Zarządzanie wartościami domyślnymi zabezpieczeń dla usługi Azure Stack HCI w wersji 23H2

Artykuł
04/30/2024

Dotyczy: Azure Stack HCI, wersja 23H2

W tym artykule opisano sposób zarządzania domyślnymi ustawieniami zabezpieczeń klastra usługi Azure Stack HCI. Możesz również zmodyfikować ustawienia kontroli dryfu i chronionych zabezpieczeń zdefiniowanych podczas wdrażania, aby urządzenie było uruchamiane w znanym dobrym stanie.

Wymagania wstępne

Przed rozpoczęciem upewnij się, że masz dostęp do systemu Azure Stack HCI w wersji 23H2, który jest wdrażany, zarejestrowany i połączony z platformą Azure.

Wyświetlanie ustawień domyślnych zabezpieczeń w Azure Portal

Aby wyświetlić ustawienia domyślne zabezpieczeń w Azure Portal, upewnij się, że zastosowano inicjatywę MCSB. Aby uzyskać więcej informacji, zobacz Apply Microsoft Cloud Security Benchmark initiative (Stosowanie inicjatywy testów porównawczych zabezpieczeń w chmurze firmy Microsoft).

Ustawienia domyślne zabezpieczeń umożliwiają zarządzanie zabezpieczeniami klastra, kontrolą dryfu i zabezpieczeniami podstawowych ustawień serwera w klastrze.

Wyświetl stan podpisywania protokołu SMB na> karcieOchrona danych Ochrona sieci. Podpisywanie protokołu SMB umożliwia cyfrowe podpisywanie ruchu SMB między systemem Azure Stack HCI i innymi systemami.

Wyświetlanie zgodności punktu odniesienia zabezpieczeń w Azure Portal

Po zarejestrowaniu systemu Azure Stack HCI przy użyciu Microsoft Defender for Cloud lub przypisanych wbudowanych zasad zostanie wygenerowany raport dla serwerów. W tym momencie maszyny z systemem Windows powinny spełniać wymagania punktu odniesienia zabezpieczeń obliczeń platformy Azure. Aby uzyskać pełną listę reguł, z których jest porównywany serwer usługi Azure Stack HCI, zobacz Punkt odniesienia zabezpieczeń systemu Windows.

W przypadku serwera Azure Stack HCI, gdy zostaną spełnione wszystkie wymagania sprzętowe dla zabezpieczonego rdzenia, wynik zgodności wynosi 281 na 288. Ten wynik wskazuje, że 281 na 288 reguł jest zgodnych.

W poniższej tabeli wyjaśniono reguły, które nie są zgodne, oraz uzasadnienie bieżącej luki:

Nazwa reguły	Oczekiwane	Actual	Logika	Komentarze
Logowanie interakcyjne: tekst komunikatu dla użytkowników próbujących się zalogować	Oczekiwaniami:	Rzeczywiste:	Operator: NOTEQUALS	Oczekujemy, że ta wartość zostanie zdefiniowana bez kontrolki dryfu.
Logowanie interakcyjne: tytuł komunikatu dla użytkowników próbujących się zalogować	Oczekiwaniami:	Rzeczywiste:	Operator: NOTEQUALS	Oczekujemy, że ta wartość zostanie zdefiniowana bez kontrolki dryfu.
Minimalna długość hasła	Oczekiwano: 14	Wartość rzeczywista: 0	Operator: GREATEROREQUAL	Oczekujemy, że ta wartość zostanie zdefiniowana bez kontroli dryfu, która jest zgodna z zasadami organizacji.
Zapobieganie pobieraniu metadanych urządzenia z Internetu	Oczekiwano: 1	Wartość rzeczywista: (null)	Operator: RÓWNA	Ta kontrolka nie ma zastosowania do usługi Azure Stack HCI.
Uniemożliwianie użytkownikom i aplikacjom uzyskiwania dostępu do niebezpiecznych witryn internetowych	Oczekiwano: 1	Wartość rzeczywista: (null)	Operator: RÓWNA	Ta kontrolka jest częścią ochrony Windows Defender, która nie jest domyślnie włączona. Możesz ocenić, czy chcesz włączyć.
Utwardzone ścieżki UNC — NETLOGON	Oczekiwaniami: RequireMutualAuthentication=1 RequireIntegrity=1	Rzeczywiste: RequireMutualAuthentication=1 RequireIntegrity=1 RequirePrivacy=1	Operator: RÓWNA	Rozwiązanie Azure Stack HCI jest bardziej restrykcyjne. Tę regułę można bezpiecznie zignorować.
Ścieżki UNC ze wzmocnionym zabezpieczeniami — SYSVOL	Oczekiwaniami: RequireMutualAuthentication=1 RequireIntegrity=1	Rzeczywiste: RequireMutualAuthentication=1 RequireIntegrity=1 RequirePrivacy=1	Operator: RÓWNA	Rozwiązanie Azure Stack HCI jest bardziej restrykcyjne. Tę regułę można bezpiecznie zignorować.

Zarządzanie wartościami domyślnymi zabezpieczeń przy użyciu programu PowerShell

Dzięki włączonej ochronie dryfu można modyfikować tylko niechronione ustawienia zabezpieczeń. Aby zmodyfikować chronione ustawienia zabezpieczeń, które tworzą punkt odniesienia, należy najpierw wyłączyć ochronę dryfu. Aby wyświetlić i pobrać pełną listę ustawień zabezpieczeń, zobacz SecurityBaseline.

Modyfikowanie wartości domyślnych zabezpieczeń

Rozpocznij od początkowego punktu odniesienia zabezpieczeń, a następnie zmodyfikuj kontrolę dryfu i chronione ustawienia zabezpieczeń zdefiniowane podczas wdrażania.

Włączanie kontrolki dryfu

Aby włączyć kontrolę dryfu, wykonaj następujące czynności:

Połącz się z węzłem usługi Azure Stack HCI.
Uruchom następujące polecenie cmdlet:
```
Enable-AzsSecurity -FeatureName DriftControl -Scope <Local | Cluster>
```
- Lokalne — wpływa tylko na węzeł lokalny.
- Klaster — wpływa na wszystkie węzły w klastrze przy użyciu koordynatora.

Wyłączanie kontrolki dryfu

Aby wyłączyć kontrolkę dryfu, wykonaj następujące czynności:

Połącz się z węzłem usługi Azure Stack HCI.
Uruchom następujące polecenie cmdlet:
```
Disable-AzsSecurity -FeatureName DriftControl -Scope <Local | Cluster>
```
- Lokalne — wpływa tylko na węzeł lokalny.
- Klaster — wpływa na wszystkie węzły w klastrze przy użyciu koordynatora.

Konfigurowanie ustawień zabezpieczeń podczas wdrażania

W ramach wdrożenia można zmodyfikować kontrolę dryfu i inne ustawienia zabezpieczeń, które stanowią punkt odniesienia zabezpieczeń w klastrze.

W poniższej tabeli opisano ustawienia zabezpieczeń, które można skonfigurować w klastrze usługi Azure Stack HCI podczas wdrażania.

Obszar funkcji	Cecha	Opis	Obsługuje kontrolę dryfu?
Nadzór	Punkt odniesienia zabezpieczeń	Zachowuje wartości domyślne zabezpieczeń na każdym serwerze. Pomaga chronić przed zmianami.	Tak
Ochrona poświadczeń	Windows Defender Credential Guard	Używa zabezpieczeń opartych na wirtualizacji, aby odizolować wpisy tajne od ataków kradzieży poświadczeń.	Tak
Sterowanie aplikacjami	Windows Defender Kontrolka aplikacji	Określa, które sterowniki i aplikacje mogą być uruchamiane bezpośrednio na każdym serwerze.	Nie
Szyfrowanie danych magazynowanych	Funkcja BitLocker dla woluminu rozruchowego systemu operacyjnego	Szyfruje wolumin uruchamiania systemu operacyjnego na każdym serwerze.	Nie
Szyfrowanie danych magazynowanych	Funkcja BitLocker dla woluminów danych	Szyfruje udostępnione woluminy klastra (CSV) w tym klastrze	Nie
Ochrona danych podczas przesyłania	Podpisywanie dla zewnętrznego ruchu SMB	Podpisuje ruch SMB między tym systemem a innymi osobami, aby zapobiec atakom przekazywania.	Tak
Ochrona danych podczas przesyłania	Szyfrowanie SMB dla ruchu w klastrze	Szyfruje ruch między serwerami w klastrze (w sieci magazynu).	Nie

Modyfikowanie ustawień zabezpieczeń po wdrożeniu

Po zakończeniu wdrażania można użyć programu PowerShell do modyfikowania ustawień zabezpieczeń przy zachowaniu kontroli dryfu. Niektóre funkcje wymagają ponownego uruchomienia, aby zaczęły obowiązywać.

Właściwości polecenia cmdlet programu PowerShell

Następujące właściwości polecenia cmdlet dotyczą modułu AzureStackOSConfigAgent . Moduł jest instalowany podczas wdrażania.

Get-AzsSecurity -Scope: <Local | PerNode | AllNodes | Klastra>
- Local — udostępnia wartość logiczną (prawda/fałsz) w węźle lokalnym. Można uruchomić z poziomu regularnej zdalnej sesji programu PowerShell.
- PerNode — udostępnia wartość logiczną (prawda/fałsz) na węzeł.
- Raport — wymaga protokołu CredSSP lub serwera usługi Azure Stack HCI przy użyciu połączenia protokołu RDP(Remote Desktop Protocol).
  - AllNodes — zapewnia wartość logiczną (prawda/fałsz) obliczoną między węzłami.
  - Klaster — udostępnia wartość logiczną z magazynu ECE. Współdziała z orkiestratorem i działa we wszystkich węzłach klastra.
Enable-AzsSecurity -Scope <Local | Klastra>
Disable-AzsSecurity -Scope <Local | Klastra>
- FeatureName — <CredentialGuard | DriftControl | DRTM | HVCI | SideChannelMitigation | SMBEncryption | SMBSigning | VBS>
  - Credential Guard
  - Drift, kontrolka
  - VBS (Zabezpieczenia oparte na wirtualizacji) — obsługujemy tylko polecenie włącz.
  - DRTM (dynamiczny główny katalog zaufania do pomiaru)
  - HVCI (Funkcja Hypervisor wymuszana, jeśli integralność kodu)
  - Środki zaradcze kanału bocznego
  - Szyfrowanie protokołu SMB
  - Podpisywanie protokołu SMB

Poniższa tabela zawiera dokumenty dotyczące obsługiwanych funkcji zabezpieczeń, niezależnie od tego, czy obsługują kontrolę dryfu i czy do zaimplementowania funkcji jest wymagany ponowny rozruch.

Nazwa	Cecha	Obsługuje kontrolkę dryfu	Wymagany ponowny rozruch
Włącz	Zabezpieczenia oparte na wirtualizacji (VBS)	Tak	Tak
Włącz Wyłącz	Dynamiczny katalog główny zaufania do pomiaru (DRTM)	Tak	Tak
Włącz Wyłącz	Integralność kodu chroniona przez funkcję Hypervisor (HVCI)	Tak	Tak
Włącz Wyłącz	Środki zaradcze kanału bocznego	Tak	Tak
Włącz Wyłącz	Podpisywanie protokołu SMB	Tak	Tak
Włącz Wyłącz	Szyfrowanie klastra SMB	Nie, ustawienie klastra	Nie

Następne kroki

Omówienie szyfrowania funkcją BitLocker.