Beheerpoorten beveiligen met just-in-time-toegang

JIT inschakelen op uw VM's vanuit Microsoft Defender for Cloud

Vanuit Defender for Cloud kunt u de JIT-VM-toegang inschakelen en configureren.

1. Open het dashboard Workloadbeveiligingen en selecteer Just-In-Time-VM-toegang in het gebied voor geavanceerde beveiliging.

   De pagina Just-In-Time-VM-toegang wordt geopend met uw VM's gegroepeerd op de volgende tabbladen:

   • Geconfigureerd: VM's die al zijn geconfigureerd om Just-In-Time-VM-toegang te ondersteunen. Op het geconfigureerde tabblad voor elke VM ziet u het volgende:
     • het aantal goedgekeurde JIT-aanvragen in de afgelopen zeven dagen
     • de datum en tijd van de laatste toegang
     • de geconfigureerde verbindingsgegevens
     • de laatste gebruiker
   • Niet geconfigureerd: VM's zonder JIT ingeschakeld, maar die JIT wel kunnen ondersteunen. U wordt aangeraden JIT in teschakelen voor deze VM's.
   • Niet ondersteund: VM's waarvoor JIT niet is ingeschakeld en die de functie niet ondersteunen. Uw VM staat mogelijk op dit tabblad om de volgende redenen:
     • Ontbrekende netwerkbeveiligingsgroep (NSG) of Azure Firewall: JIT vereist dat een NSG of een firewallconfiguratie (of beide) wordt geconfigureerd
     • Klassieke VM: JIT ondersteunt VM's die zijn geïmplementeerd via Azure Resource Manager, niet 'klassieke implementatie'. Meer informatie over klassieke versus Azure Resource Manager implementatiemodellen.
     • Overig: uw VM staat mogelijk op dit tabblad als de JIT-oplossing is uitgeschakeld in het beveiligingsbeleid van het abonnement of de resourcegroep.

2. Markeer op het tabblad Niet geconfigureerd de VM's die u wilt beveiligen met JIT en selecteer JIT inschakelen op VM's.

   De jit-VM-toegangspagina wordt geopend met de poorten die Defender for Cloud aanbeveelt te beveiligen:

   • 22 - SSH
   • 3389 - RDP
   • 5985 - WinRM
   • 5986 - WinRM

   Selecteer Opslaan om de standaardinstellingen te accepteren.

3. De JIT-opties aanpassen:

   • Voeg aangepaste poorten toe met de knop Toevoegen.
   • Wijzig een van de standaardpoorten door deze te selecteren in de lijst.

   Voor elke poort (aangepast en standaard) biedt het deelvenster Poortconfiguratie toevoegen de volgende opties:

   • Protocol: het protocol dat is toegestaan op deze poort wanneer een aanvraag wordt goedgekeurd
   • Toegestane bron-IP-adressen: de IP-adresbereiken die zijn toegestaan op deze poort wanneer een aanvraag wordt goedgekeurd
   • Maximale aanvraagtijd: het maximale tijdvenster waarin een specifieke poort kan worden geopend

   1. Stel de poortbeveiliging in op uw behoeften.

   2. Selecteer OK.

4. Selecteer Opslaan.

De JIT-configuratie op een VM met JIT-functie bewerken met Defender for Cloud

U kunt de Just-In-Time-configuratie van een VM wijzigen door een nieuwe poort toe te voegen en te configureren om deze VM te beveiligen of door een andere instelling te wijzigen die betrekking heeft op een al beveiligde poort.

De bestaande JIT-regels voor een VM bewerken:

1. Open het dashboard Workloadbeveiligingen en selecteer Just-In-Time-VM-toegang in het gebied voor geavanceerde beveiliging.

2. Klik op het tabblad Geconfigureerd met de rechtermuisknop op de VM waaraan u een poort wilt toevoegen en selecteer Bewerken.

   

3. Onder JIT VM-toegangsconfiguratie kunt u de bestaande instellingen van een al beveiligde poort bewerken of een nieuwe aangepaste poort toevoegen.

4. Wanneer u klaar bent met het bewerken van de poorten, selecteert u Opslaan.

JIT inschakelen op uw VM's vanuit virtuele Azure-machines

U kunt JIT inschakelen op een virtuele machine vanaf de pagina's van virtuele Azure-machines van de Azure Portal.

1. Zoek en Azure Portalin de Azure Portal virtuele machines.

2. Selecteer de virtuele machine die u wilt beveiligen met JIT.

3. Selecteer Configuratie in het menu.

4. Selecteer onder Just-In-Time-toegang de optie Just-in-time inschakelen.

   Hiermee schakelt u Just-In-Time-toegang voor de VM in met behulp van de volgende standaardinstellingen:

   • Windows machines:
     • RDP-poort 3389
     • Drie uur maximaal toegestane toegang
     • Toegestane bron-IP-adressen zijn ingesteld op Alle
   • Linux-machines:
     • SSH-poort 22
     • Drie uur maximaal toegestane toegang
     • Toegestane bron-IP-adressen zijn ingesteld op Alle

5. Als u een van deze waarden wilt bewerken of meer poorten wilt toevoegen aan uw JIT-configuratie, gebruikt u de Just-In-Time-pagina van Microsoft Defender for Cloud:

   1. Selecteer Just-In-Time-VM-toegang in het menu van Defender for Cloud.

   2. Klik op het tabblad Geconfigureerd met de rechtermuisknop op de VM waaraan u een poort wilt toevoegen en selecteer Bewerken.

      

   3. Onder JIT VM-toegangsconfiguratie kunt u de bestaande instellingen van een al beveiligde poort bewerken of een nieuwe aangepaste poort toevoegen.

   4. Wanneer u klaar bent met het bewerken van de poorten, selecteert u Opslaan.

JIT inschakelen op uw VM's met behulp van PowerShell

Als u Just-In-Time-VM-toegang wilt inschakelen vanuit PowerShell, gebruikt u de officiële Microsoft Defender for Cloud PowerShell-cmdlet Set-AzJitNetworkAccessPolicy .

Voorbeeld: Just-In-Time-VM-toegang inschakelen op een specifieke VM met de volgende regels:

• Sluit poorten 22 en 3389
• Stel een maximale tijdsvenster van 3 uur in voor elke periode, zodat ze kunnen worden geopend per goedgekeurde aanvraag
• De gebruiker die toegang aanvraagt toestaan om de bron-IP-adressen te bepalen
• De gebruiker die toegang aanvraagt, toestaan om een geslaagde sessie tot stand te stellen na een goedgekeurde Just-In-Time-toegangsaanvraag

Met de volgende PowerShell-opdrachten maakt u deze JIT-configuratie:

1. Wijs een variabele toe die de Just-In-Time-VM-toegangsregels voor een VM bevat:

   $JitPolicy = (@{
       id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
       ports=(@{
            number=22;
            protocol="*";
            allowedSourceAddressPrefix=@("*");
            maxRequestAccessDuration="PT3H"},
            @{
            number=3389;
            protocol="*";
            allowedSourceAddressPrefix=@("*");
            maxRequestAccessDuration="PT3H"})})
   

2. Voeg de Just-In-Time-toegangsregels voor de VM in een matrix in:

   $JitPolicyArr=@($JitPolicy)
   

3. Configureer de Just-In-Time-VM-toegangsregels op de geselecteerde VM:

   Set-AzJitNetworkAccessPolicy -Kind "Basic" -Location "LOCATION" -Name "default" -ResourceGroupName "RESOURCEGROUP" -VirtualMachine $JitPolicyArr
   

   Gebruik de parameter -Name om een VM op te geven. Als u bijvoorbeeld de JIT-configuratie voor twee verschillende VM's wilt vaststellen, VM1 en VM2, gebruikt u: Set-AzJitNetworkAccessPolicy -Name VM1 en Set-AzJitNetworkAccessPolicy -Name VM2 .

JIT inschakelen op uw VM's met behulp van de REST API

De functie Just-In-Time-VM-toegang kan worden gebruikt via de Microsoft Defender voor Cloud-API. Gebruik deze API om informatie over geconfigureerde VM's op te halen, nieuwe toe te voegen, toegang tot een VM aan te vragen en meer.

Meer informatie op JIT-netwerktoegangsbeleid.

Toegang aanvragen tot een VM met JIT-ondersteuning van Microsoft Defender for Cloud

Wanneer een VM een JIT heeft ingeschakeld, moet u toegang aanvragen om er verbinding mee te maken. U kunt toegang aanvragen op een van de ondersteunde manieren, ongeacht hoe u JIT hebt ingeschakeld.

1. Selecteer op de pagina Just-In-Time-VM-toegang het tabblad Geconfigureerd.

2. Markeer de VM's die u wilt openen.

   • Het pictogram in de kolom Verbindingsdetails geeft aan of JIT is ingeschakeld voor de netwerkbeveiligingsgroep of firewall. Als beide zijn ingeschakeld, wordt alleen het firewallpictogram weergegeven.

   • De kolom Verbindingsdetails bevat de informatie die nodig is om verbinding te maken met de VM en de geopende poorten.

3. Selecteer Toegang aanvragen. Het venster Toegang aanvragen wordt geopend.

4. Configureer onder Toegang aanvragen voor elke VM de poorten die u wilt openen en de bron-IP-adressen waarop de poort wordt geopend en het tijdvenster waarvoor de poort wordt geopend. Het is alleen mogelijk om toegang aan te vragen tot de geconfigureerde poorten. Elke poort heeft een maximaal toegestane tijd die is afgeleid van de JIT-configuratie die u hebt gemaakt.

5. Selecteer Poorten openen.

Toegang aanvragen tot een VM met JIT-ondersteuning vanaf de verbindingspagina van de virtuele Azure-machine

Wanneer een VM een JIT heeft ingeschakeld, moet u toegang aanvragen om er verbinding mee te maken. U kunt toegang aanvragen op een van de ondersteunde manieren, ongeacht hoe u JIT hebt ingeschakeld.

Toegang aanvragen bij virtuele Azure-machines:

1. Open in Azure Portal pagina's van virtuele machines.

2. Selecteer de VM waarmee u verbinding wilt maken en open de pagina Verbinding maken maken.

   Azure controleert of JIT is ingeschakeld op die VM.

   • Als JIT niet is ingeschakeld voor de VM, wordt u gevraagd deze in teschakelen.

   • Als JIT is ingeschakeld, selecteert u Toegang aanvragen om een toegangsaanvraag door te geven met het aanvragende IP-adres, het tijdsbereik en de poorten die voor die VM zijn geconfigureerd.

Toegang aanvragen tot een VM met JIT-functionaliteit

In het volgende voorbeeld ziet u een Just-In-Time-VM-toegangsaanvraag voor een specifieke VM waarin poort 22 wordt aangevraagd om te worden geopend voor een specifiek IP-adres en voor een bepaalde tijd:

Voer het volgende uit in PowerShell:

1. Configureer de eigenschappen van de VM-aanvraagtoegang:

   $JitPolicyVm1 = (@{
       id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
       ports=(@{
          number=22;
          endTimeUtc="2020-07-15T17:00:00.3658798Z";
          allowedSourceAddressPrefix=@("IPV4ADDRESS")})})
   

2. Voeg de parameters voor de VM-toegangsaanvraag in een matrix in:

   $JitPolicyArr=@($JitPolicyVm1)
   

3. De toegangsaanvraag verzenden (gebruik de resource-id uit stap 1)

   Start-AzJitNetworkAccessPolicy -ResourceId "/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Security/locations/LOCATION/jitNetworkAccessPolicies/default" -VirtualMachine $JitPolicyArr
   

Meer informatie in de PowerShell-cmdlet-documentatie.

Toegang aanvragen tot virtuele JIT-VM's met behulp van de REST API

De functie Just-In-Time-VM-toegang kan worden gebruikt via de Microsoft Defender voor Cloud-API. Gebruik deze API om informatie over geconfigureerde VM's op te halen, nieuwe toe te voegen, toegang tot een VM aan te vragen en meer.

Meer informatie op JIT-netwerktoegangsbeleid.