뉴질랜드 ISM 제한됨 규정 준수 기본 제공 이니셔티브의 세부 정보

다음 문서에서는 Azure Policy 규정 준수 기본 제공 이니셔티브 정의가 뉴질랜드 ISM 제한됨의 규정 준수 도메인컨트롤 에 어떻게 대응하는지 자세히 설명합니다. 이 규정 준수 표준에 대한 자세한 내용은 뉴질랜드 ISM 제한됨을 참조하세요. 소유권 을 이해하려면 Azure Policy 정책 정의클라우드의 공동 책임을 참조하세요.

다음 매핑은 뉴질랜드 ISM 제한됨 컨트롤에 대한 것입니다. 특정 규정 준수 도메인 으로 바로 점프하려면 오른쪽의 탐색 기능을 사용합니다. 여러 컨트롤이 Azure Policy 이니셔티브 정의를 사용하여 구현됩니다. 전체 이니셔티브 정의를 검토하려면 Azure Portal에서 정책 을 열고 정의 페이지를 선택합니다. 그런 다음, 뉴질랜드 ISM 제함됨 규정 준수 기본 제공 이니셔티브 정의를 찾아서 선택합니다.

기본 제공 이니셔티브는 뉴질랜드 ISM 제한됨 청사진 샘플의 일부로 배포됩니다.

중요

아래의 각 컨트롤은 하나 이상의 Azure Policy 정의와 연결되어 있습니다. 이러한 정책은 컨트롤을 사용한 규정 준수 평가에 도움이 될 수 있지만, 컨트롤과 하나 이상의 정책 간에 일대일 또는 완벽한 일치 관계가 없는 경우도 많습니다. 따라서 Azure Policy의 규정 준수 는 정책 정의 자체만 가리킬 뿐, 컨트롤의 모든 요구 사항을 완벽하게 준수한다는 것은 아닙니다. 또한 규정 준수 표준에는 현재 Azure Policy 정의에서 처리되지 않은 컨트롤이 포함되어 있습니다. 따라서 Azure Policy의 규정 준수는 전반적인 규정 준수 상태를 부분적으로 표시할 뿐입니다. 이 규정 준수 표준에 대한 규정 준수 도메인, 컨트롤, Azure Policy 정의 간의 연결은 시간이 지나면 변경될 수 있습니다. 변경 기록을 보려면 GitHub 커밋 기록을 참조하세요.

정보 보안 모니터링

6.2.5 취약성 평가 수행

ID: NZISM 보안 벤치마크 ISM-3 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
취약성 평가 솔루션을 가상 머신에서 사용하도록 설정해야 함 가상 머신을 감사하여 지원되는 취약성 평가 솔루션을 실행하고 있는지 검색합니다. 모든 사이버 위험 및 보안 프로그램의 핵심 구성 요소는 취약성을 식별하고 분석하는 것입니다. Azure Security Center의 표준 가격 책정 계층에는 추가 비용 없이 가상 머신에 대한 취약성 검사가 포함됩니다. 또한 Security Center가 자동으로 도구를 배포할 수 있습니다. AuditIfNotExists, 사용 안 함 3.0.0
소유자 권한이 있는 사용되지 않는 계정은 구독에서 제거해야 합니다. 소유자 권한이 있는 사용되지 않는 계정은 구독에서 제거해야 합니다. 사용되지 않는 계정은 로그인이 차단된 계정입니다. AuditIfNotExists, 사용 안 함 3.0.0
SQL 데이터베이스가 발견한 취약성을 해결해야 함 취약성 평가 검사 결과 및 데이터베이스 취약성을 해결하는 방법에 대한 권장 사항을 모니터링합니다. AuditIfNotExists, 사용 안 함 4.0.0
컨테이너 보안 구성의 취약성을 수정해야 합니다. Docker가 설치된 머신에서 보안 구성의 취약성을 감사하고 Azure Security Center에서 권장 사항으로 표시합니다. AuditIfNotExists, 사용 안 함 3.0.0
머신 보안 구성의 취약성을 수정해야 합니다. 구성된 기준을 충족하지 않는 서버는 Azure Security Center에서 권장 사항으로 모니터링됩니다. AuditIfNotExists, 사용 안 함 3.0.0
가상 머신 확장 집합에서 보안 구성의 취약성을 수정해야 합니다. 가상 머신 확장 집합의 OS 취약성을 감사하여 공격으로부터 보호합니다. AuditIfNotExists, 사용 안 함 3.0.0
SQL 서버에 대한 취약성 평가 설정에는 검사 보고서를 수신할 이메일 주소를 포함해야 합니다. 취약점 평가 설정에서 '검사 보고서 전송 대상' 필드에 이메일 주소가 지정되었는지 확인합니다. 이 이메일 주소는 SQL 서버에 대한 정기적인 검사기 실행된 후 검사 결과 요약을 받습니다. AuditIfNotExists, 사용 안 함 2.0.0
SQL Managed Instance에서 취약성 평가를 사용하도록 설정해야 함 반복 취약성 평가 검사를 사용하도록 설정하지 않은 각 SQL Managed Instance를 감사합니다. 취약성 평가는 잠재적 데이터베이스 취약성을 검색 및 추적할 수 있고 해결하는 데 도움이 될 수 있습니다. AuditIfNotExists, 사용 안 함 1.0.1
SQL 서버에서 취약성 평가를 사용하도록 설정해야 합니다. 반복 취약성 평가 검사를 사용하도록 설정하지 않은 Azure SQL 서버를 감사합니다. 취약성 평가는 잠재적 데이터베이스 취약성을 검색 및 추적할 수 있고 해결하는 데 도움이 될 수 있습니다. AuditIfNotExists, 사용 안 함 2.0.0

제품 보안

12.4.4 제품의 취약성 패치

ID: NZISM 보안 벤치마크 PRS-5 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
더 이상 사용되지 않는 계정은 구독에서 제거해야 합니다. 더 이상 사용되지 않는 계정을 구독에서 제거해야 합니다. 사용되지 않는 계정은 로그인이 차단된 계정입니다. AuditIfNotExists, 사용 안 함 3.0.0
소유자 권한이 있는 사용되지 않는 계정은 구독에서 제거해야 합니다. 소유자 권한이 있는 사용되지 않는 계정은 구독에서 제거해야 합니다. 사용되지 않는 계정은 로그인이 차단된 계정입니다. AuditIfNotExists, 사용 안 함 3.0.0
소유자 권한이 있는 외부 계정은 구독에서 제거해야 합니다. 모니터링되지 않는 액세스를 방지하려면 소유자 권한이 있는 외부 계정을 구독에서 제거해야 합니다. AuditIfNotExists, 사용 안 함 3.0.0
쓰기 권한이 있는 외부 계정을 구독에서 제거해야 합니다. 모니터링되지 않는 액세스를 방지하려면 쓰기 권한이 있는 외부 계정을 구독에서 제거해야 합니다. AuditIfNotExists, 사용 안 함 3.0.0
가상 머신 확장 집합에 대한 시스템 업데이트를 설치해야 합니다. Windows 및 Linux 가상 머신 확장 집합의 보안 유지를 위해 설치해야 하는 시스템 보안 업데이트 및 중요 업데이트가 누락되었는지 감사합니다. AuditIfNotExists, 사용 안 함 3.0.0
시스템 업데이트를 머신에 설치해야 합니다. 서버의 누락된 보안 시스템 업데이트는 Azure Security Center에서 권장 사항으로 모니터링합니다. AuditIfNotExists, 사용 안 함 4.0.0

소프트웨어 보안

14.1.9 확정된 SOE 유지 관리

ID: NZISM 보안 벤치마크 SS-2 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
배포 - Windows 가상 머신 확장 집합에서 사용하도록 Dependency Agent 구성 가상 머신 이미지가 정의된 목록에 있고 에이전트가 설치되지 않은 경우 Windows 가상 머신 확장 집합용 종속성 에이전트를 배포합니다. 확장 집합 upgradePolicy를 수동으로 설정한 경우 해당 확장 기능을 업데이트하여 집합의 모든 가상 머신에 적용해야 합니다. DeployIfNotExists, 사용 안 함 2.0.0
가상 머신 확장 집합에 Endpoint Protection 솔루션을 설치해야 합니다. 가상 머신 확장 집합에서 엔드포인트 보호 솔루션의 존재 및 상태를 감사하여 위협 및 취약성으로부터 보호합니다. AuditIfNotExists, 사용 안 함 3.0.0
Microsoft IaaSAntimalware 확장을 Windows Server에 배포해야 함 이 정책은 Microsoft IaaSAntimalware 확장이 배포되지 않은 Windows Server VM을 감사합니다. AuditIfNotExists, 사용 안 함 1.0.0
Azure Security Center에서 누락된 Endpoint Protection 모니터링 Endpoint Protection 에이전트가 설치되어 있지 않은 서버는 Azure Security Center에서 권장 사항으로 모니터링됩니다. AuditIfNotExists, 사용 안 함 3.0.0

14.2.4 애플리케이션 허용 목록

ID: NZISM 보안 벤치마크 SS-4 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
머신에서 안전한 애플리케이션을 정의하기 위해 적응형 애플리케이션 제어를 사용하도록 설정해야 함 애플리케이션 제어를 활성화하여 머신에서 실행 중인 알려진 안전한 애플리케이션 목록을 정의하고, 다른 애플리케이션이 실행될 때 경고합니다. 이렇게 하면 맬웨어로부터 머신을 강화할 수 있습니다. 규칙을 구성하고 유지 관리하는 프로세스를 간소화하기 위해 Security Center는 기계 학습을 사용하여 각 머신에서 실행 중인 애플리케이션을 분석하고 알려진 안전한 애플리케이션의 목록을 제안합니다. AuditIfNotExists, 사용 안 함 3.0.0

14.5.8 웹 애플리케이션

ID: NZISM 보안 벤치마크 SS-8 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
API 앱은 HTTPS를 통해서만 액세스할 수 있어야 합니다. HTTPS를 사용하여 서버/서비스 인증을 보장하고 전송 중인 데이터를 네트워크 계층 도청 공격으로부터 보호합니다. 감사, 사용 안 함 1.0.0
CORS에서 모든 리소스가 웹 애플리케이션에 액세스하도록 허용해서는 안 됩니다. CORS(교차 원본 리소스 공유)는 웹 애플리케이션에 액세스하는 모든 도메인을 허용하지 않아야 합니다. 필요한 도메인만 웹앱과 상호 작용할 수 있도록 허용합니다. AuditIfNotExists, 사용 안 함 1.0.0
함수 앱은 HTTPS를 통해서만 액세스할 수 있어야 합니다. HTTPS를 사용하여 서버/서비스 인증을 보장하고 전송 중인 데이터를 네트워크 계층 도청 공격으로부터 보호합니다. 감사, 사용 안 함 1.0.0
Azure Cache for Redis에 보안 연결만 사용하도록 설정해야 함 SSL을 통해 설정된 Azure Cache for Redis 연결만 감사 보안 연결을 사용하여 서버와 서비스 간 인증을 보장하고 전송 중인 데이터를 메시지 가로채기(man-in-the-middle), 도청 및 세션 하이재킹과 같은 네트워크 계층 공격으로부터 보호합니다. 감사, 거부, 사용 안 함 1.0.0
웹 애플리케이션은 HTTPS를 통해서만 액세스할 수 있어야 합니다. HTTPS를 사용하여 서버/서비스 인증을 보장하고 전송 중인 데이터를 네트워크 계층 도청 공격으로부터 보호합니다. 감사, 사용 안 함 1.0.0

액세스 제어 및 암호

16.1.32 시스템 사용자 ID

ID: NZISM 보안 벤치마크 AC-2 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
구독에 최대 3명의 소유자를 지정해야 합니다. 보안이 침해된 소유자의 위반 가능성을 줄이려면 최대 3명의 구독 소유자를 지정하는 것이 좋습니다. AuditIfNotExists, 사용 안 함 3.0.0
암호 없이 계정에서 원격 연결을 허용하는 Linux 머신 감사 필수 구성 요소가 정책 할당 범위에 배포되어야 합니다. 자세한 내용은 https://aka.ms/gcpol을 방문하세요. 암호 없이 계정에서 원격 연결을 허용하는 Linux 머신의 경우 머신은 비규격입니다. AuditIfNotExists, 사용 안 함 1.0.0
암호가 없는 계정이 있는 Linux 머신 감사 필수 구성 요소가 정책 할당 범위에 배포되어야 합니다. 자세한 내용은 https://aka.ms/gcpol을 방문하세요. 암호가 없는 계정이 있는 Linux 머신의 경우 머신은 비규격입니다. AuditIfNotExists, 사용 안 함 1.0.0
관리자 그룹에 지정된 구성원이 없는 Windows 머신 감사 필수 구성 요소가 정책 할당 범위에 배포되어야 합니다. 자세한 내용은 https://aka.ms/gcpol을 방문하세요. 로컬 관리자 그룹에 정책 매개 변수에 나열된 구성원이 하나 이상 포함되어 있지 않은 경우 머신은 비규격입니다. auditIfNotExists 1.0.0
관리자 그룹에 추가 계정이 있는 Windows 머신 감사 필수 구성 요소가 정책 할당 범위에 배포되어야 합니다. 자세한 내용은 https://aka.ms/gcpol을 방문하세요. 로컬 관리자 그룹에 정책 매개 변수에 나열되지 않은 구성원이 포함된 경우 머신은 비규격입니다. auditIfNotExists 1.0.0
관리자 그룹에 지정된 구성원이 있는 Windows 머신 감사 필수 구성 요소가 정책 할당 범위에 배포되어야 합니다. 자세한 내용은 https://aka.ms/gcpol을 방문하세요. 로컬 관리자 그룹에 정책 매개 변수에 나열된 구성원이 하나 이상 포함된 경우 머신은 비규격입니다. auditIfNotExists 1.0.0
배포 - Windows 가상 머신에서 사용하도록 Dependency Agent 구성 가상 머신 이미지가 정의된 목록에 있고 에이전트가 설치되지 않은 경우 Windows 가상 머신용 종속성 에이전트를 배포합니다. DeployIfNotExists, 사용 안 함 2.0.0
Linux 게스트 구성 확장을 배포하여 Linux VM에서 게스트 구성 할당을 사용하도록 설정 이 정책은 게스트 구성에서 지원되는 Azure에서 호스트되는 Linux 가상 머신에 Linux 게스트 구성 확장을 배포합니다. Linux 구성 확장은 모든 Linux 게스트 구성 할당에 대한 필수 구성 요소이며 Linux 게스트 구성 정책 정의를 사용하기 전에 머신에 배포해야 합니다. 게스트 구성에 대한 자세한 내용은 https://aka.ms/gcpol을 방문하세요. deployIfNotExists 1.0.0
Windows 게스트 구성 확장을 배포하여 Windows VM에서 게스트 구성 할당을 사용하도록 설정 이 정책은 게스트 구성에서 지원되는 Azure에서 호스트되는 Windows 가상 머신에 Windows 게스트 구성 확장을 배포합니다. Windows 구성 확장은 모든 Windows 게스트 구성 할당에 대한 필수 구성 요소이며 Windows 게스트 구성 정책 정의를 사용하기 전에 머신에 배포해야 합니다. 게스트 구성에 대한 자세한 내용은 https://aka.ms/gcpol을 방문하세요. deployIfNotExists 1.0.0
Service Fabric 클러스터는 클라이언트 인증에 대해서만 Azure Active Directory를 사용해야 함 Service Fabric에서 Azure Active Directory를 통한 클라이언트 인증의 사용만 감사 감사, 거부, 사용 안 함 1.1.0
구독에 둘 이상의 소유자를 할당해야 합니다. 관리자 액세스 중복성을 유지하려면 둘 이상의 구독 소유자를 지정하는 것이 좋습니다. AuditIfNotExists, 사용 안 함 3.0.0

16.1.35 시스템 사용자 식별 및 인증 방법

ID: NZISM 보안 벤치마크 AC-3 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
구독에서 쓰기 권한이 있는 계정에 MFA를 사용하도록 설정해야 합니다. 계정 또는 리소스 위반을 방지하려면 쓰기 권한이 있는 모든 구독 계정에서 MFA(Multi-Factor Authentication)를 사용하도록 설정해야 합니다. AuditIfNotExists, 사용 안 함 3.0.0
구독에서 소유자 권한이 있는 계정에 MFA를 사용하도록 설정해야 합니다. 계정 또는 리소스 위반을 방지하려면 소유자 권한이 있는 모든 구독 계정에 대해 MFA(Multi-Factor Authentication)를 사용하도록 설정해야 합니다. AuditIfNotExists, 사용 안 함 3.0.0
구독에서 읽기 권한이 있는 계정에 MFA를 사용하도록 설정해야 합니다. 계정 또는 리소스 위반을 방지하려면 읽기 권한이 있는 모든 구독 계정에서 MFA(Multi-Factor Authentication)를 사용하도록 설정해야 합니다. AuditIfNotExists, 사용 안 함 3.0.0

16.1.40 암호 선택 정책

ID: NZISM 보안 벤치마크 AC-4 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
배포 - Windows 가상 머신에서 사용하도록 Dependency Agent 구성 가상 머신 이미지가 정의된 목록에 있고 에이전트가 설치되지 않은 경우 Windows 가상 머신용 종속성 에이전트를 배포합니다. DeployIfNotExists, 사용 안 함 2.0.0
Windows 머신은 '보안 설정 - 계정 정책'에 대한 요구 사항을 충족해야 함 Windows 머신에서 암호 기록, 사용 기간, 길이, 복잡성 및 해독 가능한 암호화를 사용한 암호를 저장하려면 '보안 설정 - 계정 정책' 범주에 지정된 그룹 정책 설정이 있어야 합니다. 이 정책을 사용하려면 게스트 구성 필수 구성 요소가 정책 할당 범위에 배포되어 있어야 합니다. 자세한 내용은 https://aka.ms/gcpol을 방문하세요. AuditIfNotExists, 사용 안 함 2.0.0

16.1.46 액세스 일시 중단

ID: NZISM 보안 벤치마크 AC-5 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
배포 - Windows 가상 머신에서 사용하도록 Dependency Agent 구성 가상 머신 이미지가 정의된 목록에 있고 에이전트가 설치되지 않은 경우 Windows 가상 머신용 종속성 에이전트를 배포합니다. DeployIfNotExists, 사용 안 함 2.0.0
더 이상 사용되지 않는 계정은 구독에서 제거해야 합니다. 더 이상 사용되지 않는 계정을 구독에서 제거해야 합니다. 사용되지 않는 계정은 로그인이 차단된 계정입니다. AuditIfNotExists, 사용 안 함 3.0.0
소유자 권한이 있는 사용되지 않는 계정은 구독에서 제거해야 합니다. 소유자 권한이 있는 사용되지 않는 계정은 구독에서 제거해야 합니다. 사용되지 않는 계정은 로그인이 차단된 계정입니다. AuditIfNotExists, 사용 안 함 3.0.0

16.2.5 시스템에서 분리된 정보 보호

ID: NZISM 보안 벤치마크 AC-7 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
가상 머신의 관리 포트는 Just-In-Time 네트워크 액세스 제어로 보호해야 함 가능한 네트워크 JIT(Just In Time) 액세스는 Azure Security Center에서 권장 사항으로 모니터링됩니다. AuditIfNotExists, 사용 안 함 3.0.0
API Apps에 대해 원격 디버깅을 해제해야 합니다. 원격 디버깅에 API 앱에서 열리는 인바운드 포트가 필요합니다. 원격 디버깅을 해제해야 합니다. AuditIfNotExists, 사용 안 함 1.0.0
함수 앱에 대해 원격 디버깅을 해제해야 합니다. 원격 디버깅에 함수 앱에서 열리는 인바운드 포트가 필요합니다. 원격 디버깅을 해제해야 합니다. AuditIfNotExists, 사용 안 함 1.0.0
웹 애플리케이션에 대해 원격 디버깅을 해제해야 합니다. 원격 디버깅에 웹 애플리케이션에서 열리는 인바운드 포트가 필요합니다. 원격 디버깅을 해제해야 합니다. AuditIfNotExists, 사용 안 함 1.0.0

16.3.5 권한 있는 계정 사용

ID: NZISM 보안 벤치마크 AC-9 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
관리자 그룹에 지정된 구성원이 없는 Windows 머신 감사 필수 구성 요소가 정책 할당 범위에 배포되어야 합니다. 자세한 내용은 https://aka.ms/gcpol을 방문하세요. 로컬 관리자 그룹에 정책 매개 변수에 나열된 구성원이 하나 이상 포함되어 있지 않은 경우 머신은 비규격입니다. auditIfNotExists 1.0.0
관리자 그룹에 추가 계정이 있는 Windows 머신 감사 필수 구성 요소가 정책 할당 범위에 배포되어야 합니다. 자세한 내용은 https://aka.ms/gcpol을 방문하세요. 로컬 관리자 그룹에 정책 매개 변수에 나열되지 않은 구성원이 포함된 경우 머신은 비규격입니다. auditIfNotExists 1.0.0
관리자 그룹에 지정된 구성원이 있는 Windows 머신 감사 필수 구성 요소가 정책 할당 범위에 배포되어야 합니다. 자세한 내용은 https://aka.ms/gcpol을 방문하세요. 로컬 관리자 그룹에 정책 매개 변수에 나열된 구성원이 하나 이상 포함된 경우 머신은 비규격입니다. auditIfNotExists 1.0.0
배포 - Windows 가상 머신에서 사용하도록 Dependency Agent 구성 가상 머신 이미지가 정의된 목록에 있고 에이전트가 설치되지 않은 경우 Windows 가상 머신용 종속성 에이전트를 배포합니다. DeployIfNotExists, 사용 안 함 2.0.0
Windows 게스트 구성 확장을 배포하여 Windows VM에서 게스트 구성 할당을 사용하도록 설정 이 정책은 게스트 구성에서 지원되는 Azure에서 호스트되는 Windows 가상 머신에 Windows 게스트 구성 확장을 배포합니다. Windows 구성 확장은 모든 Windows 게스트 구성 할당에 대한 필수 구성 요소이며 Windows 게스트 구성 정책 정의를 사용하기 전에 머신에 배포해야 합니다. 게스트 구성에 대한 자세한 내용은 https://aka.ms/gcpol을 방문하세요. deployIfNotExists 1.0.0

16.6.6 시스템 관리 로그 유지 관리

ID: NZISM 보안 벤치마크 AC-13 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
Azure 구독에는 활동 로그에 대한 로그 프로필이 있어야 합니다. 이 정책은 로그 프로필이 활동 로그를 내보낼 수 있는지 확인합니다. 로그를 스토리지 계정 또는 이벤트 허브로 내보내기 위해 생성된 로그 프로필이 없는지 감사합니다. AuditIfNotExists, 사용 안 함 1.0.0

16.6.7 시스템 관리 로그 내용

ID: NZISM 보안 벤치마크 AC-14 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
진단 설정 감사 선택한 리소스 종류에 대한 감사 진단 설정 AuditIfNotExists 1.0.0
VM에 대한 Log Analytics 작업 영역 감사 - 불일치 보고 정책/이니셔티브 할당에 지정된 Log Analytics 작업 영역에 로깅하고 있지 않은 경우 VM을 비준수로 보고합니다. 감사 1.0.1
나열된 가상 머신 이미지의 Log Analytics 에이전트를 사용하도록 설정해야 함 가상 머신 이미지가 정의된 목록에 없고 에이전트가 설치되어 있지 않은 경우 가상 머신을 비규격으로 보고합니다. AuditIfNotExists, 사용 안 함 2.0.0-preview
가상 머신 확장 집합에서 나열된 가상 머신 이미지의 Log Analytics 에이전트를 사용하도록 설정해야 함 가상 머신 이미지가 정의된 목록에 없고 에이전트가 설치되어 있지 않은 경우 가상 머신 확장 집합을 비규격으로 보고합니다. AuditIfNotExists, 사용 안 함 2.0.0

16.6.13 이벤트 로그 보관

ID: NZISM 보안 벤치마크 AC-15 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
활동 로그는 1년 이상 보존되어야 합니다. 이 정책은 보존이 365일 또는 계속(보존 기간이 0으로 설정)으로 설정되지 않은 경우 활동 로그를 감사합니다. AuditIfNotExists, 사용 안 함 1.0.0

16.7.34 시스템 아키텍처 및 보안 제어

ID: NZISM 보안 벤치마크 AC-17 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
구독에서 쓰기 권한이 있는 계정에 MFA를 사용하도록 설정해야 합니다. 계정 또는 리소스 위반을 방지하려면 쓰기 권한이 있는 모든 구독 계정에서 MFA(Multi-Factor Authentication)를 사용하도록 설정해야 합니다. AuditIfNotExists, 사용 안 함 3.0.0
구독에서 소유자 권한이 있는 계정에 MFA를 사용하도록 설정해야 합니다. 계정 또는 리소스 위반을 방지하려면 소유자 권한이 있는 모든 구독 계정에 대해 MFA(Multi-Factor Authentication)를 사용하도록 설정해야 합니다. AuditIfNotExists, 사용 안 함 3.0.0
구독에서 읽기 권한이 있는 계정에 MFA를 사용하도록 설정해야 합니다. 계정 또는 리소스 위반을 방지하려면 읽기 권한이 있는 모든 구독 계정에서 MFA(Multi-Factor Authentication)를 사용하도록 설정해야 합니다. AuditIfNotExists, 사용 안 함 3.0.0

암호화

17.1.46 스토리지 및 물리적 전송 요구 사항 감소

ID: NZISM 보안 벤치마크 CR-2 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
가상 머신에서 디스크 암호화를 적용해야 합니다. 디스크 암호화를 사용하도록 설정되지 않은 가상 머신은 추천 사항으로 Azure Security Center에서 모니터링됩니다. AuditIfNotExists, 사용 안 함 2.0.0

17.4.16 TLS 사용

ID: NZISM 보안 벤치마크 CR-6 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
Windows 게스트 구성 확장을 배포하여 Windows VM에서 게스트 구성 할당을 사용하도록 설정 이 정책은 게스트 구성에서 지원되는 Azure에서 호스트되는 Windows 가상 머신에 Windows 게스트 구성 확장을 배포합니다. Windows 구성 확장은 모든 Windows 게스트 구성 할당에 대한 필수 구성 요소이며 Windows 게스트 구성 정책 정의를 사용하기 전에 머신에 배포해야 합니다. 게스트 구성에 대한 자세한 내용은 https://aka.ms/gcpol을 방문하세요. deployIfNotExists 1.0.0
API 앱에서 최신 TLS 버전을 사용해야 합니다. 최신 TLS 버전으로 업그레이드 AuditIfNotExists, 사용 안 함 1.0.0
함수 앱에서 최신 TLS 버전을 사용해야 합니다. 최신 TLS 버전으로 업그레이드 AuditIfNotExists, 사용 안 함 1.0.0
웹앱에서 최신 TLS 버전을 사용해야 합니다. 최신 TLS 버전으로 업그레이드 AuditIfNotExists, 사용 안 함 1.0.0
Windows 웹 서버는 보안 통신 프로토콜을 사용하도록 구성해야 함 인터넷을 통해 전달되는 정보의 개인 정보를 보호하려면 웹 서버에서 최신 버전의 업계 표준 암호화 프로토콜인 TLS(전송 계층 보안)를 사용해야 합니다. TLS는 보안 인증서를 사용하여 컴퓨터 간의 연결을 암호화하여 네트워크를 통한 통신을 보호합니다. AuditIfNotExists, 사용 안 함 2.1.0

네트워크 보안

18.1.13 네트워크 액세스 제한

ID: NZISM 보안 벤치마크 NS-2 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
인터넷 연결 가상 머신에 적응형 네트워크 강화 권장 사항을 적용해야 함 Azure Security Center는 인터넷 연결 가상 머신의 트래픽 패턴을 분석하고 잠재적 공격 노출 영역을 줄이는 네트워크 보안 그룹 규칙 권장 사항을 제공합니다. AuditIfNotExists, 사용 안 함 3.0.0
네트워크 보안 그룹을 사용하여 인터넷 연결 가상 머신을 보호해야 함 NSG(네트워크 보안 그룹)를 통해 가상 머신에 대한 액세스를 제한하여 잠재적인 위협으로부터 가상 머신을 보호합니다. https://aka.ms/nsg-doc에서 NSG를 통한 트래픽 제어에 대해 자세히 알아보기 AuditIfNotExists, 사용 안 함 3.0.0
스토리지 계정 공용 액세스가 허용되지 않아야 함 Azure Storage의 컨테이너 및 BLOB에 대한 익명 공용 읽기 액세스는 데이터를 공유하는 편리한 방법이지만 보안 위험이 있을 수도 있습니다. 원치 않는 익명 액세스로 인해 발생하는 데이터 위반을 방지하기 위해 Microsoft는 시나리오에 필요한 경우가 아니면 스토리지 계정에 대한 공개 액세스를 방지하는 것이 좋습니다 감사, 거부, 사용 안 함 2.0.1-preview
스토리지 계정은 네트워크 액세스를 제한해야 함 스토리지 계정에 대한 네트워크 액세스가 제한되어야 합니다. 허용되는 네트워크의 애플리케이션만 스토리지 계정에 액세스할 수 있도록 네트워크 규칙을 구성합니다. 특정 인터넷 또는 온-프레미스 클라이언트의 연결을 허용하기 위해 특정 Azure 가상 네트워크 또는 공용 인터넷 IP 주소 범위의 트래픽에 대한 액세스 권한을 부여할 수 있습니다. 감사, 거부, 사용 안 함 1.1.1

18.3.19 DoS(서비스 거부 공격) 대응 계획의 내용

ID: NZISM 보안 벤치마크 NS-5 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
Azure DDoS Protection 표준을 사용하도록 설정해야 함 공용 IP를 사용하는 애플리케이션 게이트웨이의 일부인 서브넷이 포함된 모든 가상 네트워크에 DDoS 보호 표준을 사용하도록 설정해야 합니다. AuditIfNotExists, 사용 안 함 3.0.0

18.4.10 악성 코드 대응책

ID: NZISM 보안 벤치마크 NS-7 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
모든 인터넷 트래픽은 배포된 Azure Firewall을 통해 라우팅되어야 함 Azure Security Center에서 일부 서브넷이 차세대 방화벽으로 보호되지 않는 것으로 확인되었습니다. Azure Firewall 또는 지원되는 차세대 방화벽으로 액세스를 제한하여 잠재적인 위협으로부터 서브넷을 보호합니다. AuditIfNotExists, 사용 안 함 3.0.0-preview
Application Gateway에 WAF(웹 애플리케이션 방화벽)를 사용하도록 설정해야 함 들어오는 트래픽의 추가 검사를 위해 공용 웹 애플리케이션 앞에 Azure WAF(웹 애플리케이션 방화벽)를 배포합니다. WAF(웹 애플리케이션 방화벽)는 SQL 삽입, 교차 사이트 스크립팅, 로컬 및 원격 파일 실행과 같은 일반적인 악용과 취약성으로부터 웹 애플리케이션을 중앙 집중식으로 보호합니다. 사용자 지정 규칙을 통해 국가, IP 주소 범위 및 기타 http 매개 변수별로 웹 애플리케이션에 대한 액세스를 제한할 수도 있습니다. 감사, 거부, 사용 안 함 1.0.1
WAF(Web Application Firewall)를 Azure Front Door Service 서비스에 사용하도록 설정해야 함 들어오는 트래픽의 추가 검사를 위해 공용 웹 애플리케이션 앞에 Azure WAF(웹 애플리케이션 방화벽)를 배포합니다. WAF(웹 애플리케이션 방화벽)는 SQL 삽입, 교차 사이트 스크립팅, 로컬 및 원격 파일 실행과 같은 일반적인 악용과 취약성으로부터 웹 애플리케이션을 중앙 집중식으로 보호합니다. 사용자 지정 규칙을 통해 국가, IP 주소 범위 및 기타 http 매개 변수별로 웹 애플리케이션에 대한 액세스를 제한할 수도 있습니다. 감사, 거부, 사용 안 함 1.0.1
WAF(웹 애플리케이션 방화벽)는 Application Gateway에 지정된 모드를 사용해야 함 Application Gateway에 대한 모든 웹 애플리케이션 방화벽 정책에서 '검색' 또는 '방지' 모드를 사용해야 합니다. 감사, 거부, 사용 안 함 1.0.0
WAF(웹 애플리케이션 방화벽)는 Azure Front Door Service에 지정된 모드를 사용해야 함 Azure Front Door Service에 대한 모든 웹 애플리케이션 방화벽 정책에서 '검색' 또는 '방지' 모드를 사용해야 합니다. 감사, 거부, 사용 안 함 1.0.0

데이터 관리

20.3.10 바이러스 백신 검사

ID: NZISM 보안 벤치마크 DM-4 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
배포 - Windows 가상 머신 확장 집합에서 사용하도록 Dependency Agent 구성 가상 머신 이미지가 정의된 목록에 있고 에이전트가 설치되지 않은 경우 Windows 가상 머신 확장 집합용 종속성 에이전트를 배포합니다. 확장 집합 upgradePolicy를 수동으로 설정한 경우 해당 확장 기능을 업데이트하여 집합의 모든 가상 머신에 적용해야 합니다. DeployIfNotExists, 사용 안 함 2.0.0
가상 머신 확장 집합에 Endpoint Protection 솔루션을 설치해야 합니다. 가상 머신 확장 집합에서 엔드포인트 보호 솔루션의 존재 및 상태를 감사하여 위협 및 취약성으로부터 보호합니다. AuditIfNotExists, 사용 안 함 3.0.0
Azure Security Center에서 누락된 Endpoint Protection 모니터링 Endpoint Protection 에이전트가 설치되어 있지 않은 서버는 Azure Security Center에서 권장 사항으로 모니터링됩니다. AuditIfNotExists, 사용 안 함 3.0.0
Windows Defender Exploit Guard를 머신에서 사용하도록 설정해야 함 Windows Defender Exploit Guard는 Azure Policy 게스트 구성 에이전트를 사용합니다. Exploit Guard에는 다양한 공격 벡터에 대해 디바이스를 잠그고 맬웨어 공격에서 일반적으로 사용되는 동작을 차단하면서 기업에서 보안 위험과 생산성 요구 사항 사이의 균형을 맞출 수 있도록 설계된 네 가지 구성 요소가 있습니다(Windows에만 해당). AuditIfNotExists, 사용 안 함 1.1.1

20.4.4 데이터베이스 파일

ID: NZISM 보안 벤치마크 DM-6 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
SQL Managed Instance에서 Advanced Data Security를 사용하도록 설정해야 함 Advanced Data Security를 사용하지 않고 각 SQL Managed Instance를 감사합니다. AuditIfNotExists, 사용 안 함 1.0.1
SQL 서버에서 Advanced Data Security를 사용하도록 설정해야 합니다. Advanced Data Security 없이 SQL 서버 감사 AuditIfNotExists, 사용 안 함 2.0.0
SQL 서버에 대해 Azure Active Directory 관리자를 프로비저닝해야 합니다. SQL 서버에 대한 Azure Active Directory 관리자 프로비전을 감사하여 Azure AD 인증을 활성화합니다. Azure AD 인증을 사용하면 데이터베이스 사용자 및 기타 Microsoft 서비스의 권한을 간편하게 관리하고 ID를 한 곳에서 집중적으로 관리할 수 있습니다. AuditIfNotExists, 사용 안 함 1.0.0
진단 설정 감사 선택한 리소스 종류에 대한 감사 진단 설정 AuditIfNotExists 1.0.0
가상 머신에서 디스크 암호화를 적용해야 합니다. 디스크 암호화를 사용하도록 설정되지 않은 가상 머신은 추천 사항으로 Azure Security Center에서 모니터링됩니다. AuditIfNotExists, 사용 안 함 2.0.0
Azure Cache for Redis에 보안 연결만 사용하도록 설정해야 함 SSL을 통해 설정된 Azure Cache for Redis 연결만 감사 보안 연결을 사용하여 서버와 서비스 간 인증을 보장하고 전송 중인 데이터를 메시지 가로채기(man-in-the-middle), 도청 및 세션 하이재킹과 같은 네트워크 계층 공격으로부터 보호합니다. 감사, 거부, 사용 안 함 1.0.0
스토리지 계정에 보안 전송을 사용하도록 설정해야 함 스토리지 계정의 보안 전송 요구 사항을 감사합니다. 보안 전송은 사용자의 스토리지 계정이 보안 연결(HTTPS)에서 오는 요청만 수락하도록 강제 적용하는 옵션입니다. HTTPS를 사용하여 서버와 서비스 간 인증을 보장하고 전송 중인 데이터를 메시지 가로채기(man-in-the-middle), 도청 및 세션 하이재킹과 같은 네트워크 계층 공격으로부터 보호합니다. 감사, 거부, 사용 안 함 2.0.0
SQL 데이터베이스에 투명한 데이터 암호화를 사용하도록 설정해야 합니다. 저장 데이터를 보호하고 규정 준수 요구 사항을 충족하려면 투명한 데이터 암호화를 사용하도록 설정해야 합니다. AuditIfNotExists, 사용 안 함 1.0.0
Windows 웹 서버는 보안 통신 프로토콜을 사용하도록 구성해야 함 인터넷을 통해 전달되는 정보의 개인 정보를 보호하려면 웹 서버에서 최신 버전의 업계 표준 암호화 프로토콜인 TLS(전송 계층 보안)를 사용해야 합니다. TLS는 보안 인증서를 사용하여 컴퓨터 간의 연결을 암호화하여 네트워크를 통한 통신을 보호합니다. AuditIfNotExists, 사용 안 함 2.1.0

엔터프라이즈 시스템 보안

22.1.26 백업, 복구 보관 및 데이터 다시 작성

ID: NZISM 보안 벤치마크 ESS-3 소유권: Customer

Name
(Azure Portal)
Description 효과 버전
(GitHub)
재해 복구가 구성되어 있지 않은 가상 머신 감사 재해 복구가 구성되지 않은 가상 머신을 감사합니다. 재해 복구에 대한 자세한 내용은 https://aka.ms/asr-doc를 참조하세요. auditIfNotExists 1.0.0

참고

특정 Azure Policy 정의의 가용성은 Azure Government 및 기타 국가 클라우드에 따라 다를 수 있습니다.

다음 단계

Azure Policy에 대한 추가 문서: