióban tárolódnak, amelyben a kiszolgáló üzemel, hanem egy párosított régióba is replikálva, hogy régióhiba esetén helyreállítási lehetőséget biztosítson. A georedundáns biztonsági mentési tár konfigurálása csak a kiszolgáló létrehozása közben engedélyezett.	Naplózás, letiltva	1.0.1
Engedélyezni kell a georedundáns biztonsági mentést az Azure Database for MySQL-ben	Az Azure Database for MySQL lehetővé teszi az adatbázis-kiszolgáló redundanciabeállításának kiválasztását. Beállítható georedundáns biztonsági mentési tárolóra, amelyben az adatok nem csak abban a régióban tárolódnak, amelyben a kiszolgáló üzemel, hanem egy párosított régióba is replikálva, hogy régióhiba esetén helyreállítási lehetőséget biztosítson. A georedundáns biztonsági mentési tár konfigurálása csak a kiszolgáló létrehozása közben engedélyezett.	Naplózás, letiltva	1.0.1
Engedélyezni kell a georedundáns biztonsági mentést az Azure Database for PostgreSQL-ben	Az Azure Database for PostgreSQL lehetővé teszi az adatbázis-kiszolgáló redundanciabeállításának kiválasztását. Beállítható georedundáns biztonsági mentési tárolóra, amelyben az adatok nem csak abban a régióban tárolódnak, amelyben a kiszolgáló üzemel, hanem egy párosított régióba is replikálva, hogy régióhiba esetén helyreállítási lehetőséget biztosítson. A georedundáns biztonsági mentési tár konfigurálása csak a kiszolgáló létrehozása közben engedélyezett.	Naplózás, letiltva	1.0.1
Az internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A virtuális gépek védelme a lehetséges fenyegetések ellen a hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Le kell tiltani az IP-továbbítást a virtuális gépen	Az IP-továbbítás engedélyezése a virtuális gép hálózati adapterén lehetővé teszi a gép számára a más célhelyekre címzett forgalom fogadását. Az IP-továbbításra ritkán van szükség (például ha a virtuális gépet hálózati virtuális berendezésként használja), ezért ezt a hálózati biztonsági csapatnak felül kell vizsgálnia.	AuditIfNotExists, Disabled	3.0.0
A virtuális gépek felügyeleti portjainak megfelelő hálózati hozzáférés-vezérléssel kell rendelkeznie	Az Azure Security Center ajánlásként figyeli a lehetséges hálózati just in time (JIT) hozzáférést	AuditIfNotExists, Disabled	3.0.0
A felügyeleti portokat be kell zárni a virtuális gépeken	A nyitott távfelügyeleti portok magas szintű kockázatot jelentenek a virtuális gép számára az internetes támadások miatt. Ezek a támadások megpróbálják találgatással kényszeríteni a hitelesítő adatokat, hogy rendszergazdai hozzáférést szerezzenek a géphez.	AuditIfNotExists, Disabled	3.0.0
A nem internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával megvédheti az internettel nem rendelkező virtuális gépeket a lehetséges fenyegetésektől. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Az alhálózatokat hálózati biztonsági csoporthoz kell társítani	Az alhálózat védelme a lehetséges fenyegetések ellen egy hálózati biztonsági csoporttal (NSG) való hozzáférés korlátozásával. Az NSG-k a hozzáférés-vezérlési lista (ACL) szabályainak listáját tartalmazzák, amelyek engedélyezik vagy letiltják az alhálózat felé történő hálózati forgalmat.	AuditIfNotExists, Disabled	3.0.0

Advanced Real-Timethreat Defence and Management-13.4

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
[Előzetes verzió]: Az összes internetes forgalmat az üzembe helyezett Azure Firewallon keresztül kell irányítani	Az Azure Security Center megállapította, hogy egyes alhálózatok nem védettek egy következő generációs tűzfallal. Az alhálózatok védelme a lehetséges fenyegetések ellen az Azure Firewall vagy egy támogatott következő generációs tűzfal használatával történő hozzáférés korlátozásával	AuditIfNotExists, Disabled	3.0.0-előzetes verzió
A biztonságirés-felmérési megoldást engedélyezni kell a virtuális gépeken	A virtuális gépeket naplózva észleli, hogy támogatott sebezhetőségi felmérési megoldást futtatnak-e. Minden kiberkockázati és biztonsági program alapvető összetevője a biztonsági rések azonosítása és elemzése. Az Azure Security Center standard tarifacsomagja további költségek nélkül tartalmazza a virtuális gépek biztonsági réseinek vizsgálatát. Emellett a Security Center automatikusan üzembe helyezheti ezt az eszközt.	AuditIfNotExists, Disabled	3.0.0
Az adaptív hálózatmegerősítési javaslatokat az internetkapcsolattal rendelkező virtuális gépeken kell alkalmazni	Az Azure Security Center elemzi az internetkapcsolattal rendelkező virtuális gépek forgalmi mintáit, és olyan hálózati biztonsági csoportszabály-javaslatokat nyújt, amelyek csökkentik a potenciális támadási felületet	AuditIfNotExists, Disabled	3.0.0
Minden hálózati portot korlátozni kell a virtuális géphez társított hálózati biztonsági csoportokon	Az Azure Security Center megállapította, hogy a hálózati biztonsági csoportok bejövő szabályai túl megengedőek. A bejövő szabályok nem engedélyezhetik a hozzáférést az "Any" vagy az "Internet" tartományból. Ez lehetővé teheti, hogy a támadók megcélzhassák az erőforrásokat.	AuditIfNotExists, Disabled	3.0.0
Az App Service-alkalmazások csak HTTPS-en keresztül érhetők el	A HTTPS használata biztosítja a kiszolgáló-/szolgáltatáshitelesítést, és védi az átvitt adatokat a hálózati réteg lehallgatási támadásaitól.	Naplózás, Letiltás, Megtagadás	4.0.0
Az App Service-alkalmazásoknak csak FTPS-t kell igényelniük	Engedélyezze az FTPS-kényszerítéseket a fokozott biztonság érdekében.	AuditIfNotExists, Disabled	3.0.0
Az App Service-alkalmazásoknak a legújabb TLS-verziót kell használniuk	A TLS-hez rendszeres időközönként újabb verziók jelennek meg biztonsági hibák, további funkciók és a sebesség növelése miatt. Frissítsen az App Service-alkalmazások legújabb TLS-verziójára, hogy kihasználhassa a legújabb verzió biztonsági javításait és/vagy új funkcióit.	AuditIfNotExists, Disabled	2.0.1
A Linux rendszerű gépek hitelesítéséhez SSH-kulcsok szükségesek	Bár maga az SSH titkosított kapcsolatot biztosít, a jelszavak SSH-val való használata továbbra is sebezhetővé teszi a virtuális gépet a találgatásos támadások ellen. Az Azure Linux rendszerű virtuális gépek SSH-val történő hitelesítésének legbiztonságosabb lehetősége egy nyilvános és privát kulcspár, más néven SSH-kulcsok használata. További információ: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed.	AuditIfNotExists, Disabled	3.2.0
Az Automation-fiók változóit titkosítani kell	Fontos engedélyezni az Automation-fiók változó eszközeinek titkosítását bizalmas adatok tárolásakor	Naplózás, megtagadás, letiltva	1.1.0
Az Azure Cosmos DB-fiókoknak ügyfél által felügyelt kulcsokkal kell titkosítaniuk az inaktív adatokat	Az ügyfél által felügyelt kulcsokkal kezelheti a titkosítást az Azure Cosmos DB többi részén. Alapértelmezés szerint az adatok inaktív állapotban, szolgáltatás által felügyelt kulcsokkal vannak titkosítva, de az ügyfél által felügyelt kulcsokra általában szükség van a jogszabályi megfelelőségi szabványoknak való megfeleléshez. Az ügyfél által felügyelt kulcsok lehetővé teszik az adatok titkosítását az Ön által létrehozott és birtokolt Azure Key Vault-kulccsal. Teljes körűen felügyelheti és felügyelheti a kulcsfontosságú életciklust, beleértve a rotációt és a felügyeletet is. További információ: https://aka.ms/cosmosdb-cmk.	naplózás, Naplózás, megtagadás, Megtagadás, Letiltás, Letiltva, Letiltva	1.1.0
Engedélyezni kell az Azure Defender for Azure SQL Database-kiszolgálókat	Az Azure Defender for SQL lehetővé teszi az adatbázisok lehetséges biztonsági réseinek feltárását és enyhítését, az SQL-adatbázisok fenyegetéseit jelző rendellenes tevékenységek észlelését, valamint a bizalmas adatok felderítését és besorolását.	AuditIfNotExists, Disabled	1.0.2
Engedélyezni kell az Azure Defendert a nyílt forráskódú relációs adatbázisokhoz	A nyílt forráskódú relációs adatbázisokhoz készült Azure Defender rendellenes tevékenységeket észlel, amelyek szokatlan és potenciálisan káros kísérleteket jeleznek az adatbázisok elérésére vagy kihasználására. További információ az Azure Defender nyílt forráskódú relációs adatbázisokhoz való képességeiről a következő címen https://aka.ms/AzDforOpenSourceDBsDocu: . Fontos: A terv engedélyezése a nyílt forráskódú relációs adatbázisok védelmének költségeit fogja eredményezni. További információ a Security Center díjszabási oldalán található díjszabásról: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell a gépeken futó SQL-kiszolgálókhoz készült Azure Defendert	Az Azure Defender for SQL lehetővé teszi az adatbázisok lehetséges biztonsági réseinek feltárását és enyhítését, az SQL-adatbázisok fenyegetéseit jelző rendellenes tevékenységek észlelését, valamint a bizalmas adatok felderítését és besorolását.	AuditIfNotExists, Disabled	1.0.2
Az Azure Defender for SQL-t engedélyezni kell a nem védett felügyelt SQL-példányokhoz	Minden felügyelt SQL-példány naplózása speciális adatbiztonság nélkül.	AuditIfNotExists, Disabled	1.0.2
Az Azure Machine Tanulás-munkaterületeket ügyfél által felügyelt kulccsal kell titkosítani	Az Azure Machine többi részén Tanulás munkaterület adatainak kezelése ügyfél által felügyelt kulcsokkal. Alapértelmezés szerint az ügyféladatok szolgáltatás által felügyelt kulcsokkal vannak titkosítva, de az ügyfél által felügyelt kulcsokra általában szükség van a jogszabályi megfelelőségi szabványoknak való megfeleléshez. Az ügyfél által felügyelt kulcsok lehetővé teszik az adatok titkosítását az Ön által létrehozott és birtokolt Azure Key Vault-kulccsal. Teljes körűen felügyelheti és felügyelheti a kulcsfontosságú életciklust, beleértve a rotációt és a felügyeletet is. További információ: https://aka.ms/azureml-workspaces-cmk.	Naplózás, megtagadás, letiltva	1.0.3
Engedélyezni kell az Azure Web Application Firewall használatát az Azure Front Door belépési pontjaihoz	Az Azure Web Application Firewall (WAF) üzembe helyezése nyilvános elérésű webalkalmazások előtt a bejövő forgalom további ellenőrzéséhez. A webalkalmazási tűzfal (WAF) központi védelmet nyújt a webalkalmazásoknak az olyan gyakori biztonsági rések és biztonsági rések ellen, mint az SQL-injektálások, a helyek közötti szkriptelés, a helyi és távoli fájlvégrehajtások. A webalkalmazásokhoz való hozzáférést országonként, IP-címtartományok és egyéb HTTP-paraméterek szerint is korlátozhatja egyéni szabályokkal.	Naplózás, megtagadás, letiltva	1.0.2
A Cognitive Services-fiókoknak engedélyeznie kell az ügyfél által felügyelt kulccsal történő adattitkosítást	Az ügyfél által felügyelt kulcsok gyakran szükségesek a jogszabályi megfelelőségi szabványoknak való megfeleléshez. Az ügyfél által felügyelt kulcsok lehetővé teszik a Cognitive Servicesben tárolt adatok titkosítását az Ön által létrehozott és birtokolt Azure Key Vault-kulccsal. Teljes körűen felügyelheti és felügyelheti a kulcsfontosságú életciklust, beleértve a rotációt és a felügyeletet is. További információ az ügyfél által felügyelt kulcsokról itt https://go.microsoft.com/fwlink/?linkid=2121321: .	Naplózás, megtagadás, letiltva	2.1.0
A tárolóregisztrációs adatbázisokat ügyfél által felügyelt kulccsal kell titkosítani	Az ügyfél által kezelt kulcsokkal kezelheti a titkosítást a regisztrációs adatbázisok többi részén. Alapértelmezés szerint az adatok inaktív állapotban, szolgáltatás által felügyelt kulcsokkal vannak titkosítva, de az ügyfél által felügyelt kulcsokra általában szükség van a jogszabályi megfelelőségi szabványoknak való megfeleléshez. Az ügyfél által felügyelt kulcsok lehetővé teszik az adatok titkosítását az Ön által létrehozott és birtokolt Azure Key Vault-kulccsal. Teljes körűen felügyelheti és felügyelheti a kulcsfontosságú életciklust, beleértve a rotációt és a felügyeletet is. További információ: https://aka.ms/acr/CMK.	Naplózás, megtagadás, letiltva	1.1.2
Engedélyezni kell az SSL-kapcsolatot a MySQL-adatbáziskiszolgálók esetében	Az Azure Database for MySQL támogatja az Azure Database for MySQL-kiszolgáló csatlakoztatását az ügyfélalkalmazásokhoz a Secure Sockets Layer (SSL) használatával. Az adatbázis-kiszolgáló és az ügyfélalkalmazások közötti SSL-kapcsolatok kényszerítése a kiszolgáló és az alkalmazás közötti adatfolyam titkosításával segít védelmet nyújtani a "középen lévő ember" támadások ellen. Ez a konfiguráció kikényszeríti, hogy az SSL mindig engedélyezve legyen az adatbázis-kiszolgáló eléréséhez.	Naplózás, letiltva	1.0.1
Engedélyezni kell az SSL-kapcsolatot a PostgreSQL-adatbáziskiszolgálókon	Az Azure Database for PostgreSQL támogatja az Azure Database for PostgreSQL-kiszolgáló csatlakoztatását az ügyfélalkalmazásokhoz a Secure Sockets Layer (SSL) használatával. Az adatbázis-kiszolgáló és az ügyfélalkalmazások közötti SSL-kapcsolatok kényszerítése a kiszolgáló és az alkalmazás közötti adatfolyam titkosításával segít védelmet nyújtani a "középen lévő ember" támadások ellen. Ez a konfiguráció kikényszeríti, hogy az SSL mindig engedélyezve legyen az adatbázis-kiszolgáló eléréséhez.	Naplózás, letiltva	1.0.1
A függvényalkalmazások csak HTTPS-en keresztül érhetők el	A HTTPS használata biztosítja a kiszolgáló-/szolgáltatáshitelesítést, és védi az átvitt adatokat a hálózati réteg lehallgatási támadásaitól.	Naplózás, Letiltás, Megtagadás	5.0.0
A függvényalkalmazásoknak csak FTPS-t kell igényelniük	Engedélyezze az FTPS-kényszerítéseket a fokozott biztonság érdekében.	AuditIfNotExists, Disabled	3.0.0
A függvényalkalmazások a legújabb TLS-verziót használják	A TLS-hez rendszeres időközönként újabb verziók jelennek meg biztonsági hibák, további funkciók és a sebesség növelése miatt. Frissítsen a függvényalkalmazások legújabb TLS-verziójára, hogy kihasználhassa a legújabb verzió biztonsági javításait és/vagy új funkcióit.	AuditIfNotExists, Disabled	2.0.1
Az internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A virtuális gépek védelme a lehetséges fenyegetések ellen a hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Le kell tiltani az IP-továbbítást a virtuális gépen	Az IP-továbbítás engedélyezése a virtuális gép hálózati adapterén lehetővé teszi a gép számára a más célhelyekre címzett forgalom fogadását. Az IP-továbbításra ritkán van szükség (például ha a virtuális gépet hálózati virtuális berendezésként használja), ezért ezt a hálózati biztonsági csapatnak felül kell vizsgálnia.	AuditIfNotExists, Disabled	3.0.0
A virtuális gépek felügyeleti portjainak megfelelő hálózati hozzáférés-vezérléssel kell rendelkeznie	Az Azure Security Center ajánlásként figyeli a lehetséges hálózati just in time (JIT) hozzáférést	AuditIfNotExists, Disabled	3.0.0
A felügyeleti portokat be kell zárni a virtuális gépeken	A nyitott távfelügyeleti portok magas szintű kockázatot jelentenek a virtuális gép számára az internetes támadások miatt. Ezek a támadások megpróbálják találgatással kényszeríteni a hitelesítő adatokat, hogy rendszergazdai hozzáférést szerezzenek a géphez.	AuditIfNotExists, Disabled	3.0.0
Engedélyezni kell a Microsoft Defender for Storage használatát	A Microsoft Defender for Storage észleli a tárfiókokat fenyegető potenciális fenyegetéseket. Segít megelőzni az adatokra és számítási feladatokra gyakorolt három fő hatást: rosszindulatú fájlfeltöltéseket, bizalmas adatok kiszivárgását és adatsérülést. Az új Defender for Storage csomag tartalmazza a kártevők vizsgálatát és a bizalmas adatfenyegetések észlelését. Ez a csomag kiszámítható díjszabási struktúrát is biztosít (tárfiókonként) a lefedettség és a költségek szabályozásához.	AuditIfNotExists, Disabled	1.0.0
A MySQL-kiszolgálóknak ügyfél által felügyelt kulcsokkal kell titkosítaniuk az inaktív adatokat	Az ügyfél által kezelt kulcsokkal kezelheti a titkosítást a MySQL-kiszolgálók többi részén. Alapértelmezés szerint az adatok inaktív állapotban, szolgáltatás által felügyelt kulcsokkal vannak titkosítva, de az ügyfél által felügyelt kulcsokra általában szükség van a jogszabályi megfelelőségi szabványoknak való megfeleléshez. Az ügyfél által felügyelt kulcsok lehetővé teszik az adatok titkosítását az Ön által létrehozott és birtokolt Azure Key Vault-kulccsal. Teljes körűen felügyelheti és felügyelheti a kulcsfontosságú életciklust, beleértve a rotációt és a felügyeletet is.	AuditIfNotExists, Disabled	1.0.4
A nem internetkapcsolattal rendelkező virtuális gépeket hálózati biztonsági csoportokkal kell védeni	A hálózati biztonsági csoportokkal (NSG) való hozzáférés korlátozásával megvédheti az internettel nem rendelkező virtuális gépeket a lehetséges fenyegetésektől. További információ az NSG-k forgalmának szabályozásáról: https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Csak az Azure Cache for Redis biztonságos kapcsolatait kell engedélyezni	Csak SSL-kapcsolat engedélyezésének naplózása az Azure Cache for Redishez. A biztonságos kapcsolatok használata biztosítja a kiszolgáló és a szolgáltatás közötti hitelesítést, és védi az átvitel alatt álló adatokat a hálózati réteg támadásaitól, például az emberközi, a lehallgatási és a munkamenet-eltérítési támadásoktól	Naplózás, megtagadás, letiltva	1.0.0
A PostgreSQL-kiszolgálóknak ügyfél által felügyelt kulcsokkal kell titkosítaniuk az inaktív adatokat	Az ügyfél által felügyelt kulcsokkal kezelheti a titkosítást a PostgreSQL-kiszolgálók többi részén. Alapértelmezés szerint az adatok inaktív állapotban, szolgáltatás által felügyelt kulcsokkal vannak titkosítva, de az ügyfél által felügyelt kulcsokra általában szükség van a jogszabályi megfelelőségi szabványoknak való megfeleléshez. Az ügyfél által felügyelt kulcsok lehetővé teszik az adatok titkosítását az Ön által létrehozott és birtokolt Azure Key Vault-kulccsal. Teljes körűen felügyelheti és felügyelheti a kulcsfontosságú életciklust, beleértve a rotációt és a felügyeletet is.	AuditIfNotExists, Disabled	1.0.4
Engedélyezni kell a tárfiókokba való biztonságos átvitelt	A tárfiók biztonságos átvitelének naplózási követelménye. A biztonságos átvitel egy olyan lehetőség, amely arra kényszeríti a tárfiókot, hogy csak biztonságos kapcsolatokból (HTTPS) fogadja el a kéréseket. A HTTPS használata biztosítja a kiszolgáló és a szolgáltatás közötti hitelesítést, és védi az átvitt adatokat a hálózati réteg támadásaitól, például a középen belüli behatolástól, a lehallgatástól és a munkamenet-eltérítéstől	Naplózás, megtagadás, letiltva	2.0.0
A felügyelt SQL-példányoknak ügyfél által felügyelt kulcsokkal kell titkosítaniuk az inaktív adatokat	A transzparens adattitkosítás (TDE) saját kulccsal történő implementálása nagyobb átláthatóságot és ellenőrzést biztosít a TDE Protector felett, nagyobb biztonságot biztosít egy HSM által támogatott külső szolgáltatással, valamint a feladatok elkülönítésének előmozdítását. Ez a javaslat a kapcsolódó megfelelőségi követelményekkel rendelkező szervezetekre vonatkozik.	Naplózás, megtagadás, letiltva	2.0.0
Az SQL-kiszolgálóknak ügyfél által felügyelt kulcsokkal kell titkosítaniuk az inaktív adatokat	A transzparens adattitkosítás (TDE) saját kulccsal történő implementálása nagyobb átláthatóságot és ellenőrzést biztosít a TDE Protector felett, nagyobb biztonságot biztosít a HSM által támogatott külső szolgáltatásokkal, valamint a vámok elkülönítésének előmozdítását. Ez a javaslat a kapcsolódó megfelelőségi követelményekkel rendelkező szervezetekre vonatkozik.	Naplózás, megtagadás, letiltva	2.0.1
A tárfiókoknak ügyfél által felügyelt kulcsot kell használniuk a titkosításhoz	A blob- és fájltárolási fiók védelme nagyobb rugalmassággal az ügyfél által felügyelt kulcsok használatával. Felhasználó által kezelt kulcs megadásakor a megadott kulccsal védi és szabályozza az adatokat titkosító kulcs hozzáférését. Az ügyfél által felügyelt kulcsok további képességeket biztosítanak a kulcstitkosítási kulcs forgatásának vagy az adatok kriptográfiai törlésének szabályozásához.	Naplózás, letiltva	1.0.3
Az alhálózatokat hálózati biztonsági csoporthoz kell társítani	Az alhálózat védelme a lehetséges fenyegetések ellen egy hálózati biztonsági csoporttal (NSG) való hozzáférés korlátozásával. Az NSG-k a hozzáférés-vezérlési lista (ACL) szabályainak listáját tartalmazzák, amelyek engedélyezik vagy letiltják az alhálózat felé történő hálózati forgalmat.	AuditIfNotExists, Disabled	3.0.0
transzparens adattitkosítás az SQL-adatbázisokon engedélyezni kell	A transzparens adattitkosítást engedélyezni kell az inaktív adatok védelme és a megfelelőségi követelmények teljesítése érdekében	AuditIfNotExists, Disabled	2.0.0
A virtuális gépeknek titkosítaniuk kell a számítási és tárolási erőforrások közötti ideiglenes lemezeket, gyorsítótárakat és adatfolyamokat	Alapértelmezés szerint a virtuális gép operációs rendszere és adatlemezei inaktív állapotban vannak titkosítva platform által felügyelt kulcsokkal. Az ideiglenes lemezek, az adatgyorsítótárak és a számítás és a tár között áramló adatok nincsenek titkosítva. Hagyja figyelmen kívül ezt a javaslatot, ha: 1. titkosítást használ a gazdagépen, vagy 2. A felügyelt lemezek kiszolgálóoldali titkosítása megfelel a biztonsági követelményeknek. További információ: Az Azure Disk Storage kiszolgálóoldali titkosítása: https://aka.ms/disksse, Különböző lemeztitkosítási ajánlatok: https://aka.ms/diskencryptioncomparison	AuditIfNotExists, Disabled	2.0.3
A sebezhetőségi felmérést engedélyezni kell felügyelt SQL-példányon	Minden olyan felügyelt SQL-példány naplózása, amely nem rendelkezik engedélyezve az ismétlődő biztonságirés-felmérési vizsgálatokkal. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	1.0.1
A sebezhetőségi felmérést engedélyezni kell az SQL-kiszolgálókon	Olyan Azure SQL-kiszolgálók naplózása, amelyeken nincs megfelelően konfigurálva a biztonságirés-felmérés. A sebezhetőségi felmérés felderítheti, nyomon követheti és kijavíthatja a lehetséges adatbázis-biztonsági réseket.	AuditIfNotExists, Disabled	3.0.0
A webalkalmazási tűzfalat (WAF) engedélyezni kell az Application Gatewayhez	Az Azure Web Application Firewall (WAF) üzembe helyezése nyilvános elérésű webalkalmazások előtt a bejövő forgalom további ellenőrzéséhez. A webalkalmazási tűzfal (WAF) központi védelmet nyújt a webalkalmazásoknak az olyan gyakori biztonsági rések és biztonsági rések ellen, mint az SQL-injektálások, a helyek közötti szkriptelés, a helyi és távoli fájlvégrehajtások. A webalkalmazásokhoz való hozzáférést országonként, IP-címtartományok és egyéb HTTP-paraméterek szerint is korlátozhatja egyéni szabályokkal.	Naplózás, megtagadás, letiltva	2.0.0
A Windows rendszerű gépeket biztonságos kommunikációs protokollok használatára kell konfigurálni	Az interneten keresztül kommunikáló adatok védelméhez a gépeknek az iparági szabványnak megfelelő titkosítási protokoll legújabb verzióját, a Transport Layer Securityt (TLS) kell használniuk. A TLS a gépek közötti kapcsolat titkosításával biztosítja a hálózaton keresztüli kommunikációt.	AuditIfNotExists, Disabled	4.1.1

Alkalmazásbiztonsági életciklus (Aslc)

Alkalmazásbiztonsági életciklus (Aslc)-6.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A tároló biztonsági konfigurációinak biztonsági réseit orvosolni kell	A biztonsági konfiguráció biztonsági réseinek naplózása olyan gépeken, amelyeken a Docker telepítve van, és javaslatokként jelenik meg az Azure Security Centerben.	AuditIfNotExists, Disabled	3.0.0

Alkalmazásbiztonsági életciklus (Aslc)-6.3

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A tároló biztonsági konfigurációinak biztonsági réseit orvosolni kell	A biztonsági konfiguráció biztonsági réseinek naplózása olyan gépeken, amelyeken a Docker telepítve van, és javaslatokként jelenik meg az Azure Security Centerben.	AuditIfNotExists, Disabled	3.0.0

Alkalmazásbiztonsági életciklus (Aslc)-6.4

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Az App Service-alkalmazásoknak engedélyezniük kell az erőforrásnaplókat	Az erőforrásnaplók engedélyezésének naplózása az alkalmazásban. Ez lehetővé teszi a tevékenységnaplók ismételt létrehozását vizsgálati célokra, ha biztonsági incidens történik, vagy ha a hálózata sérült.	AuditIfNotExists, Disabled	2.0.1
Az App Service-alkalmazásoknak felügyelt identitást kell használniuk	Felügyelt identitás használata a fokozott hitelesítési biztonság érdekében	AuditIfNotExists, Disabled	3.0.0
Az alkalmazás Elemzések összetevőinek blokkolnia kell a naplóbetöltést és a nyilvános hálózatokról való lekérdezést	Az alkalmazásbiztonság Elemzések javítása a naplóbetöltés és a nyilvános hálózatokról való lekérdezés letiltásával. Ennek az összetevőnek a naplóit csak a privát kapcsolattal rendelkező hálózatok tudják majd beszedni és lekérdezni. További információ: https://aka.ms/AzMonPrivateLink#configure-application-insights.	naplózás, Naplózás, megtagadás, Megtagadás, Letiltás, Letiltva, Letiltva	1.1.0
Az alkalmazás Elemzések összetevőinek blokkolnia kell a nem Azure Active Directory-alapú betöltési elemet.	A naplóbetöltés kényszerítése az Azure Active Directory-hitelesítés megkövetelése érdekében megakadályozza, hogy a támadó nem hitelesített naplókat használjon, amelyek helytelen állapothoz, téves riasztásokhoz és helytelen naplókhoz vezethetnek a rendszerben.	Megtagadás, naplózás, letiltva	1.0.0
A Private Linket engedélyező alkalmazás-Elemzések összetevőknek saját tárfiókokat kell használniuk a profilkészítőhöz és a hibakeresőhöz.	A privát kapcsolat és az ügyfél által felügyelt kulcsszabályzatok támogatásához hozzon létre saját tárfiókot a profilkészítő és hibakereső számára. További információ: https://docs.microsoft.com/azure/azure-monitor/app/profiler-bring-your-own-storage	Megtagadás, naplózás, letiltva	1.0.0
Engedélyezni kell az Azure Defender for App Service-t	Az Azure Defender for App Service a felhő skáláját és az Azure felhőszolgáltatói láthatóságát használja a gyakori webalkalmazás-támadások figyeléséhez.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell az Azure Defendert a nyílt forráskódú relációs adatbázisokhoz	A nyílt forráskódú relációs adatbázisokhoz készült Azure Defender rendellenes tevékenységeket észlel, amelyek szokatlan és potenciálisan káros kísérleteket jeleznek az adatbázisok elérésére vagy kihasználására. További információ az Azure Defender nyílt forráskódú relációs adatbázisokhoz való képességeiről a következő címen https://aka.ms/AzDforOpenSourceDBsDocu: . Fontos: A terv engedélyezése a nyílt forráskódú relációs adatbázisok védelmének költségeit fogja eredményezni. További információ a Security Center díjszabási oldalán található díjszabásról: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Az Azure Monitor alkalmazásnaplóit Elemzések egy Log Analytics-munkaterülethez kell csatolni	Csatolja az Alkalmazás Elemzések összetevőt egy Log Analytics-munkaterülethez a naplók titkosításához. Az ügyfél által felügyelt kulcsokra általában szükség van a jogszabályi megfelelőség teljesítéséhez és az adatokhoz való hozzáférés az Azure Monitorban való hatékonyabb ellenőrzéséhez. Ha az összetevőt egy ügyfél által felügyelt kulccsal engedélyezett Log Analytics-munkaterülethez csatolja, biztosítja, hogy az alkalmazás Elemzések naplói megfeleljenek ennek a megfelelőségi követelménynek.https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys	naplózás, Naplózás, megtagadás, Megtagadás, Letiltás, Letiltva, Letiltva	1.1.0
A függvényalkalmazások felügyelt identitást használnak	Felügyelt identitás használata a fokozott hitelesítési biztonság érdekében	AuditIfNotExists, Disabled	3.0.0
Engedélyezni kell a Microsoft Defender for Containers szolgáltatást	A Microsoft Defender for Containers az Azure-beli, hibrid és többfelhős Kubernetes-környezetekhez biztosít megkeményedési, sebezhetőségi felmérési és futásidejű védelmet.	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell a Microsoft Defender for Storage használatát	A Microsoft Defender for Storage észleli a tárfiókokat fenyegető potenciális fenyegetéseket. Segít megelőzni az adatokra és számítási feladatokra gyakorolt három fő hatást: rosszindulatú fájlfeltöltéseket, bizalmas adatok kiszivárgását és adatsérülést. Az új Defender for Storage csomag tartalmazza a kártevők vizsgálatát és a bizalmas adatfenyegetések észlelését. Ez a csomag kiszámítható díjszabási struktúrát is biztosít (tárfiókonként) a lefedettség és a költségek szabályozásához.	AuditIfNotExists, Disabled	1.0.0
Engedélyezni kell az erőforrásnaplókat a Key Vaultban	Erőforrásnaplók naplózása. Ez lehetővé teszi, hogy a vizsgálati célokra használható tevékenységútvonalakat újra létrehozva biztonsági incidens esetén vagy a hálózat sérülése esetén	AuditIfNotExists, Disabled	5.0.0
Engedélyezni kell az erőforrásnaplókat a Logic Appsben	Erőforrásnaplók naplózása. Ez lehetővé teszi, hogy újra létrehozhassa a vizsgálati célokra használható tevékenységútvonalakat; biztonsági incidens bekövetkezésekor vagy a hálózat sérülése esetén	AuditIfNotExists, Disabled	5.1.0

Alkalmazásbiztonsági életciklus (Aslc)-6.6

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A tároló biztonsági konfigurációinak biztonsági réseit orvosolni kell	A biztonsági konfiguráció biztonsági réseinek naplózása olyan gépeken, amelyeken a Docker telepítve van, és javaslatokként jelenik meg az Azure Security Centerben.	AuditIfNotExists, Disabled	3.0.0

Alkalmazásbiztonsági életciklus (Aslc)-6.7

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A tároló biztonsági konfigurációinak biztonsági réseit orvosolni kell	A biztonsági konfiguráció biztonsági réseinek naplózása olyan gépeken, amelyeken a Docker telepítve van, és javaslatokként jelenik meg az Azure Security Centerben.	AuditIfNotExists, Disabled	3.0.0
A webalkalmazási tűzfalat (WAF) engedélyezni kell az Application Gatewayhez	Az Azure Web Application Firewall (WAF) üzembe helyezése nyilvános elérésű webalkalmazások előtt a bejövő forgalom további ellenőrzéséhez. A webalkalmazási tűzfal (WAF) központi védelmet nyújt a webalkalmazásoknak az olyan gyakori biztonsági rések és biztonsági rések ellen, mint az SQL-injektálások, a helyek közötti szkriptelés, a helyi és távoli fájlvégrehajtások. A webalkalmazásokhoz való hozzáférést országonként, IP-címtartományok és egyéb HTTP-paraméterek szerint is korlátozhatja egyéni szabályokkal.	Naplózás, megtagadás, letiltva	2.0.0
A webalkalmazási tűzfalnak (WAF) engedélyeznie kell az Application Gateway összes tűzfalszabályát	Az összes webalkalmazási tűzfal (WAF) szabály engedélyezése erősíti az alkalmazás biztonságát, és védi a webalkalmazásokat a gyakori biztonsági résekkel szemben. Ha többet szeretne megtudni a webalkalmazási tűzfalról (WAF) az Application Gateway használatával, látogasson el a https://aka.ms/waf-ag	Naplózás, megtagadás, letiltva	1.0.1
A webalkalmazási tűzfalnak (WAF) a megadott módot kell használnia az Application Gatewayhez	Az "Észlelés" vagy a "Megelőzés" mód használatát arra kötelezi, hogy aktív legyen az Application Gateway összes webalkalmazási tűzfalszabályzatán.	Naplózás, megtagadás, letiltva	1.0.0

Adatszivárgás-megelőzési stratégia

Adatszivárgás-megelőzési stratégia–15.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Minden folyamatnapló-erőforrásnak engedélyezett állapotban kell lennie	Naplóerőforrások naplózása annak ellenőrzéséhez, hogy engedélyezve van-e a folyamatnapló állapota. A folyamatnaplók engedélyezésével naplózhatja az IP-forgalommal kapcsolatos információkat. Használható a hálózati folyamatok optimalizálására, az átviteli sebesség figyelésére, a megfelelőség ellenőrzésére, a behatolások észlelésére és egyebekre.	Naplózás, letiltva	1.0.1
Minden hálózati portot korlátozni kell a virtuális géphez társított hálózati biztonsági csoportokon	Az Azure Security Center megállapította, hogy a hálózati biztonsági csoportok bejövő szabályai túl megengedőek. A bejövő szabályok nem engedélyezhetik a hozzáférést az "Any" vagy az "Internet" tartományból. Ez lehetővé teheti, hogy a támadók megcélzhassák az erőforrásokat.	AuditIfNotExists, Disabled	3.0.0
A végpontvédelmi állapottal kapcsolatos problémákat meg kell oldani a gépeken	A virtuális gépek végpontvédelmi állapotproblémáinak megoldása a legújabb fenyegetések és biztonsági rések elleni védelem érdekében. Az Azure Security Center által támogatott végpontvédelmi megoldásokat itt dokumentáljuk : https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. A végpontvédelem értékelése itt dokumentálva van – https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection.	AuditIfNotExists, Disabled	1.0.0
A végpontvédelmet telepíteni kell a gépekre	A gépek fenyegetésekkel és biztonsági résekkel szembeni védelméhez telepítsen egy támogatott végpontvédelmi megoldást.	AuditIfNotExists, Disabled	1.0.0
A végpontvédelmi megoldást telepíteni kell a virtuálisgép-méretezési csoportokra	A virtuálisgép-méretezési csoportok végpontvédelmi megoldásának meglétét és állapotát naplózza, hogy megvédje őket a fenyegetésektől és a biztonsági résektől.	AuditIfNotExists, Disabled	3.0.0
Hiányzó Endpoint Protection monitorozása az Azure Security Centerben	A telepített Endpoint Protection-ügynökkel nem rendelkező kiszolgálókat az Azure Security Center figyeli javaslatként	AuditIfNotExists, Disabled	3.0.0
A tárfiókok számára korlátozni kell a hálózati hozzáférést	A tárfiókokhoz való hálózati hozzáférést korlátozni kell. Konfigurálja a hálózati szabályokat, hogy csak az engedélyezett hálózatokból származó alkalmazások férhessenek hozzá a tárfiókhoz. Az adott internetről vagy helyszíni ügyfelekről érkező kapcsolatok engedélyezéséhez hozzáférést lehet biztosítani adott Azure-beli virtuális hálózatokból vagy nyilvános internetes IP-címtartományokból érkező forgalomhoz	Naplózás, megtagadás, letiltva	1.1.1
A Windows Defender Exploit Guardot engedélyezni kell a gépeken	A Windows Defender Exploit Guard az Azure Policy vendégkonfigurációs ügynökét használja. Az Exploit Guard négy olyan összetevővel rendelkezik, amelyek az eszközök különböző támadási vektorokkal szembeni zárolására és a kártevők elleni támadásokban gyakran használt viselkedés blokkolására szolgálnak, miközben lehetővé teszik a vállalatok számára a biztonsági kockázat és a termelékenységi követelmények egyensúlyba helyezését (csak Windows rendszeren).	AuditIfNotExists, Disabled	2.0.0

Adatszivárgás-megelőzési stratégia–15.2

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A nyilvános hálózati hozzáférést le kell tiltani MariaDB-kiszolgálók esetében	A biztonság javítása érdekében tiltsa le a nyilvános hálózati hozzáférési tulajdonságot, és győződjön meg arról, hogy az Azure Database for MariaDB csak privát végpontról érhető el. Ez a konfiguráció szigorúan letiltja a hozzáférést az Azure IP-tartományán kívüli nyilvános címtérről, és letilt minden olyan bejelentkezést, amely megfelel az IP- vagy a virtuális hálózatalapú tűzfalszabályoknak.	Naplózás, megtagadás, letiltva	2.0.0
A rugalmas MySQL-kiszolgálók nyilvános hálózati hozzáférését le kell tiltani	A nyilvános hálózati hozzáférési tulajdonság letiltása javítja a biztonságot, mert biztosítja, hogy a rugalmas Azure Database for MySQL-kiszolgálók csak privát végpontról érhetők el. Ez a konfiguráció szigorúan letiltja a hozzáférést az Azure IP-tartományán kívüli nyilvános címtérről, és letilt minden olyan bejelentkezést, amely megfelel az IP- vagy a virtuális hálózatalapú tűzfalszabályoknak.	Naplózás, megtagadás, letiltva	2.1.0
A nyilvános hálózati hozzáférést le kell tiltani a MySQL-kiszolgálókon	A biztonság javítása érdekében tiltsa le a nyilvános hálózati hozzáférési tulajdonságot, és győződjön meg arról, hogy az Azure Database for MySQL csak privát végpontról érhető el. Ez a konfiguráció szigorúan letiltja a hozzáférést az Azure IP-tartományán kívüli nyilvános címtérről, és letilt minden olyan bejelentkezést, amely megfelel az IP- vagy a virtuális hálózatalapú tűzfalszabályoknak.	Naplózás, megtagadás, letiltva	2.0.0
A rugalmas PostgreSQL-kiszolgálók nyilvános hálózati hozzáférését le kell tiltani	A nyilvános hálózati hozzáférési tulajdonság letiltása növeli a biztonságot azáltal, hogy a rugalmas Azure Database for PostgreSQL-kiszolgálók csak privát végpontról érhetők el. Ez a konfiguráció szigorúan letiltja a hozzáférést az Azure IP-tartományán kívüli nyilvános címtérről, és letilt minden olyan bejelentkezést, amely megfelel az IP- vagy a virtuális hálózatalapú tűzfalszabályoknak.	Naplózás, megtagadás, letiltva	3.0.1
A nyilvános hálózati hozzáférést le kell tiltani a PostgreSQL-kiszolgálók esetében	A biztonság javítása érdekében tiltsa le a nyilvános hálózati hozzáférési tulajdonságot, és győződjön meg arról, hogy az Azure Database for PostgreSQL csak privát végpontról érhető el. Ez a konfiguráció letiltja a hozzáférést az Azure IP-címtartományán kívüli bármely nyilvános címtérről, és letiltja az IP- vagy virtuális hálózatalapú tűzfalszabályoknak megfelelő összes bejelentkezést.	Naplózás, megtagadás, letiltva	2.0.1
A tárfiókok számára le kell tiltani a nyilvános hálózati hozzáférést	A tárfiókok biztonságának javítása érdekében győződjön meg arról, hogy azok nem érhetők el a nyilvános interneten, és csak privát végpontról érhetők el. Tiltsa le a nyilvános hálózati hozzáférési tulajdonságot a cikkben https://aka.ms/storageaccountpublicnetworkaccessleírtak szerint. Ez a beállítás letiltja a hozzáférést az Azure IP-tartományán kívüli nyilvános címterekről, és letiltja az IP- vagy virtuális hálózatalapú tűzfalszabályoknak megfelelő összes bejelentkezést. Ez csökkenti az adatszivárgási kockázatokat.	Naplózás, megtagadás, letiltva	1.0.1
A tárfiókok virtuális hálózati szabályokkal korlátozhatják a hálózati hozzáférést	Az IP-alapú szűrés helyett a virtuális hálózati szabályokkal védheti meg a tárfiókokat a potenciális fenyegetésektől. Az IP-alapú szűrés letiltása megakadályozza, hogy a nyilvános IP-címek hozzáférjenek a tárfiókokhoz.	Naplózás, megtagadás, letiltva	1.0.1

Adatszivárgás-megelőzési stratégia–15.3

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
A végpontvédelmi állapottal kapcsolatos problémákat meg kell oldani a gépeken	A virtuális gépek végpontvédelmi állapotproblémáinak megoldása a legújabb fenyegetések és biztonsági rések elleni védelem érdekében. Az Azure Security Center által támogatott végpontvédelmi megoldásokat itt dokumentáljuk : https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. A végpontvédelem értékelése itt dokumentálva van – https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection.	AuditIfNotExists, Disabled	1.0.0
A végpontvédelmet telepíteni kell a gépekre	A gépek fenyegetésekkel és biztonsági résekkel szembeni védelméhez telepítsen egy támogatott végpontvédelmi megoldást.	AuditIfNotExists, Disabled	1.0.0
A végpontvédelmi megoldást telepíteni kell a virtuálisgép-méretezési csoportokra	A virtuálisgép-méretezési csoportok végpontvédelmi megoldásának meglétét és állapotát naplózza, hogy megvédje őket a fenyegetésektől és a biztonsági résektől.	AuditIfNotExists, Disabled	3.0.0
Hiányzó Endpoint Protection monitorozása az Azure Security Centerben	A telepített Endpoint Protection-ügynökkel nem rendelkező kiszolgálókat az Azure Security Center figyeli javaslatként	AuditIfNotExists, Disabled	3.0.0
A Windows Defender Exploit Guardot engedélyezni kell a gépeken	A Windows Defender Exploit Guard az Azure Policy vendégkonfigurációs ügynökét használja. Az Exploit Guard négy olyan összetevővel rendelkezik, amelyek az eszközök különböző támadási vektorokkal szembeni zárolására és a kártevők elleni támadásokban gyakran használt viselkedés blokkolására szolgálnak, miközben lehetővé teszik a vállalatok számára a biztonsági kockázat és a termelékenységi követelmények egyensúlyba helyezését (csak Windows rendszeren).	AuditIfNotExists, Disabled	2.0.0

Kriminalisztika

Törvényszéki-22.1

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Engedélyezni kell az Azure DDoS Protection használatát	A DDoS-védelmet minden olyan alhálózattal rendelkező virtuális hálózat esetében engedélyezni kell, amely egy nyilvános IP-címmel rendelkező Application Gateway része.	AuditIfNotExists, Disabled	3.0.1

Incidenskezelés és -kezelés

Reagálás a kibereseményekre:-19.2

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Engedélyezni kell a magas súlyosságú riasztások e-mailes értesítését	Ha gondoskodni szeretne arról, hogy a szervezet megfelelő tagjai értesítést kapnak, amikor biztonsági incidens történik az egyik előfizetésében, engedélyezze az e-mailes értesítéseket a Security Centerben a nagy súlyosságú riasztásokhoz.	AuditIfNotExists, Disabled	1.1.0
Engedélyezni kell az előfizetés tulajdonosának küldött e-mail-értesítést a nagy súlyosságú riasztások esetén	Annak biztosítása érdekében, hogy az előfizetés tulajdonosai értesítést kapnak arról, ha biztonsági incidens áll fenn az előfizetésükben, állítson be e-mail-értesítéseket az előfizetés-tulajdonosoknak a Security Center nagy súlyosságú riasztásaihoz.	AuditIfNotExists, Disabled	2.1.0
Az előfizetéseknek rendelkezniük kell egy kapcsolattartási e-mail-címmel biztonsági problémák esetén	Ha gondoskodni szeretne arról, hogy a szervezet érintett tagjai értesítést kapjanak, amikor biztonsági incidens lép fel az egyik előfizetésében, állítson be egy biztonsági kapcsolattartót, hogy e-mail-értesítéseket kapjon a Security Centertől.	AuditIfNotExists, Disabled	1.0.1

Helyreállítás Kiberből – Incidensek-19.4

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Virtuális gépek naplózása vészhelyreállítás konfigurálása nélkül	Naplózhatja azokat a virtuális gépeket, amelyeken nincs vészhelyreállítás konfigurálva. Ha többet szeretne megtudni a vészhelyreállításról, látogasson el https://aka.ms/asr-docide.	auditIfNotExists	1.0.0
Engedélyezni kell az Azure Defendert a kiszolgálókhoz	A kiszolgálókhoz készült Azure Defender valós idejű fenyegetésvédelmet biztosít a kiszolgálói számítási feladatokhoz, és keményítési javaslatokat és riasztásokat hoz létre a gyanús tevékenységekről.	AuditIfNotExists, Disabled	1.0.3

Helyreállítás kiberből – Incidensek-19.5

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Az Azure Backupot engedélyezni kell a virtuális gépeken	Az Azure Backup engedélyezésével gondoskodjon az Azure-beli virtuális gépek védelméről. Az Azure Backup egy biztonságos és költséghatékony adatvédelmi megoldás az Azure-hoz.	AuditIfNotExists, Disabled	3.0.0
Engedélyezni kell az Azure Defendert a kiszolgálókhoz	A kiszolgálókhoz készült Azure Defender valós idejű fenyegetésvédelmet biztosít a kiszolgálói számítási feladatokhoz, és keményítési javaslatokat és riasztásokat hoz létre a gyanús tevékenységekről.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell a georedundáns biztonsági mentést az Azure Database for MariaDB-ben	Az Azure Database for MariaDB lehetővé teszi az adatbázis-kiszolgáló redundanciabeállításának kiválasztását. Beállítható georedundáns biztonsági mentési tárolóra, amelyben az adatok nem csak abban a régióban tárolódnak, amelyben a kiszolgáló üzemel, hanem egy párosított régióba is replikálva, hogy régióhiba esetén helyreállítási lehetőséget biztosítson. A georedundáns biztonsági mentési tár konfigurálása csak a kiszolgáló létrehozása közben engedélyezett.	Naplózás, letiltva	1.0.1
Engedélyezni kell a georedundáns biztonsági mentést az Azure Database for MySQL-ben	Az Azure Database for MySQL lehetővé teszi az adatbázis-kiszolgáló redundanciabeállításának kiválasztását. Beállítható georedundáns biztonsági mentési tárolóra, amelyben az adatok nem csak abban a régióban tárolódnak, amelyben a kiszolgáló üzemel, hanem egy párosított régióba is replikálva, hogy régióhiba esetén helyreállítási lehetőséget biztosítson. A georedundáns biztonsági mentési tár konfigurálása csak a kiszolgáló létrehozása közben engedélyezett.	Naplózás, letiltva	1.0.1
Engedélyezni kell a georedundáns biztonsági mentést az Azure Database for PostgreSQL-ben	Az Azure Database for PostgreSQL lehetővé teszi az adatbázis-kiszolgáló redundanciabeállításának kiválasztását. Beállítható georedundáns biztonsági mentési tárolóra, amelyben az adatok nem csak abban a régióban tárolódnak, amelyben a kiszolgáló üzemel, hanem egy párosított régióba is replikálva, hogy régióhiba esetén helyreállítási lehetőséget biztosítson. A georedundáns biztonsági mentési tár konfigurálása csak a kiszolgáló létrehozása közben engedélyezett.	Naplózás, letiltva	1.0.1

Helyreállítás kiberből – Incidensek-19.6

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Engedélyezni kell az Azure Defendert a kiszolgálókhoz	A kiszolgálókhoz készült Azure Defender valós idejű fenyegetésvédelmet biztosít a kiszolgálói számítási feladatokhoz, és keményítési javaslatokat és riasztásokat hoz létre a gyanús tevékenységekről.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell a magas súlyosságú riasztások e-mailes értesítését	Ha gondoskodni szeretne arról, hogy a szervezet megfelelő tagjai értesítést kapnak, amikor biztonsági incidens történik az egyik előfizetésében, engedélyezze az e-mailes értesítéseket a Security Centerben a nagy súlyosságú riasztásokhoz.	AuditIfNotExists, Disabled	1.1.0
Engedélyezni kell az előfizetés tulajdonosának küldött e-mail-értesítést a nagy súlyosságú riasztások esetén	Annak biztosítása érdekében, hogy az előfizetés tulajdonosai értesítést kapnak arról, ha biztonsági incidens áll fenn az előfizetésükben, állítson be e-mail-értesítéseket az előfizetés-tulajdonosoknak a Security Center nagy súlyosságú riasztásaihoz.	AuditIfNotExists, Disabled	2.1.0
Az előfizetéseknek rendelkezniük kell egy kapcsolattartási e-mail-címmel biztonsági problémák esetén	Ha gondoskodni szeretne arról, hogy a szervezet érintett tagjai értesítést kapjanak, amikor biztonsági incidens lép fel az egyik előfizetésében, állítson be egy biztonsági kapcsolattartót, hogy e-mail-értesítéseket kapjon a Security Centertől.	AuditIfNotExists, Disabled	1.0.1

Helyreállítás kiberből – Incidensek-19.6b

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Engedélyezni kell az Azure DDoS Protection használatát	A DDoS-védelmet minden olyan alhálózattal rendelkező virtuális hálózat esetében engedélyezni kell, amely egy nyilvános IP-címmel rendelkező Application Gateway része.	AuditIfNotExists, Disabled	3.0.1
Engedélyezni kell az Azure Defendert a kiszolgálókhoz	A kiszolgálókhoz készült Azure Defender valós idejű fenyegetésvédelmet biztosít a kiszolgálói számítási feladatokhoz, és keményítési javaslatokat és riasztásokat hoz létre a gyanús tevékenységekről.	AuditIfNotExists, Disabled	1.0.3
Engedélyezni kell a magas súlyosságú riasztások e-mailes értesítését	Ha gondoskodni szeretne arról, hogy a szervezet megfelelő tagjai értesítést kapnak, amikor biztonsági incidens történik az egyik előfizetésében, engedélyezze az e-mailes értesítéseket a Security Centerben a nagy súlyosságú riasztásokhoz.	AuditIfNotExists, Disabled	1.1.0
Engedélyezni kell az előfizetés tulajdonosának küldött e-mail-értesítést a nagy súlyosságú riasztások esetén	Annak biztosítása érdekében, hogy az előfizetés tulajdonosai értesítést kapnak arról, ha biztonsági incidens áll fenn az előfizetésükben, állítson be e-mail-értesítéseket az előfizetés-tulajdonosoknak a Security Center nagy súlyosságú riasztásaihoz.	AuditIfNotExists, Disabled	2.1.0

Helyreállítás kiberből – Incidensek-19.6c

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Engedélyezni kell a magas súlyosságú riasztások e-mailes értesítését	Ha gondoskodni szeretne arról, hogy a szervezet megfelelő tagjai értesítést kapnak, amikor biztonsági incidens történik az egyik előfizetésében, engedélyezze az e-mailes értesítéseket a Security Centerben a nagy súlyosságú riasztásokhoz.	AuditIfNotExists, Disabled	1.1.0
Engedélyezni kell az előfizetés tulajdonosának küldött e-mail-értesítést a nagy súlyosságú riasztások esetén	Annak biztosítása érdekében, hogy az előfizetés tulajdonosai értesítést kapnak arról, ha biztonsági incidens áll fenn az előfizetésükben, állítson be e-mail-értesítéseket az előfizetés-tulajdonosoknak a Security Center nagy súlyosságú riasztásaihoz.	AuditIfNotExists, Disabled	2.1.0
Az előfizetéseknek rendelkezniük kell egy kapcsolattartási e-mail-címmel biztonsági problémák esetén	Ha gondoskodni szeretne arról, hogy a szervezet érintett tagjai értesítést kapjanak, amikor biztonsági incidens lép fel az egyik előfizetésében, állítson be egy biztonsági kapcsolattartót, hogy e-mail-értesítéseket kapjon a Security Centertől.	AuditIfNotExists, Disabled	1.0.1

Helyreállítás kiberből – Incidensek-19.6e

ID:

Név (Azure Portal)	Leírás	Hatás(ok)	Verzió (GitHub)
Engedélyezni kell az Azure Defendert a kiszolgálókhoz	A kiszolgálókhoz készült Azure Defender valós idejű fenyegetésvédelmet biztosít a kiszolgálói számítási feladatokhoz, és keményítési javaslatokat és riasztásokat hoz létre a gyanús tevékenységekről.	AuditIfNotExists, Disabled	1.0.3

Következő lépések

További cikkek az Azure Policyról:

• A jogszabályi megfelelőség áttekintése.
• Tekintse meg a kezdeményezés definíciós struktúráját.
• Tekintse át az Azure Policy-minták egyéb példáit.
• A Szabályzatok hatásainak ismertetése.
• Megtudhatja, hogyan orvosolhatja a nem megfelelő erőforrásokat.