Linha de base de segurança do Azure para o Azure Cosmos DB

  • Artigo

Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 ao Azure Cosmos DB. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao Azure Cosmos DB.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem definições de Azure Policy relevantes, eles são listados nesta linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetros de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.

Observação

Os recursos não aplicáveis ao Azure Cosmos DB foram excluídos. Para ver como o Azure Cosmos DB é mapeado completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, consulte o arquivo completo de mapeamento de linha de base de segurança do Azure Cosmos DB.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do Azure Cosmos DB, o que pode resultar em considerações de segurança maiores.

Atributo de comportamento do serviço Valor
Categoria do Produto Bancos de dados
O cliente pode acessar HOST/SO Sem Acesso
O serviço pode ser implantado na rede virtual do cliente Falso
Armazena o conteúdo do cliente em repouso True

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: implante o serviço em uma rede virtual. Sua conta do Azure Cosmos DB será exposta à rede virtual por meio de seus IPs públicos.

Referência: configurar o acesso ao Azure Cosmos DB a partir de redes virtuais (VNet)

Suporte ao Grupo de Segurança de Rede

Descrição: o tráfego de rede de serviço respeita a atribuição de regra de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não deve ser confundida com NSG ou Firewall do Azure). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: implante pontos de extremidade privados para todos os recursos do Azure que dão suporte ao recurso Link Privado para estabelecer um ponto de acesso privado para os recursos.

Referência: configurar Link Privado do Azure para uma conta do Azure Cosmos

Desabilitar o acesso à rede pública

Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: desabilite o acesso à rede pública usando a regra de filtragem de ACL de IP no nível do serviço ou um comutador de alternância para acesso à rede pública.

Referência: Configurar o firewall de IP no Azure Cosmos DB

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.DocumentDB:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
As contas do Azure Cosmos DB devem ter regras de firewall As regras de firewall devem ser definidas em suas contas do Azure Cosmos DB para evitar o tráfego de fontes não autorizadas. As contas que têm pelo menos uma regra de IP definida com o filtro de rede virtual habilitado são consideradas em conformidade. As contas que desabilitam o acesso público também são consideradas em conformidade. Audit, Deny, desabilitado 2.0.0

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas sobre o recurso: Azure AD autenticação só tem suporte na API Core (SQL). Outras APIs só dão suporte à autenticação baseada em chave.

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: configurar o controle de acesso baseado em função com o Azure Active Directory para sua conta do Azure Cosmos DB

Métodos de autenticação local para acesso ao plano de dados

Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Notas de recurso: evite o uso de métodos ou contas de autenticação local, elas devem ser desabilitadas sempre que possível. Em vez disso, use Azure AD para autenticar sempre que possível.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: proteger o acesso aos dados no Azure Cosmos DB

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.DocumentDB:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
As contas de banco de dados do Cosmos DB devem ter os métodos de autenticação local desabilitados Desabilitar os métodos de autenticação local aprimora a segurança, garantindo que as contas de banco de dados do Cosmos DB exijam identidades do Azure Active Directory exclusivamente para autenticação. Saiba mais em: https://docs.microsoft.com/azure/cosmos-db/how-to-setup-rbac#disable-local-auth. Audit, Deny, desabilitado 1.1.0

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Recursos

Identidades gerenciadas

Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas sobre o recurso: Azure AD autenticação só tem suporte na API Core (SQL).

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: configurar identidades gerenciadas com o Azure Active Directory para sua conta do Azure Cosmos DB

Entidades de Serviço

Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas sobre o recurso: Azure AD autenticação só tem suporte na API Do Core (SQL).

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: configurar o controle de acesso baseado em função com o Azure Active Directory para sua conta do Azure Cosmos DB

IM-7: restringir o acesso aos recursos com base nas condições

Recursos

Acesso condicional para o plano de dados

Descrição: o acesso ao plano de dados pode ser controlado usando Azure AD Políticas de Acesso Condicional. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas de recurso: há suporte para políticas de acesso condicional em que Azure AD autenticação é usada. Azure AD autenticação só tem suporte na API Core (SQL).

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.

IM-8: restringir a exposição de credenciais e segredos

Recursos

Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault

Descrição: o plano de dados dá suporte ao uso nativo de Key Vault do Azure para armazenamento de credenciais e segredos. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Notas sobre o recurso: o Cosmos DB pode usar chaves primárias/secundárias (segredos compartilhados) para controlar o acesso aos dados. A integração desses segredos em Key Vault não é compatível diretamente com o Cosmos DB, mas o código do cliente personalizado que usa segredos compartilhados pode usar Key Vault, se desejado.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)

Recursos

RBAC do Azure para Plano de Dados

Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para acesso gerenciado às ações do plano de dados do serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recursos. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: configurar o controle de acesso baseado em função com o Azure Active Directory para sua conta do Azure Cosmos DB

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Recursos

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Notas sobre o recurso: o Lockbox não pode ser implementado no Azure Cosmos DB devido à natureza multilocatário do serviço.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-1: Descobrir, classificar e rotular dados confidenciais

Recursos

Descoberta e Classificação de Dados Confidenciais

Descrição: ferramentas (como o Azure Purview ou o Azure Proteção de Informações) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas de recursos: a classificação de dados do Microsoft Purview só dá suporte à API do SQL (Azure Cosmos DB Core).

Diretrizes de configuração: use o Microsoft Purview para examinar, classificar e rotular centralmente os dados confidenciais que residem em sua conta do Azure Cosmos DB.

Referência: Conectar-se ao banco de dados do Azure Cosmos (API do SQL) no Microsoft Purview

DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais

Recursos

Prevenção contra perda/vazamento de dados

Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use Microsoft Defender para o Azure Cosmos DB detectar tentativas de exfiltração de dados.

Referência: Microsoft Defender para o Azure Cosmos DB

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Notas de recurso: o Cosmos DB dá suporte à criptografia de dados em trânsito com o TLS v1.2 ou superior e isso não pode ser desabilitado. O Azure também fornece criptografia para dados em trânsito entre data centers do Azure.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Criptografia dupla

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Notas de recurso: os dados armazenados em sua conta do Azure Cosmos DB são criptografados automaticamente e perfeitamente com chaves gerenciadas pela Microsoft (chaves gerenciadas pelo serviço).

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Criptografia de dados no Azure Cosmos DB

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário

Recursos

Criptografia de dados inativos usando a CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados inativos usando a chave gerenciada pelo cliente para esses serviços.

Referência: configurar chaves gerenciadas pelo cliente para sua conta do Azure Cosmos com o Azure Key Vault

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.DocumentDB:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
As contas do Azure Cosmos DB devem usar chaves gerenciadas pelo cliente para criptografar os dados inativos Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso do seu Azure Cosmos DB. Por padrão, os dados são criptografados em repouso com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Azure Key Vault criada por você e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/cosmosdb-cmk. auditar, Auditar, negar, Negar, desabilitado, Desabilitado 1.1.0

DP-6: usar um processo de gerenciamento de chaves seguro

Recursos

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração de Key Vault do Azure para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: configurar chaves gerenciadas pelo cliente para sua conta do Azure Cosmos DB com o Azure Key Vault

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: Azure Policy definições de política internas – Cosmos DB

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use Microsoft Defender para o Azure Cosmos DB para detectar automaticamente várias ameaças à segurança.

Referência: Microsoft Defender para o Azure Cosmos DB

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: habilite os logs de recursos para o serviço. O Azure Cosmos DB permite monitorar sua atividade por meio do Azure Monitor ou logs de diagnóstico personalizados que podem ser analisados com o Azure Log Analytics.

Referência: Monitorar o Azure Cosmos DB

Backup e recuperação

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.

BR-1: garantir backups automatizados regulares

Recursos

Serviço de Backup do Azure

Descrição: o serviço pode ser copiado em backup pelo serviço Backup do Azure. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Funcionalidade de backup nativo do serviço

Descrição: o serviço dá suporte à sua própria funcionalidade de backup nativo (se não estiver usando Backup do Azure). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: backup online e restauração de dados sob demanda no Azure Cosmos DB

Próximas etapas