Azure-beli biztonsági alapkonfiguráció az Azure nyilvános IP-címéhez

  • Cikk

Ez a biztonsági alapkonfiguráció a Microsoft felhőbiztonsági teljesítményteszt 1.0-s verziójának útmutatását alkalmazza az Azure Nyilvános IP-címre. A Microsoft felhőbiztonsági teljesítménytesztje javaslatokat nyújt arra, hogyan védheti meg felhőmegoldásait az Azure-ban. A tartalom a Microsoft felhőbiztonsági teljesítménytesztje által meghatározott biztonsági vezérlők és az Azure nyilvános IP-címére vonatkozó kapcsolódó útmutató alapján van csoportosítva.

Ezt a biztonsági alapkonfigurációt és a hozzá tartozó javaslatokat a felhőhöz készült Microsoft Defender használatával figyelheti. Azure Policy definíciók a felhőportál Microsoft Defender lapJának Jogszabályi megfelelőség szakaszában lesznek felsorolva.

Ha egy szolgáltatás releváns Azure Policy definíciókkal rendelkezik, ezek szerepelnek az alapkonfigurációban, így mérheti a Microsoft felhőalapú biztonsági teljesítménytesztjének vezérlőinek és javaslatainak való megfelelést. Egyes javaslatokhoz bizonyos biztonsági forgatókönyvek engedélyezéséhez fizetős Microsoft Defender csomagra lehet szükség.

Megjegyzés

Az Azure nyilvános IP-címére nem alkalmazható funkciók ki lettek zárva. Annak megtekintéséhez, hogy az Azure Nyilvános IP-cím hogyan képezi le teljesen a Microsoft felhőbiztonsági teljesítménytesztét, tekintse meg az Azure nyilvános IP-címének alapkonfiguráció-leképezési fájlját.

Biztonsági profil

A biztonsági profil összefoglalja az Azure Nyilvános IP-cím nagy hatású viselkedését, ami fokozott biztonsági szempontokat eredményezhet.

Szolgáltatás viselkedési attribútuma Érték
Product Category (Termék kategóriája) Hálózatkezelés
Az ügyfél hozzáférhet a GAZDAGÉPhez/operációs rendszerhez Nincs hozzáférés
A szolgáltatás üzembe helyezhető az ügyfél virtuális hálózatában Hamis
Az ügyféltartalmakat inaktív állapotban tárolja Hamis

Hálózati biztonság

További információ: A Microsoft felhőbiztonsági teljesítménytesztje: Hálózati biztonság.

NS-1: Hálózati szegmentálási határok létrehozása

Funkciók

Virtuális hálózat integrációja

Leírás: A szolgáltatás támogatja az ügyfél privát Virtual Network (VNet) való üzembe helyezését. További információ.

Támogatott Alapértelmezés szerint engedélyezve Konfigurációs felelősség
Igaz Hamis Ügyfél

Konfigurációs útmutató: Nyilvános IP-címek hozhatók létre, majd később társíthatók egy virtuális hálózaton belüli erőforráshoz.

Microsoft Defender felhőmonitorozáshoz

Azure Policy beépített definíciók – Microsoft.Network:

Name
(Azure Portal)		 Description Hatás(ok) Verzió
(GitHub)
Az alhálózatokat hálózati biztonsági csoporthoz kell társítani Az alhálózat védelme a potenciális fenyegetések ellen hálózati biztonsági csoporttal (NSG) való hozzáférés korlátozásával. Az NSG-k Access Control listára (ACL) vonatkozó szabályok listáját tartalmazzák, amelyek engedélyezik vagy letiltják az alhálózat felé történő hálózati forgalmat. AuditIfNotExists, Letiltva 3.0.0

Emelt szintű hozzáférés

További információt a Microsoft felhőalapú biztonsági teljesítménytesztje: Privileged access (Emelt szintű hozzáférés) című témakörben talál.

PA-7: Kövesse a megfelelő adminisztrációs (minimális jogosultsági) elvet

Funkciók

Azure RBAC adatsíkhoz

Leírás: Az Azure Role-Based Access Control (Azure RBAC) használható a szolgáltatás adatsík-műveleteihez való felügyelt hozzáféréshez. További információ.

Támogatott Alapértelmezés szerint engedélyezve Konfigurációs felelősség
Igaz Hamis Ügyfél

Konfigurációs útmutató: A nyilvános IP-címek kezeléséhez a fiókját hozzá kell rendelni a hálózati közreműködői szerepkörhöz. Az egyéni szerepkörök is támogatottak.

Eszközkezelés

További információt a Microsoft felhőbiztonsági teljesítménytesztje: Eszközkezelés című témakörben talál.

AM-2: Csak jóváhagyott szolgáltatások használata

Funkciók

Az Azure Policy támogatása

Leírás: A szolgáltatáskonfigurációk monitorozása és kényszerítése Azure Policy keresztül végezhető el. További információ.

Támogatott Alapértelmezés szerint engedélyezve Konfigurációs felelősség
Igaz Hamis Ügyfél

Szolgáltatás megjegyzései: Azure Policy definíciók konfigurálhatók a nyilvános IP-címekhez kapcsolódóan, például a nyilvános IP-címeknek engedélyezniük kell az erőforrásnaplókat az Azure DDoS Protection Standardhoz.

Konfigurációs útmutató: A Microsoft Defender for Cloud használatával konfigurálhatja a Azure Policy az Azure-erőforrások konfigurációinak naplózására és kikényszerítésére. Az Azure Monitor használatával riasztásokat hozhat létre, ha konfigurációs eltérést észlel az erőforrásokon. Használja Azure Policy [deny] és [deploy ha nem létezik] effektusokat az Azure-erőforrások közötti biztonságos konfiguráció kikényszerítéséhez.

Naplózás és fenyegetésészlelés

További információ: A Microsoft felhőbiztonsági benchmarkja: Naplózás és fenyegetésészlelés.

LT-4: Naplózás engedélyezése biztonsági vizsgálathoz

Funkciók

Azure-erőforrásnaplók

Leírás: A szolgáltatás olyan erőforrásnaplókat hoz létre, amelyek továbbfejlesztett szolgáltatásspecifikus metrikákat és naplózást biztosítanak. Az ügyfél konfigurálhatja ezeket az erőforrásnaplókat, és elküldheti őket a saját adatfogyójába, például egy tárfiókba vagy egy log analytics-munkaterületre. További információ.

Támogatott Alapértelmezés szerint engedélyezve Konfigurációs felelősség
Igaz Hamis Ügyfél

Konfigurációs útmutató: Ha az Azure-erőforrásokra támaszkodó kritikus alkalmazásokkal és üzleti folyamatokkal rendelkezik, figyelnie kell ezeket az erőforrásokat a rendelkezésre állásuk, a teljesítményük és a működésük szempontjából. Az erőforrásnaplókat a rendszer nem gyűjti és nem tárolja, amíg létre nem hoz egy diagnosztikai beállítást, és nem irányítja át őket legalább egy helyre.

Referencia: Nyilvános IP-címek monitorozása

Következő lépések