Базовая конфигурация безопасности Azure для Azure Data Explorer

  • Статья

Этот базовый план безопасности применяет рекомендации из microsoft cloud security benchmark версии 1.0 к Azure Data Explorer. Тест производительности облачной безопасности Майкрософт предоставляет рекомендации по защите облачных решений в Azure. Содержимое сгруппировано по элементам управления безопасностью, определенным в тесте производительности облачной безопасности Майкрософт и соответствующем руководстве, применимом к Azure Data Explorer.

Вы можете отслеживать эти базовые показатели безопасности и его рекомендации с помощью Microsoft Defender для облака. Политика Azure определения будут перечислены в разделе Соответствие нормативным требованиям на странице портала Microsoft Defender для облака.

Если функция имеет релевантные Политика Azure определения, они перечислены в этом базовом плане, чтобы помочь вам оценить соответствие требованиям средств управления и рекомендаций microsoft cloud security benchmark. Для некоторых рекомендаций может потребоваться платный план Microsoft Defender для включения определенных сценариев безопасности.

Примечание

Функции, неприменимые к Data Explorer Azure, были исключены. Чтобы узнать, как Azure Data Explorer полностью сопоставляется с тестом производительности облачной безопасности Майкрософт, см. полный файл сопоставления базовых показателей безопасности Azure Data Explorer.

Профиль безопасности

Профиль безопасности содержит общие сведения о поведении azure Data Explorer, что может привести к повышению уровня безопасности.

Атрибут поведения службы Значение
Категория продуктов Аналитика, базы данных
Клиент может получить доступ к HOST или ОС Нет доступа
Служба может быть развернута в виртуальной сети клиента True
Хранит неактивный контент клиента True

Безопасность сети

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Сетевая безопасность.

NS-1: установка границы сегментации сети

Компоненты

Интеграция с виртуальной сетью

Описание. Служба поддерживает развертывание в частной виртуальная сеть клиента (VNet). Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True Неверно Customer

Заметки о функциях. Мы настоятельно рекомендуем использовать частные конечные точки для защиты сетевого доступа к кластеру. У этого варианта множество преимуществ по сравнению с внедрением виртуальной сети, которые обеспечат снижение затрат на обслуживание, включая более простой процесс развертывания и большую устойчивость к изменениям виртуальной сети.

Руководство по настройке. Разверните кластер Azure Data Explorer в подсети в виртуальная сеть (виртуальной сети). Это позволит реализовать правила NSG для ограничения трафика кластера Data Explorer Azure и подключения локальной сети к подсети кластера Azure Data Explorer.

Справка.Развертывание кластера Azure Data Explorer в виртуальная сеть

Поддержка групп безопасности сети

Описание. Сетевой трафик службы учитывает назначение правил групп безопасности сети в своих подсетях. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True Неверно Customer

Примечания о функциях. Это поддерживается и требуется для настройки правил группы безопасности сети на случай, если Data Explorer Azure была внедрена в виртуальную сеть клиента. Не рекомендуется внедрять Data Explorer Azure в виртуальную сеть. Рекомендуется следовать реализации сетевой безопасности на основе частной конечной точки: частные конечные точки для Azure Data Explorer.

Руководство по настройке. Если вы решите внедрить Data Explorer Azure в виртуальную сеть (настоятельно рекомендуется использовать решение на основе частных конечных точек), вам потребуется использовать делегирование подсети для развертывания кластера. Для этого необходимо делегировать подсеть в Microsoft.Kusto/clusters, прежде чем создавать в ней кластер.

Включив делегирование подсети в подсети кластера, вы позволите службе определить предварительные условия для развертывания в виде политик намерений сети. При создании кластера в подсети конфигурации NSG, упомянутые в следующих разделах, создаются автоматически.

Справочник. Настройка правил группы безопасности сети

NS-2: защита облачных служб с помощью элементов управления сетью

Компоненты

Описание: возможность фильтрации ip-адресов службы для фильтрации сетевого трафика (не следует путать с NSG или Брандмауэр Azure). Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True Неверно Customer

Руководство по настройке. Настоятельно рекомендуется использовать частные конечные точки для защиты сетевого доступа к кластеру. Этот вариант имеет множество преимуществ по сравнению с интеграцией виртуальной сети, что приводит к снижению затрат на обслуживание, включая упрощение процесса развертывания и более надежную обработку изменений виртуальной сети.

Справочник. Частные конечные точки для Azure Data Explorer

Отключение доступа к общедоступной сети

Описание. Служба поддерживает отключение доступа к общедоступной сети с помощью правила фильтрации ACL ip-адресов на уровне службы (не NSG или Брандмауэр Azure) или с помощью переключателя "Отключить доступ к общедоступной сети". Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True Неверно Customer

Руководство по настройке. Отключите доступ к общедоступной сети с помощью правила фильтрации ACL ip-адресов уровня службы или переключателя для доступа к общедоступной сети.

Справочник. Ограничение общего доступа к кластеру Azure Data Explorer

Управление удостоверениями

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Управление удостоверениями.

IM-1: Использование централизованной системы удостоверений и проверки подлинности

Компоненты

аутентификация Azure AD требуется для доступа к плоскости данных

Описание. Служба поддерживает использование проверки подлинности Azure AD для доступа к плоскости данных. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True Неверно Customer

Руководство по настройке. Используйте Azure Active Directory (Azure AD) в качестве метода проверки подлинности по умолчанию для управления доступом к плоскости данных.

Справочник. Проверка подлинности с помощью Azure Active Directory (Azure AD) для доступа к Azure Data Explorer

Локальные методы проверки подлинности для доступа к плоскости данных

Описание: локальные методы проверки подлинности, поддерживаемые для доступа к плоскости данных, такие как локальное имя пользователя и пароль. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
Неверно Н/Д Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

IM-3: Безопасное и автоматическое управление удостоверениями приложений

Компоненты

управляемые удостоверения.

Описание. Действия плоскости данных поддерживают проверку подлинности с помощью управляемых удостоверений. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True True Microsoft

Заметки о функциях. Azure Data Explorer позволяет выполнять проверку подлинности в плоскости данных с любым удостоверением Azure Active Directory. Это означает, что поддерживаются удостоверения, управляемые системой и пользователем. Кроме того, azure Data Explorer поддерживает использование управляемых удостоверений для проверки подлинности в других службах приема и запросов. Дополнительные сведения см. в статье Обзор управляемых удостоверений.

Руководство по настройке. Дополнительные конфигурации не требуются, так как эта конфигурация включена в развертывании по умолчанию.

Справочник. Проверка подлинности Azure Active Directory

Субъекты-службы

Описание. Плоскость данных поддерживает проверку подлинности с помощью субъектов-служб. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True True Microsoft

Заметки о функциях. Azure Data Explorer поддерживает все типы удостоверений Azure Active Directory, включая субъекты-службы.

Руководство по настройке. Дополнительные конфигурации не требуются, так как эта конфигурация включена в развертывании по умолчанию.

Справочник. Проверка подлинности Azure Active Directory с помощью приложения

IM-7: Ограничение доступа к ресурсам на основе условий

Компоненты

Условный доступ для плоскости данных

Описание. Доступом к плоскости данных можно управлять с помощью Azure AD политик условного доступа. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True Неверно Customer

Руководство по настройке. Определите применимые условия и критерии условного доступа Azure Active Directory (Azure AD) в рабочей нагрузке. Рассмотрим распространенные варианты использования, такие как блокировка или предоставление доступа из определенных расположений, блокирование рискованного поведения при входе или требование устройств, управляемых организацией, для определенных приложений.

Справка. Условный доступ с помощью Azure Data Explorer

IM-8: ограничение раскрытия учетных данных и секретов

Компоненты

Учетные данные и секреты службы поддерживают интеграцию и хранение в Azure Key Vault

Описание. Плоскость данных поддерживает собственное использование azure Key Vault для хранилища учетных данных и секретов. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
Неверно Н/Д Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Привилегированный доступ

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Privileged Access( Привилегированный доступ).

PA-1. Изолируйте и ограничивайте число пользователей с высокими привилегиями и правами администратора

Компоненты

Локальные учетные записи Администратор

Описание. Служба имеет концепцию локальной административной учетной записи. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
Неверно Н/Д Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

PA-7. Следуйте принципу администрирования с предоставлением минимальных прав

Компоненты

Azure RBAC для плоскости данных

Описание. Azure Role-Based контроль доступа (Azure RBAC) можно использовать для управляемого доступа к действиям уровня данных службы. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
Неверно Н/Д Н/Д

Заметки о функциях. Azure Data Explorer позволяет управлять доступом к плоскости данных (базам данных и таблицам) с помощью модели управления доступом на основе ролей. По этой модели субъекты (пользователи, группы и приложения) сопоставляются с ролями. Субъекты могут получить доступ к ресурсам в соответствии со своими назначенными ролями. Однако плоскость данных Azure Data Explorer отделяется от Azure RBAC для уровня управления.

См. раздел Управление разрешениями базы данных azure Data Explorer

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

PA-8. Определение процесса доступа для поддержки поставщиков облачных служб

Компоненты

Защищенное хранилище клиента

Описание. Защищенное хранилище можно использовать для доступа к службе поддержки Майкрософт. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True True Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как эта конфигурация включена в развертывании по умолчанию.

Защита данных

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Защита данных.

DP-1. Обнаружение, классификация конфиденциальных данных и добавление к ним тегов

Компоненты

Обнаружение и классификация конфиденциальных данных

Описание. Средства (например, Azure Purview или Azure Information Protection) можно использовать для обнаружения и классификации данных в службе. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True Неверно Customer

Заметки о функциях. Data Explorer Azure поддерживается в Microsoft Purview.

Руководство по настройке. Data Explorer Azure поддерживается в Microsoft Purview. Azure Purview можно использовать для сканирования, классификации и маркировки любых конфиденциальных данных, находящихся в Azure Data Explorer.

DP-2: отслеживание аномалий и угроз, нацеленных на конфиденциальные данные

Компоненты

Защита от утечки и потери данных

Описание: служба поддерживает решение защиты от потери данных для отслеживания перемещения конфиденциальных данных (в содержимом клиента). Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True Неверно Customer

Руководство по настройке. Ограничение исходящего доступа к кластеру важно для снижения рисков, таких как кража данных. Злоумышленник может создать внешнюю таблицу для учетной записи хранения и извлечь большие объемы данных. Вы можете управлять исходящим доступом на уровне кластера, определив политики внешних вызовов. Управление политиками внешних вызовов позволяет разрешить исходящий доступ к указанным SQL, хранилищу или другим конечным точкам.

Справочник. Ограничение исходящего доступа из кластера Azure Data Explorer

DP-3: шифрование передаваемых конфиденциальных данных

Компоненты

Данные в транзитном шифровании

Описание. Служба поддерживает шифрование передаваемых данных для плоскости данных. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True True Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как эта конфигурация включена в развертывании по умолчанию.

DP-4: включение шифрования неактивных данных по умолчанию

Компоненты

Шифрование неактивных данных с помощью ключей платформы

Описание. Поддерживается шифрование неактивных данных с помощью ключей платформы. Любое неактивное содержимое клиента шифруется с помощью этих ключей, управляемых корпорацией Майкрософт. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True True Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как эта конфигурация включена в развертывании по умолчанию.

Справочник. Шифрование данных в Azure Data Explorer

DP-5: использование ключа, управляемого клиентом, для шифрования неактивных данных при необходимости

Компоненты

Шифрование неактивных данных с помощью CMK

Описание. Шифрование неактивных данных с помощью ключей, управляемых клиентом, поддерживается для содержимого клиента, хранящегося службой. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True Неверно Customer

Руководство по настройке. Для дополнительного управления ключами шифрования можно предоставить управляемые клиентом ключи для шифрования данных. Вы можете управлять шифрованием данных на уровне хранилища с помощью собственных ключей. Ключ, управляемый клиентом, применяется для защиты и контроля доступа к корневому ключу шифрования, который используется для шифрования и расшифровки всех данных. Ключи, управляемые клиентом, обеспечивают большую гибкость при создании, смене, отключении и отзыве контроля доступа, Они также дают возможность выполнять аудит ключей шифрования, используемых для защиты ваших данных.

Справочник. Шифрование с помощью настройки ключей, управляемых клиентом

DP-7: безопасное управление сертификатами

Компоненты

Управление сертификатами в Azure Key Vault

Описание. Служба поддерживает интеграцию Azure Key Vault для любых сертификатов клиентов. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
Неверно Н/Д Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Управление ресурсами

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Управление ресурсами.

AM-2: использование только утвержденных служб

Компоненты

Поддержка службы "Политика Azure"

Описание. Конфигурации служб можно отслеживать и применять с помощью Политика Azure. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True Неверно Customer

Руководство по настройке. Используйте Microsoft Defender для облака, чтобы настроить Политика Azure для аудита и принудительного применения конфигураций ресурсов Azure. Воспользуйтесь Azure Monitor, чтобы создавать оповещения при обнаружении отклонений в ресурсах. Используйте Политика Azure эффекты [запрет] и [развертывание, если не существует], чтобы обеспечить безопасную конфигурацию в ресурсах Azure.

Справка. Политика Azure средства контроля соответствия нормативным требованиям для Azure Data Explorer

Ведение журнала и обнаружение угроз

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Ведение журнала и обнаружение угроз.

LT-1. Включение возможностей обнаружения угроз

Компоненты

Microsoft Defender для услуг и предложений продуктов

Описание. В службе есть специальное решение для Microsoft Defender для мониторинга и оповещения о проблемах безопасности. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
Неверно Н/Д Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

LT-4: включение ведения журнала для исследования безопасности

Компоненты

Журналы ресурсов Azure

Описание. Служба создает журналы ресурсов, которые могут предоставлять расширенные метрики и ведение журнала для конкретной службы. Клиент может настроить эти журналы ресурсов и отправить их в собственный приемник данных, например в учетную запись хранения или рабочую область Log Analytics. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
True Неверно Customer

Руководство по настройке. Azure Data Explorer использует журналы диагностики для получения аналитических сведений о приеме, командах, запросах и таблицах. Вы можете экспортировать журналы операций в службу хранилища Azure, концентратор событий или Log Analytics для мониторинга состояния приема данных, команд и запросов. Журналы из службы хранилища Azure и концентратора событий Azure можно направить в таблицу в кластере Azure Data Explorer для дальнейшего анализа.

Справочник. Мониторинг приема, команд, запросов и таблиц Azure Data Explorer с помощью журналов диагностики

резервное копирование и восстановление

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Backup and recovery (Производительность производительности облачной безопасности Майкрософт: резервное копирование и восстановление).

BR-1: обеспечение регулярного автоматического резервного копирования

Компоненты

Azure Backup

Описание. Резервная копия службы может выполняться службой Azure Backup. Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
Неверно Н/Д Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Возможность резервного копирования в собственном коде службы

Описание. Служба поддерживает собственную возможность резервного копирования (если не используется Azure Backup). Подробнее.

Поддерживается Включено по умолчанию Ответственность за настройку
Неверно Н/Д Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Дальнейшие действия