Linha de base de segurança do Azure para Conjuntos de Dimensionamento de Máquinas Virtuais

Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 a Conjuntos de Dimensionamento de Máquinas Virtuais. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança na nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis a Conjuntos de Dimensionamento de Máquinas Virtuais.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem definições de Azure Policy relevantes, elas são listadas nessa linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.

Observação

Recursos não aplicáveis a Conjuntos de Dimensionamento de Máquinas Virtuais foram excluídos. Para ver como Conjuntos de Dimensionamento de Máquinas Virtuais mapeia completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, consulte o arquivo de mapeamento completo da linha de base de segurança Conjuntos de Dimensionamento de Máquinas Virtuais.

Perfil de segurança

O perfil de segurança resume comportamentos de alto impacto de Conjuntos de Dimensionamento de Máquinas Virtuais, o que pode resultar em considerações de segurança maiores.

Atributo de comportamento do serviço Valor
Categoria do Produto Computação
O cliente pode acessar HOST/SO Acesso completo
O serviço pode ser implantado na rede virtual do cliente True
Armazena o conteúdo do cliente em repouso True

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: redes virtuais e máquinas virtuais no Azure

Suporte ao Grupo de Segurança de Rede

Descrição: o tráfego de rede de serviço respeita a atribuição de regra de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use NSG (grupos de segurança de rede) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras de NSG para restringir as portas abertas do serviço (como impedir que portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e de Azure Load Balancers.

Ao criar uma VM (máquina virtual) do Azure, você deve criar uma rede virtual ou usar uma rede virtual existente e configurar a VM com uma sub-rede. Verifique se todas as sub-redes implantadas têm um Grupo de Segurança de Rede aplicado com controles de acesso à rede específicos para suas portas e fontes confiáveis de aplicativos.

Referência: grupos de segurança de rede

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)
Descrição Efeito(s) Versão
(GitHub)
As recomendações da proteção de rede adaptável devem ser aplicadas nas máquinas virtuais para a Internet A Central de Segurança do Azure analisa os padrões de tráfego das máquinas virtuais para a Internet e fornece recomendações de regra do Grupo de Segurança de Rede que reduzem a possível superfície de ataque AuditIfNotExists, desabilitado 3.0.0

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Desabilitar o acesso à rede pública

Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas de recurso: os serviços instalados com o sistema operacional podem ser usados para fornecer filtragem de rede para acesso de rede pública desabilitado.

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use o Azure Active Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de dados. O Azure AD protege os dados usando criptografia forte para dados em repouso e em trânsito. O Azure Active Directory também inclui sais, hashes e armazena com segurança as credenciais do usuário. É possível usar identidades gerenciadas para se autenticar em qualquer serviço que dê suporte à autenticação do Azure AD, incluindo o Key Vault, sem ter credenciais em seu código. Seu código que está sendo executado em uma máquina virtual pode usar uma identidade gerenciada para solicitar tokens de acesso para os serviços que dão suporte à autenticação do Azure AD.

Referência: implementação de junção Azure AD

Métodos de autenticação local para acesso ao plano de dados

Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Notas de recurso: evite o uso de métodos ou contas de autenticação local, elas devem ser desabilitadas sempre que possível. Em vez disso, use Azure AD para autenticar sempre que possível.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Recursos

Identidades gerenciadas

Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, que podem se autenticar nos serviços e recursos do Azure que dão suporte à autenticação do Azure Active Directory (Azure AD). As credenciais de identidades gerenciadas são completamente gerenciadas, giradas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou arquivos de configuração.

Referência: identidades gerenciadas para recursos do Azure

Entidades de Serviço

Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas de recurso: as entidades de serviço podem ser usadas por aplicativos em execução no Conjuntos de Dimensionamento de Máquinas Virtuais.

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)
Descrição Efeito(s) Versão
(GitHub)
A extensão de Configuração de Convidado das máquinas virtuais deve ser implantada com a identidade gerenciada atribuída ao sistema A extensão de configuração de convidado exige uma identidade gerenciada atribuída ao sistema. As máquinas virtuais do Azure no escopo desta política não estarão em conformidade quando tiverem a extensão de Configuração de Convidado instalada, mas não tiverem uma identidade gerenciada atribuída ao sistema. Saiba mais em https://aka.ms/gcpol AuditIfNotExists, desabilitado 1.0.1

IM-8: restringir a exposição de credenciais e segredos

Recursos

Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault

Descrição: o plano de dados dá suporte ao uso nativo de Key Vault do Azure para armazenamento de credenciais e segredos. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas sobre o recurso: no plano de dados ou no sistema operacional, os serviços podem chamar o Azure Key Vault para obter credenciais ou segredos.

Diretrizes de configuração: verifique se os segredos e as credenciais estão armazenados em locais seguros, como o Azure Key Vault, em vez de inseri-los em arquivos de código ou de configuração.

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-1: separar e limitar usuários administrativos/altamente privilegiados

Recursos

Contas de Administração locais

Descrição: o serviço tem o conceito de uma conta administrativa local. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Notas de recurso: evite o uso de métodos ou contas de autenticação local, elas devem ser desabilitadas sempre que possível. Em vez disso, use Azure AD para autenticar sempre que possível.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: criar máquinas virtuais em um conjunto de dimensionamento usando portal do Azure

PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)

Recursos

RBAC do Azure para Plano de Dados

Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para acesso gerenciado às ações do plano de dados do serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use o RBAC (controle de acesso baseado em função) do Azure para gerenciar o acesso a recursos do Azure por meio de atribuições de função internas. As funções RBAC do Azure podem ser atribuídas a usuários, grupos, entidades de serviço e identidades gerenciadas.

Referência: função interna para colaborador de máquina virtual

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Recursos

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Sistema de Proteção de Dados do Cliente para revisar e, em seguida, aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-1: Descobrir, classificar e rotular dados confidenciais

Recursos

Descoberta e classificação de dados confidenciais

Descrição: ferramentas (como o Azure Purview ou o Azure Proteção de Informações) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais

Recursos

Prevenção contra perda/vazamento de dados

Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas de recurso: determinados protocolos de comunicação, como SSH, são criptografados por padrão. No entanto, serviços como RDP ou HTTP devem ser configurados para usar o TLS para criptografia.

Diretrizes de configuração: habilite a transferência segura em serviços em que há um recurso de criptografia de dados nativos em trânsito interno. Imponha HTTPS em qualquer aplicativo Web e serviços e verifique se o TLS v1.2 ou posterior é usado. Versões herdadas como SSL 3.0, TLS v1.0 devem ser desabilitadas. Para gerenciamento remoto de Máquinas Virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.

Referência: criptografia em trânsito em VMs

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)
Descrição Efeito(s) Versão
(GitHub)
Os computadores Windows devem ser configurados para usar protocolos de comunicação seguros Para proteger a privacidade das informações comunicadas pela Internet, seus computadores devem usar a versão mais recente do protocolo criptográfico padrão do setor, TLS (Transport Layer Security). O TLS protege as comunicações em uma rede criptografando uma conexão entre computadores. AuditIfNotExists, desabilitado 4.1.1

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Notas de recurso: além da criptografia padrão com chaves gerenciadas pela plataforma, os clientes sensíveis à alta segurança que estão preocupados com o risco associado a qualquer algoritmo de criptografia, implementação ou chave em particular que está sendo comprometida agora podem optar por uma camada adicional de criptografia usando um algoritmo/modo de criptografia diferente na camada de infraestrutura usando chaves de criptografia gerenciadas pela plataforma e chaves gerenciadas pelo cliente. Essa nova camada pode ser aplicada ao sistema operacional persistente e discos de dados, instantâneos e imagens, todos os quais serão criptografados em repouso com criptografia dupla.

Para obter mais informações, visite: Criptografia dupla em repouso.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Azure Disk Encryption para Conjuntos de Dimensionamento de Máquinas Virtuais

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)
Descrição Efeito(s) Versão
(GitHub)
[Prévia]: as máquinas virtuais do Linux devem habilitar o Azure Disk Encryption ou EncryptionAtHost. Por padrão, o sistema operacional e os discos de dados de uma máquina virtual são criptografados em repouso usando chaves de criptografia gerenciada pela plataforma; os caches de dados e discos temporários não são criptografados, e os dados não são criptografados durante o fluxo entre recursos de computação e de armazenamento. Use o Azure Disk Encryption ou o EncryptionAtHost para criptografar todos esses dados.Visite https://aka.ms/diskencryptioncomparison para comparar as ofertas de criptografia. Esta política requer dois pré-requisitos a serem implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. AuditIfNotExists, desabilitado 1.2.0 – versão prévia

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário

Recursos

Criptografia de dados inativos usando a CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados inativos usando a chave gerenciada pelo cliente para esses serviços.

Os discos virtuais em Máquinas Virtuais (VM) são criptografados em repouso usando a criptografia do lado do servidor ou a ADE (criptografia de disco do Azure). O Azure Disk Encryption aproveita o recurso DM-Crypt do Linux para criptografar discos gerenciados com chaves gerenciadas pelo cliente na VM convidada. A criptografia do lado do servidor com chaves gerenciadas pelo cliente aprimora o ADE, permitindo usar quaisquer tipos de sistema operacional e imagens para as VMs, criptografando dados no serviço de armazenamento.

Quando você especifica uma chave gerenciada pelo cliente, essa chave é usada para proteger e controlar o acesso à chave que criptografa os dados. Chaves gerenciadas pelo cliente oferecem maior flexibilidade para gerenciar controles de acesso. Você deve usar o Azure Key Vault ou o HSM (Módulo de Segurança de Hardware Gerenciado) do Azure Key Vault para armazenar suas chaves gerenciadas pelo cliente.

É possível importar as chaves RSA para o Key Vault ou gerar novas chaves RSA no Azure Key Vault. Os discos gerenciados do Azure tratam a criptografia e a descriptografia de maneira totalmente transparente com o uso da criptografia de envelope. Ela criptografa dados usando uma DEK (chave de criptografia de dados) baseada em AES 256 que, por sua vez, é protegida com suas chaves. O serviço de armazenamento gera chaves de criptografia de dados e as criptografa com chaves gerenciadas pelo cliente usando a criptografia RSA. A criptografia de envelope permite alternar (mudar) as chaves periodicamente de acordo com as políticas de conformidade, sem afetar as VMs. Quando você alterna as chaves, o serviço de armazenamento criptografa novamente as chaves de criptografia de dados com as novas chaves gerenciadas pelo cliente.

O Managed Disks e o Key Vault ou HSM gerenciado devem estar na mesma região do Azure, mas podem estar em assinaturas diferentes. Eles também devem estar no mesmo locatário do Azure Active Directory (Azure AD), a menos que você esteja criptografando discos gerenciados com chaves gerenciadas pelo cliente entre locatários.

Referência: criando e configurando um cofre de chaves para o Azure Disk Encryption

DP-6: usar um processo de gerenciamento de chaves seguro

Recursos

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração de Key Vault do Azure para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Azure Key Vault e seu serviço com base em um agendamento definido ou quando houver uma desativação ou comprometimento importante. Quando houver a necessidade de usar a CMK (chave gerenciada pelo cliente) na carga de trabalho, no serviço ou no nível do aplicativo, verifique se você segue as práticas recomendadas para o gerenciamento de chaves: use uma hierarquia de chaves para gerar uma DEK (chave de criptografia de dados) separada com a KEK (chave de criptografia de chave) no cofre de chaves. Verifique se as chaves estão registradas no Key Vault do Azure e referenciadas por meio de IDs de chave do serviço ou aplicativo. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Azure Key Vault), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chave.

Referência: criando e configurando um cofre de chaves para o Azure Disk Encryption

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: Azure Policy pode ser usado para definir o comportamento desejado para as VMs do Windows e as VMs do Linux da sua organização. Usando políticas, uma organização pode impor várias convenções e regras em toda a empresa e definir e implementar configurações de segurança padrão para o Azure Conjuntos de Dimensionamento de Máquinas Virtuais. A imposição do comportamento desejado pode ajudar a reduzir o risco e contribui para o sucesso da organização.

Referência: Definições de Azure Policy internas para Conjuntos de Dimensionamento de Máquinas Virtuais

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)
Descrição Efeito(s) Versão
(GitHub)
As máquinas virtuais devem ser migradas para os novos recursos do Azure Resource Manager Use o novo Azure Resource Manager para suas máquinas virtuais a fim de fornecer melhorias de segurança como: RBAC (controle de acesso) mais forte, melhor auditoria, implantação e governança baseadas no Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves para segredos, autenticação baseada no Azure AD e suporte para marcas e grupos de recursos visando facilitar o gerenciamento da segurança Audit, Deny, desabilitado 1.0.0

AM-5: usar apenas aplicativos aprovados na máquina virtual

Recursos

Microsoft Defender para Nuvem – Controles de Aplicativos Adaptáveis

Descrição: o serviço pode limitar quais aplicativos clientes são executados na máquina virtual usando controles de aplicativos adaptáveis no Microsoft Defender para Nuvem. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use Microsoft Defender para controles de aplicativos adaptáveis de nuvem para descobrir aplicativos em execução em VMs (máquinas virtuais) e gerar uma lista de permissões de aplicativo para exigir quais aplicativos aprovados podem ser executados no ambiente de VM.

Referência: usar controles de aplicativo adaptáveis para reduzir as superfícies de ataque dos computadores

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)
Descrição Efeito(s) Versão
(GitHub)
Os controles de aplicativos adaptáveis para definir aplicativos seguros devem estar habilitados nos computadores Permita que os controles de aplicativos definam a lista de aplicativos considerados seguros em execução nos seus computadores e alertem você quando outros aplicativos forem executados. Isso ajuda a proteger seus computadores contra malware. Para simplificar o processo de configuração e manutenção de suas regras, a Central de Segurança usa o machine learning para analisar os aplicativos em execução em cada computador e sugerir a lista de aplicativos considerados seguros. AuditIfNotExists, desabilitado 3.0.0

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: o Defender para Servidores estende a proteção para seus computadores Windows e Linux em execução no Azure. O Defender para Servidores integra-se a Microsoft Defender para Ponto de Extremidade para fornecer EDR (detecção e resposta de ponto de extremidade) e também fornece uma série de recursos adicionais de proteção contra ameaças, como linhas de base de segurança e avaliações no nível do sistema operacional, verificação de avaliação de vulnerabilidades, controles de aplicativos adaptáveis (AAC), FIM (monitoramento de integridade de arquivo) e muito mais.

Referência: Visão geral do Microsoft Defender para Servidores

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)
Descrição Efeito(s) Versão
(GitHub)
O Microsoft Defender Exploit Guard deve estar habilitado nos computadores O Microsoft Defender Exploit Guard usa o agente de Configuração de Convidado do Azure Policy. O Exploit Guard tem quatro componentes que foram projetados para bloquear dispositivos contra uma ampla variedade de vetores de ataque e comportamentos de bloqueio comumente usados em ataques de malware, permitindo que as empresas encontrem um equilíbrio entre os requisitos de produtividade e o risco de segurança enfrentados (somente Windows). AuditIfNotExists, desabilitado 2.0.0

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: o Azure Monitor inicia a coleta automática de dados de métrica para o host da máquina virtual quando você cria a VM. No entanto, para coletar logs e dados de desempenho do sistema operacional convidado da máquina virtual, você deve instalar o agente do Azure Monitor. Você pode instalar o agente e configurar a coleção usando insights de VM ou criando uma regra de coleta de dados.

Referência: Visão geral do agente do Log Analytics

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)
Descrição Efeito(s) Versão
(GitHub)
[Versão Prévia]: o agente de coleta de dados de tráfego de rede deve ser instalado nas máquinas virtuais Linux A Central de Segurança usa o Microsoft Dependency Agent para coletar dados de tráfego de rede de suas máquinas virtuais do Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas. AuditIfNotExists, desabilitado 1.0.2 – versão prévia

Gerenciamento de vulnerabilidades e postura

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de postura e vulnerabilidades.

PV-3: definir e estabelecer configurações seguras para recursos de computação

Recursos

State Configuration da Automação do Azure

Descrição: Automação do Azure State Configuration pode ser usado para manter a configuração de segurança do sistema operacional. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use Automação do Azure State Configuration para manter a configuração de segurança do sistema operacional. Automação do Azure State Configuration é um serviço de gerenciamento de configuração do Azure que permite escrever, gerenciar e compilar configurações de DSC (Desired State Configuration) do PowerShell para nós.

A State Configuration da Automação do Azure oferece várias vantagens em comparação com o uso do DSC fora do Azure. Esse serviço permite a escalabilidade entre milhares de computadores rápida e facilmente, de um local central e seguro. Você pode facilmente habilitar computadores, atribuir a eles configurações declarativas e exibir relatórios que mostram a conformidade de cada computador com o estado desejado especificado.

Referência: usando Conjuntos de Dimensionamento de Máquinas Virtuais com a extensão de DSC do Azure

agente de configuração de convidado do Azure Policy

Descrição: Azure Policy agente de configuração de convidado pode ser instalado ou implantado como uma extensão para recursos de computação. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use Microsoft Defender para Nuvem e Azure Policy agente de configuração de convidado para avaliar e corrigir regularmente os desvios de configuração em suas máquinas virtuais.

Referência: entender o recurso de configuração de convidado do Azure Policy

Imagens de VM personalizadas

Descrição: o serviço dá suporte ao uso de imagens de VM fornecidas pelo usuário ou imagens predefinidas do marketplace com determinadas configurações de linha de base pré-aplicadas. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use uma imagem protegida pré-configurada de um fornecedor confiável, como a Microsoft, ou crie uma linha de base de configuração segura desejada no modelo de imagem da VM

Referência: criar e usar uma imagem personalizada para conjuntos de dimensionamento de máquinas virtuais com Azure PowerShell

PV-4: auditar e impor configurações seguras para recursos de computação

Recursos

Máquina Virtual de Início Confiável

Descrição: o Início Confiável protege contra técnicas de ataque avançadas e persistentes combinando tecnologias de infraestrutura, como inicialização segura, vTPM e monitoramento de integridade. Cada tecnologia fornece mais uma camada de defesa contra ameaças sofisticadas. A inicialização confiável permite a implantação segura de máquinas virtuais com carregadores de inicialização verificados, kernels do sistema operacional e drivers e protege com segurança chaves, certificados e segredos nas máquinas virtuais. A inicialização confiável também fornece insights e confianças da integridade de toda a cadeia de inicialização e garante que as cargas de trabalho sejam confiáveis e verificáveis. A inicialização confiável é integrada ao Microsoft Defender para Nuvem para garantir que as VMs estejam configuradas corretamente, atestando remotamente que a VM seja inicializada de maneira íntegra. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Observação do recurso: a inicialização confiável está disponível para VMs de geração 2. O início confiável requer a criação de novas máquinas virtuais. Você não pode habilitar este serviço em máquinas já existentes que foram inicialmente criadas sem ele.

Diretrizes de configuração: a inicialização confiável pode ser habilitada durante a implantação da VM. Habilite todos os três – Inicialização Segura, vTPM e monitoramento de inicialização de integridade para garantir a melhor postura de segurança para a máquina virtual. Observe que há alguns pré-requisitos, incluindo a integração de sua assinatura ao Microsoft Defender para Nuvem, a atribuição de determinadas iniciativas de Azure Policy e a configuração de políticas de firewall.

Referência: Implantar uma VM com inicialização confiável habilitada

PV-5: realizar avaliações de vulnerabilidade

Recursos

Avaliação de vulnerabilidade usando Microsoft Defender

Descrição: o serviço pode ser verificado para verificação de vulnerabilidade usando Microsoft Defender para Nuvem ou outra funcionalidade de avaliação de vulnerabilidades inserida dos serviços de Microsoft Defender (incluindo Microsoft Defender para servidor, registro de contêiner Serviço de Aplicativo, SQL e DNS). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: siga as recomendações do Microsoft Defender para Nuvem para executar avaliações de vulnerabilidade em suas máquinas virtuais do Azure.

Referência: Visão geral do Microsoft Defender para servidores

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)
Descrição Efeito(s) Versão
(GitHub)
Uma solução de avaliação de vulnerabilidade deve ser habilitada nas máquinas virtuais Audita as máquinas virtuais para detectar se elas estão executando uma solução de avaliação de vulnerabilidade compatível. Um componente principal de cada programa de segurança e risco cibernético é a identificação e a análise das vulnerabilidades. O tipo de preço padrão da Central de Segurança do Azure inclui a verificação de vulnerabilidade para as máquinas virtuais sem custo adicional. Além disso, a Central de Segurança pode implantar essa ferramenta automaticamente para você. AuditIfNotExists, desabilitado 3.0.0

PV-6: corrigir vulnerabilidades de forma rápida e automática

Recursos

Gerenciamento de Atualizações de Automação do Azure

Descrição: o serviço pode usar Automação do Azure Gerenciamento de Atualizações para implantar patches e atualizações automaticamente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Notas de recursos: a Microsoft oferece outros recursos para ajudá-lo a gerenciar atualizações para suas VMs do Azure ou conjuntos de dimensionamento de máquinas virtuais do Azure que você deve considerar como parte de sua estratégia geral de gerenciamento de atualizações.

Se você estiver interessado em avaliar e atualizar automaticamente suas máquinas virtuais do Azure para manter a conformidade de segurança com as atualizações críticas e de segurança lançadas a cada mês, consulte Aplicação de patch automática de convidado da VM (versão prévia). Essa é uma solução alternativa de gerenciamento de atualizações para suas VMs do Azure para atualizá-las automaticamente fora do horário de pico, incluindo VMs dentro de um conjunto de disponibilidade, em comparação com o gerenciamento de implantações de atualização para essas VMs do Gerenciamento de Atualizações na Automação do Azure.

Se você gerenciar conjuntos de dimensionamento de máquinas virtuais do Azure, revise como executar atualizações automáticas de imagem do sistema operacional para atualizar com segurança e de forma automática o disco do sistema operacional para todas as instâncias no conjunto de dimensionamento.

Para obter mais informações, visite: Atualizações automáticas de imagem do sistema operacional do Conjunto de Dimensionamento de Máquinas Virtuais do Azure.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Serviço de Aplicação de Patch de Convidado do Azure

Descrição: o serviço pode usar a aplicação de patch de convidado do Azure para implantar patches e atualizações automaticamente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: os serviços podem aproveitar os diferentes mecanismos de atualização, como atualizações de imagem do sistema operacional automático e aplicação automática de patch de convidado. Os recursos são recomendados para aplicar as atualizações críticas e de segurança mais recentes ao sistema operacional convidado da máquina virtual seguindo os Princípios de Implantação Segura.

A aplicação automática de patch de convidado permite que você avalie e atualize automaticamente suas máquinas virtuais do Azure para manter a conformidade de segurança com atualizações críticas e de segurança lançadas todos os meses. Atualizações são aplicadas fora do horário de pico, incluindo VMs em um conjunto de disponibilidade. Essa funcionalidade está disponível para Orquestração Flexível do VMSS, com suporte futuro no roteiro para Orquestração Uniforme.

Se você executar uma carga de trabalho sem estado, as atualizações de imagem do sistema operacional automático serão ideais para aplicar a atualização mais recente para o uniforme do VMSS. Com a funcionalidade de reversão, essas atualizações são compatíveis com o Marketplace ou Imagens personalizadas. Suporte futuro à atualização sem interrupção no roteiro para Orquestração Flexível.

Referência: Aplicação automática de patch de convidado de VM para VMs do Azure

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)
Descrição Efeito(s) Versão
(GitHub)
[Versão prévia]: as atualizações do sistema devem ser instaladas nos computadores (da plataforma Centro de Atualizações) As atualizações de sistema, segurança e críticas estão ausentes em seus computadores. As atualizações de software geralmente incluem patches críticos para brechas de segurança. Essas brechas costumam ser exploradas em ataques de malware, portanto, é vital manter seu software atualizado. Para instalar todos os patches pendentes e proteger seus computadores, siga as etapas de correção. AuditIfNotExists, desabilitado 1.0.0 – versão prévia

Segurança do ponto de extremidade

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança do ponto de extremidade.

ES-1: usar EDR (Detecção e Resposta de Ponto de Extremidade)

Recursos

Solução EDR

Descrição: o recurso EDR (Detecção e Resposta de Ponto de Extremidade), como o Azure Defender para servidores, pode ser implantado no ponto de extremidade. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: o Azure Defender para servidores (com Microsoft Defender para Ponto de Extremidade integrado) fornece capacidade de EDR para prevenir, detectar, investigar e responder a ameaças avançadas. Use o Microsoft Defender para Nuvem para implantar o Azure Defender em servidores do seu ponto de extremidade e integre os alertas à sua solução SIEM, como o Azure Sentinel.

Referência: licença integrada para Microsoft Defender para Ponto de Extremidade

ES-2: use um software antimalware moderno

Recursos

Solução antimalware

Descrição: recurso antimalware, como Microsoft Defender Antivírus, Microsoft Defender para Ponto de Extremidade pode ser implantado no ponto de extremidade. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: para Windows Server 2016 e superiores, o Microsoft Defender para Antivírus é instalado por padrão. Para Windows Server 2012 R2 e superior, os clientes podem instalar o SCEP (System Center Endpoint Protection). Para o Linux, os clientes podem ter a opção de instalar Microsoft Defender para Linux. Como alternativa, os clientes também têm a opção de instalar produtos antimalware de terceiros.

Referência: Microsoft Antimalware para Serviços de Nuvem e Máquinas Virtuais do Azure

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)
Descrição Efeito(s) Versão
(GitHub)
Os problemas de integridade do Endpoint protection devem ser resolvidos nos seus computadores Resolva problemas de integridade da proteção de ponto de extremidade em suas máquinas virtuais para protegê-las contra ameaças e vulnerabilidades mais recentes. As soluções de proteção de ponto de extremidade compatíveis com a Central de Segurança do Azure estão documentadas aqui: https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. A avaliação da proteção de ponto de extremidade está documentada aqui: https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, desabilitado 1.0.0

ES-3: garantir que as assinaturas e o software antimalware estejam atualizados

Recursos

Monitoramento de integridade da solução antimalware

Descrição: a solução antimalware fornece monitoramento de status de integridade para atualizações de plataforma, mecanismo e assinatura automática. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: configure sua solução antimalware para garantir que a plataforma, o mecanismo e as assinaturas sejam atualizados de forma rápida e consistente e seus status possam ser monitorados.

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)
Descrição Efeito(s) Versão
(GitHub)
Os problemas de integridade do Endpoint protection devem ser resolvidos nos seus computadores Resolva problemas de integridade da proteção de ponto de extremidade em suas máquinas virtuais para protegê-las contra ameaças e vulnerabilidades mais recentes. As soluções de proteção de ponto de extremidade compatíveis com a Central de Segurança do Azure estão documentadas aqui: https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. A avaliação da proteção de ponto de extremidade está documentada aqui: https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, desabilitado 1.0.0

Backup e recuperação

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.

BR-1: garantir backups automatizados regulares

Recursos

Serviço de Backup do Azure

Descrição: o serviço pode ser copiado em backup pelo serviço Backup do Azure. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas sobre o recurso: com suporte para VMSS Flex e não uniforme VMSS

Diretrizes de configuração: habilite Backup do Azure e direcione a VM (Máquinas Virtuais) do Azure, bem como a frequência e os períodos de retenção desejados. Isso inclui o backup completo do estado do sistema. Se você estiver usando o Azure Disk Encryption, o backup de VM do Azure manipulará automaticamente o backup de chaves gerenciadas pelo cliente. Para o Azure Máquinas Virtuais, você pode usar Azure Policy para habilitar backups automáticos.

Referência: como usar um instantâneo de uma instância de conjunto de dimensionamento de máquinas virtuais e um disco gerenciado

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)
Descrição Efeito(s) Versão
(GitHub)
O Backup do Azure deve ser habilitado para máquinas virtuais Garanta a proteção de suas Máquinas Virtuais do Azure habilitando o Backup do Azure. O Backup do Azure é uma solução de proteção de dados segura e econômica para o Azure. AuditIfNotExists, desabilitado 3.0.0

Próximas etapas