Linha de base de segurança do Azure para o Azure Monitor

  • Artigo

Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 ao Azure Monitor. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao Azure Monitor.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem definições de Azure Policy relevantes, eles são listados nesta linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetros de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.

Observação

Os recursos não aplicáveis ao Azure Monitor foram excluídos. Para ver como o Azure Monitor é mapeado completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, consulte o arquivo completo de mapeamento de linha de base de segurança do Azure Monitor.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do Azure Monitor, o que pode resultar em considerações de segurança maiores.

Atributo de comportamento do serviço Valor
Categoria do Produto DevOps, Segurança
O cliente pode acessar HOST/SO Sem Acesso
O serviço pode ser implantado na rede virtual do cliente Falso
Armazena o conteúdo do cliente em repouso True

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: implante o serviço em uma rede virtual. Atribua IPs privados ao recurso (quando aplicável), a menos que haja um motivo forte para atribuir IPs públicos diretamente ao recurso.

Referência: usar Link Privado do Azure para conectar redes ao Azure Monitor

Suporte ao Grupo de Segurança de Rede

Descrição: o tráfego de rede de serviço respeita a atribuição de regra de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use NSG (grupos de segurança de rede) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras de NSG para restringir as portas abertas do serviço (como impedir que portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e de Azure Load Balancers.

Referência: endereços IP usados pelo Azure Monitor

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não deve ser confundida com NSG ou Firewall do Azure). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: com Link Privado do Azure, você pode vincular com segurança os recursos de PaaS (plataforma como serviço) do Azure à sua rede virtual usando pontos de extremidade privados. O Azure Monitor é uma constelação de diferentes serviços interconectados que trabalham juntos para monitorar suas cargas de trabalho. Um Link Privado do Azure Monitor conecta um ponto de extremidade privado a um conjunto de recursos do Azure Monitor, definindo os limites de sua rede de monitoramento. Esse conjunto é chamado de Escopo de Link Privado do Azure Monitor (AMPLS).

Referência: usar Link Privado do Azure para conectar redes ao Azure Monitor

Desabilitar o acesso à rede pública

Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: desabilite o acesso à rede pública usando a regra de filtragem de ACL de IP no nível do serviço ou um comutador de alternância para acesso à rede pública. Veja informações adicionais aqui: Usar o ESCOPO de Link Privado do Azure Monitor (AMPLS)

Referência: usar Link Privado do Azure para conectar redes ao Azure Monitor

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Notas de recurso: o Agente do Azure Monitor usa MSI\AAD por padrão e está documentado aqui: Configuração do Agente do Azure Log Analytics

O Application Insights precisa ser configurado para impor o AAD e está documentado aqui Autenticação do AAD do Application Insights

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: autenticação Azure AD para o Application Insights

Métodos de autenticação local para acesso ao plano de dados

Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Recursos

Identidades gerenciadas

Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas sobre o recurso: a identidade gerenciada deve ser habilitada em máquinas virtuais do Azure antes de instalar o Agente do Azure Monitor. Pré-requisitos do Agente do Azure Monitor

Diretrizes de configuração: use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, que podem se autenticar nos serviços e recursos do Azure que dão suporte à autenticação do Azure Active Directory (Azure AD). As credenciais de identidades gerenciadas são completamente gerenciadas, giradas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou arquivos de configuração.

Referência: autenticação Azure AD para o Application Insights

Entidades de Serviço

Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas de recurso: isso é aplicável somente a WebHooks Seguros.

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: criar e gerenciar grupos de ações no portal do Azure

IM-7: restringir o acesso aos recursos com base nas condições

Recursos

Acesso condicional para o plano de dados

Descrição: o acesso ao plano de dados pode ser controlado usando Azure AD Políticas de Acesso Condicional. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: defina as condições e os critérios aplicáveis para o acesso condicional do Azure Active Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear o comportamento de entrada arriscado ou exigir dispositivos gerenciados pela organização para aplicativos específicos.

Referência: Visão geral da API do Log Analytics do Azure Monitor

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)

Recursos

RBAC do Azure para Plano de Dados

Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para acesso gerenciado às ações do plano de dados do serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: funções, permissões e segurança no Azure Monitor

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Recursos

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas sobre o recurso: disponível somente quando o Log Analytics do Azure Monitor é configurado com um cluster dedicado.

Diretrizes de configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Sistema de Proteção de Dados do Cliente para revisar e, em seguida, aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft. Isso só se aplica aos dados de log em clusters dedicados.

Referência: Sistema de Proteção de Dados do Cliente (versão prévia)

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-1: Descobrir, classificar e rotular dados confidenciais

Recursos

Descoberta e classificação de dados confidenciais

Descrição: ferramentas (como o Azure Purview ou o Azure Proteção de Informações) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais

Recursos

Prevenção contra perda/vazamento de dados

Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas de recurso: tudo configurado por padrão, exceto Ingestão de dados.
Para o Log Analytics

Para o Application Insights

Diretrizes de configuração: habilite a transferência segura em serviços em que há um recurso de criptografia de dados nativos em trânsito interno. Imponha HTTPS em qualquer aplicativo Web e serviços e verifique se o TLS v1.2 ou posterior é usado. Versões herdadas como SSL 3.0, TLS v1.0 devem ser desabilitadas. Para gerenciamento remoto de Máquinas Virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário

Recursos

Criptografia de dados inativos usando a CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Notas de recurso: os dados do Azure Monitor são dados sobre a integridade dos serviços e não são protegidos pelo Sistema de Proteção de Dados do Cliente por padrão. Somente os logs podem ser protegidos pelo Lockbox e somente para clusters dedicados.

Diretrizes de configuração: os dados do Azure Monitor destinam-se apenas a dados de integridade do serviço e somente os Dados de Log armazenados em clusters dedicados permitem o uso de Chaves Gerenciadas pelo Cliente para Criptografia de Dados em Repouso. Se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia que usa chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados inativos usando a chave gerenciada pelo cliente para esses serviços.

Referência: chave gerenciada pelo cliente do Azure Monitor

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True Falso Cliente

Diretrizes de configuração: use o Microsoft Defender for Cloud para configurar Azure Policy para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio da configuração detectado nos recursos. Use Azure Policy efeitos [negar] e [implantar se não existir] para impor a configuração segura entre os recursos do Azure.

Referência: criar configurações de diagnóstico em escala usando Azure Policy

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Configurações de diagnóstico no Azure Monitor

Backup e recuperação

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.

BR-1: garantir backups automatizados regulares

Recursos

Serviço de Backup do Azure

Descrição: o serviço pode ser feito com backup pelo serviço Backup do Azure. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Funcionalidade de backup nativo de serviço

Descrição: o serviço dá suporte à sua própria funcionalidade de backup nativo (se não estiver usando Backup do Azure). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Próximas etapas