Linha de base de segurança do Azure para Data Factory
Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 ao Data Factory. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao Data Factory.
Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.
Quando um recurso tem definições de Azure Policy relevantes, elas são listadas nessa linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.
Observação
Recursos não aplicáveis ao Data Factory foram excluídos. Para ver como o Data Factory é mapeado completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, consulte o arquivo completo de mapeamento de linha de base de segurança do Data Factory.
Perfil de segurança
O perfil de segurança resume os comportamentos de alto impacto do Data Factory, o que pode resultar em considerações de segurança maiores.
Atributo de comportamento do serviço | Valor |
---|---|
Categoria do Produto | Análise, Integração |
O cliente pode acessar HOST/SO | Sem Acesso |
O serviço pode ser implantado na rede virtual do cliente | Verdadeiro |
Armazena o conteúdo do cliente em repouso | Verdadeiro |
Segurança de rede
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.
NS-1: estabelecer limites de segmentação de rede
Recursos
Integração de rede virtual
Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Notas sobre o recurso: o runtime de integração do Azure-SSIS dá suporte à injeção de rede virtual na rede virtual do cliente. Ao criar um runtime de integração (IR) do Azure-SSIS, você pode ingressá-lo a uma rede virtual. Ele permitirá que Azure Data Factory crie determinados recursos de rede, como um NSG e um balanceador de carga. Você também pode fornecer seu próprio endereço IP público estático ou deixar que o Azure Data Factory crie um para você. O IR auto-hospedado pode ser configurado na VM de IaaS na rede virtual do cliente. O tráfego de rede também é regido pelas configurações de firewall e NSG do cliente.
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: ingressar o Azure-SSIS Integration Runtime em uma rede virtual
Suporte ao Grupo de Segurança de Rede
Descrição: o tráfego de rede de serviço respeita a atribuição de regra de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Notas sobre o recurso: o runtime de integração do Azure-SSIS dá suporte à injeção de rede virtual na rede virtual do cliente. Ele obedece a todas as regras de firewall e NSG definidas pelo cliente em sua rede virtual. Ao criar um runtime de integração (IR) do Azure-SSIS, você pode ingressá-lo a uma rede virtual. Ele permitirá que Azure Data Factory crie determinados recursos de rede, como um NSG e um balanceador de carga. Você também pode fornecer seu próprio endereço IP público estático ou deixar que o Azure Data Factory crie um para você. Por padrão, no NSG criado automaticamente pelo Azure Data Factory a Porta 3389 é aberta para todo o tráfego. Bloqueie a porta para garantir que somente os administradores tenham acesso.
O IR auto-hospedado pode ser configurado na VM de IaaS na rede virtual do cliente. O tráfego de rede também é regido pelas configurações de firewall e NSG do cliente.
Com base em seus aplicativos e estratégia de segmentação corporativa, restrinja ou permita o tráfego entre os recursos internos com base em suas regras de NSG. Para aplicativos específicos e bem definidos, como um aplicativo de três camadas, pode ser uma negação altamente segura por padrão.
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: ingressar o Azure-SSIS Integration Runtime em uma rede virtual
NS-2: proteger serviços de nuvem com controles de rede
Recursos
Link Privado do Azure
Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não deve ser confundida com NSG ou Firewall do Azure). Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes adicionais: você pode configurar pontos de extremidade privados no Azure Data Factory Managed Rede Virtual para se conectar a armazenamentos de dados de forma privada.
O Data Factory não fornece a capacidade de configurar pontos de extremidade de serviço de rede virtual.
Ao criar um runtime de integração (IR) do Azure-SSIS, você pode ingressá-lo a uma rede virtual. Isso permite que o Azure Data Factory crie determinados recursos de rede, como um NSG e um balanceador de carga. Você também pode fornecer seu próprio endereço IP público estático ou deixar que o Azure Data Factory crie um para você. Por padrão, no NSG criado automaticamente pelo Azure Data Factory a Porta 3389 é aberta para todo o tráfego. Bloqueie a porta para garantir que somente os administradores tenham acesso. Você pode implantar IRs auto-hospedados em um computador local ou em uma VM do Azure dentro de uma rede virtual. Certifique-se de que sua implantação de sub-rede de rede virtual possui um NSG configurado para permitir somente acesso administrativo. O IR do Azure-SSIS desabilita, por padrão, a saída da porta 3389 nas Regras do Firewall do Windows em cada nó de IR para proteção. Você pode proteger seus recursos configurados pela rede virtual associando um NSG à sub-rede e configurando regras estritas.
Referência: Link Privado do Azure para Azure Data Factory
Desabilitar o acesso à rede pública
Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Notas sobre o recurso: desabilitar o acesso à rede pública é aplicável apenas ao SHIR (Self-Hosted Integration Runtime) e não ao Azure IR ou ao SSIS IR. Com o SHIR, habilitar o data factory de link privado não bloqueia explicitamente o acesso público, mas o cliente pode bloquear o acesso público manualmente.
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: Link Privado do Azure para Azure Data Factory
Gerenciamento de identidades
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.
IM-1: usar um sistema centralizado de identidade e autenticação
Recursos
Autenticação do Azure AD necessária para acesso ao plano de dados
Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Notas de recurso: o Data Factory pode autenticar nativamente nos serviços e recursos do Azure que dão suporte à autenticação Azure AD.
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: identidade gerenciada para Azure Data Factory
Métodos de autenticação local para acesso ao plano de dados
Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Notas de recurso: você pode usar autenticação do Windows para acessar fontes de dados de pacotes do SSIS em execução no Azure-SSIS Integration Runtime (IR). Seus armazenamentos de dados podem estar no local, hospedados em VMs (máquinas virtuais) do Azure ou em execução no Azure como serviços gerenciados. No entanto, é recomendável evitar o uso da autenticação local e usar Azure AD sempre que possível. Evite o uso de métodos ou contas de autenticação local, eles devem ser desabilitados sempre que possível. Em vez disso, use Azure AD para autenticar sempre que possível.
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
IM-3: gerenciar identidades de aplicativos de maneira segura e automática
Recursos
Identidades gerenciadas
Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Notas de recurso: por padrão, ao criar o data factory por meio do portal do Azure ou do PowerShell, a identidade gerenciada será criada automaticamente. Usando o SDK ou a API REST, a identidade gerenciada será criada somente se o usuário especificar "identidade" palavra-chave explicitamente.
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: identidade gerenciada para Azure Data Factory e Azure Synapse
Entidades de Serviço
Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Notas de recurso: o Data Factory permite que você use identidades gerenciadas, Princípios de Serviço para autenticar em armazenamentos de dados e computação que dão suporte à autenticação do AAD.
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
IM-7: restringir o acesso aos recursos com base nas condições
Recursos
Acesso condicional para o plano de dados
Descrição: o acesso ao plano de dados pode ser controlado usando Azure AD Políticas de Acesso Condicional. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: Acesso Condicional: aplicativos de nuvem, ações e contexto de autenticação
IM-8: restringir a exposição de credenciais e segredos
Recursos
Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault
Descrição: o plano de dados dá suporte ao uso nativo de Key Vault do Azure para armazenamento de credenciais e segredos. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Notas sobre o recurso: você pode armazenar credenciais para armazenamentos de dados e cálculos em um Key Vault do Azure. O Azure Data Factory recupera as credenciais ao executar uma atividade que usa o armazenamento de dados/computação.
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: armazenar credenciais no Azure Key Vault
Acesso privilegiado
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.
PA-1: separar e limitar usuários administrativos/altamente privilegiados
Recursos
Contas de Administração locais
Descrição: o serviço tem o conceito de uma conta administrativa local. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)
Recursos
RBAC do Azure para Plano de Dados
Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para acesso gerenciado às ações do plano de dados do serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | True | Microsoft |
Notas sobre o recurso: o Data Factory se integra ao RBAC do Azure para gerenciar seus recursos. Com o RBAC, você gerencia o acesso aos recursos do Azure por meio de atribuições de função. É possível atribuir funções a usuários, grupos, entidades de serviço e identidades gerenciadas. Determinados recursos têm funções internas predefinidas. É possível inventariar ou consultar essas funções por meio de ferramentas como a CLI do Azure, o Azure PowerShell ou o portal do Azure.
Limite os privilégios que você atribui aos recursos por meio do RBAC do Azure para quais as funções exigirem. Essa prática complementa a abordagem JIT (just-in-time) do PIM do Azure AD. Revise as funções e atribuições periodicamente.
Use funções internas para conceder permissões. Crie funções personalizadas somente quando necessário.
Você pode criar uma função personalizada no Azure AD com acesso mais restritivo ao Data Factory.
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.
Referência: Funções e permissões para Azure Data Factory
PA-8: determinar o processo de acesso para suporte ao provedor de nuvem
Recursos
Sistema de Proteção de Dados do Cliente
Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: Sistema de Proteção de Dados do Cliente para Microsoft Azure
Proteção de dados
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.
DP-1: Descobrir, classificar e rotular dados confidenciais
Recursos
Descoberta e classificação de dados confidenciais
Descrição: ferramentas (como o Azure Purview ou o Azure Proteção de Informações) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: Conectar o Data Factory ao Microsoft Purview
DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais
Recursos
Prevenção contra perda/vazamento de dados
Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
DP-3: criptografar dados confidenciais ativos
Recursos
Criptografia de dados em trânsito
Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | True | Microsoft |
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.
Referência: considerações de segurança para movimentação de dados no Azure Data Factory
DP-4: habilitar a criptografia de dados inativos por padrão
Recursos
Criptografia de dados em repouso usando chaves de plataforma
Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | True | Microsoft |
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.
Referência: criptografar Azure Data Factory com chaves gerenciadas pelo cliente
DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário
Recursos
Criptografia de dados inativos usando a CMK
Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: criptografar Azure Data Factory com chaves gerenciadas pelo cliente
DP-6: usar um processo de gerenciamento de chaves seguro
Recursos
Gerenciamento de chaves no Azure Key Vault
Descrição: o serviço dá suporte à integração de Key Vault do Azure para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: armazenar credenciais no Azure Key Vault
DP-7: usar um processo seguro de gerenciamento de certificados
Recursos
Gerenciamento de certificados no Azure Key Vault
Descrição: o serviço dá suporte à integração de Key Vault do Azure para todos os certificados do cliente. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: armazenar credenciais no Azure Key Vault
Gerenciamento de ativos
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de ativos.
AM-2: usar apenas serviços aprovados
Recursos
Suporte ao Azure Policy
Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Notas de recurso: use Azure Policy para auditar e restringir quais serviços os usuários podem provisionar em seu ambiente. Use o Azure Resource Graph para consultar e descobrir recursos nas assinaturas. Você também pode usar o Azure Monitor para criar regras para disparar alertas quando detectarem um serviço não aprovado.
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: Azure Policy definições internas do Data Factory
Registro em log e detecção de ameaças
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: registro em log e detecção de ameaças.
LT-1: habilitar funcionalidades de detecção de ameaças
Recursos
Microsoft Defender para oferta de serviço/produto
Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Notas de recurso: o IR auto-hospedado (SHIR) em execução em VMs e contêineres do Azure usa o Defender para estabelecer a configuração segura.
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
LT-4: habilitar o registro em log para investigação de segurança
Recursos
Azure Resource Logs
Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | True | Microsoft |
Notas sobre o recurso: os logs de atividades estão disponíveis automaticamente. É possível usar os logs de atividade para encontrar erros ao solucionar problemas ou para monitorar como os usuários em sua organização modificaram recursos.
Use o Microsoft Defender para Nuvem e o Azure Policy a fim de habilitar a coleta de logs de recursos e dados de log.
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.
Referência: Configurações de diagnóstico no Azure Monitor
Backup e recuperação
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.
BR-1: garantir backups automatizados regulares
Recursos
Funcionalidade de backup nativo do serviço
Descrição: o serviço dá suporte à sua própria funcionalidade de backup nativo (se não estiver usando Backup do Azure). Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Verdadeiro | Falso | Cliente |
Notas de recurso: para fazer backup de todo o código em Azure Data Factory, use a funcionalidade de controle do código-fonte no Data Factory.
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: controle do código-fonte no Azure Data Factory
Próximas etapas
- Confira a Visão geral do parâmetro de comparação de segurança de nuvem da Microsoft
- Saiba mais sobre a Linhas de base de segurança do Azure