Сведения о встроенной инициативе по соответствию нормативным требованиям nL BIO Cloud Theme

В следующей статье описано, как Политика Azure встроенное определение инициативы соответствия нормативным требованиям сопоставляется с доменами соответствия и элементами управления в NL BIO Cloud Theme. Дополнительные сведения об этом стандарте соответствия см. в статье NL BIO Cloud Theme. Сведения о термине Ответственность см. в статьях Определение службы "Политика Azure" и Разделение ответственности в облаке.

Следующие сопоставления относятся к элементам управления NL BIO Cloud Theme . Многие элементы управления реализуются с помощью определения инициативы Политики Azure. Чтобы просмотреть полное определение инициативы, откройте раздел Политика на портале Azure и перейдите на страницу Определения. Затем найдите и выберите встроенное определение инициативы NL BIO Cloud Theme Compliance.

Внимание

Каждый элемент управления ниже связан с одним или несколькими определениями Политики Azure. Такие политики помогут вам в оценке соответствия с помощью элементов управления, но часто полное или точное соответствие между элементом управления и одной или несколькими политиками отсутствует. Поэтому состояние Совместимый в Политике Azure применимо только к самим определениям политики и не означает полное соответствие всем требованиям элемента управления. Кроме того, стандарт соответствия включает элементы управления, на которые сейчас не распространяются определения Политики Azure. Следовательно, сведения о соответствии в Политике Azure — это только частичное представление общего состояния соответствия. Связи между областями соответствия нормативным требованиям, элементами управления и определениями Политики Azure для этого стандарта соответствия со временем могут меняться. Историю изменений можно просмотреть на странице журнала фиксаций в GitHub.

Законы и правила B.01.3 — юридические, нормативные, нормативные требования

Определены требования, применимые к CSC, возникающие в соответствии с законами и правилами.

Идентификатор: NL BIO Cloud Theme B.01.3 Ownership: Customer

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Допустимые расположения	Эта политика позволяет ограничить расположения, которые ваша организация может указать при развертывании ресурсов. Используется для соблюдения географических требований. Исключает группы ресурсов, каталоги Microsoft.AzureActiveDirectory/b2cDirectories и ресурсы, в которых используется "глобальный" регион.	запретить	1.0.0
Разрешенные расположения для групп ресурсов	Эта политика позволяет ограничить расположения, которые ваша организация может указать при создании групп ресурсов. Используется для соблюдения географических требований.	запретить	1.0.0

B.09.1 Конфиденциальность и защита персональных данных — аспекты и этапы безопасности

Были приняты меры по обеспечению доступности, целостности и конфиденциальности.

Идентификатор: NL BIO Cloud Theme B.09.1 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Использование только безопасных подключений к Кэшу Azure для Redis	Аудит активации только подключений по протоколу SSL к кэшу Azure для Redis. Использование безопасных подключений обеспечивает проверку подлинности между сервером и службой, а также защищает переносимые данные от атак сетевого уровня, таких как "злоумышленник в середине", прослушивание трафика и перехват сеанса.	Audit, Deny, Disabled	1.0.0
Должно выполняться безопасное перемещение в учетные записи хранения	Настройка требования выполнять аудит для безопасного переноса в учетную запись хранения. Безопасная передача данных — это параметр, при включении которого ваша учетная запись хранения принимает запросы только с безопасных подключений (HTTPS). Протокол HTTPS обеспечивает проверку подлинности между сервером и службой, а также защищает перемещаемые данные от атак сетевого уровня, таких как "злоумышленник в середине", прослушивание трафика и перехват сеанса.	Audit, Deny, Disabled	2.0.0

Организация безопасности B.10.2 — функция безопасности

Функция безопасности обеспечивает упреждаемую поддержку.

Идентификатор: NL BIO Cloud Theme B.10.2 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Подписке должно быть назначено не более 3 владельцев	Мы рекомендуем назначать подписке не более трех владельцев, чтобы снизить вероятность нарушения безопасности при компрометации владельца.	AuditIfNotExists, Disabled	3.0.0
Подписке должно быть назначено более одного владельца	Мы рекомендуем назначить более одного владельца подписки, чтобы обеспечить избыточность для административного доступа.	AuditIfNotExists, Disabled	3.0.0

Организация безопасности B.10.3 — организационная позиция

CSP предоставил организации информационной безопасности официальную позицию всей организации.

Идентификатор: NL BIO Cloud Theme B.10.3 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Подписке должно быть назначено не более 3 владельцев	Мы рекомендуем назначать подписке не более трех владельцев, чтобы снизить вероятность нарушения безопасности при компрометации владельца.	AuditIfNotExists, Disabled	3.0.0
Подписке должно быть назначено более одного владельца	Мы рекомендуем назначить более одного владельца подписки, чтобы обеспечить избыточность для административного доступа.	AuditIfNotExists, Disabled	3.0.0

Организация безопасности B.10.4 — задачи, обязанности и полномочия

CSP описал обязанности по информационной безопасности и назначил их определенным сотрудникам.

Идентификатор: NL BIO Cloud Theme B.10.4 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Подписке должно быть назначено не более 3 владельцев	Мы рекомендуем назначать подписке не более трех владельцев, чтобы снизить вероятность нарушения безопасности при компрометации владельца.	AuditIfNotExists, Disabled	3.0.0
Подписке должно быть назначено более одного владельца	Мы рекомендуем назначить более одного владельца подписки, чтобы обеспечить избыточность для административного доступа.	AuditIfNotExists, Disabled	3.0.0

C.04.3 Technical управление уязвимостями — временная шкала

Если вероятность злоупотреблений и ожидаемого ущерба высока, исправления устанавливаются не позднее чем через неделю.

Идентификатор: NL BIO Cloud Theme C.04.3 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Необходимо включить решение для оценки уязвимостей на виртуальных машинах	Осуществляет аудит виртуальных машин, чтобы определить, работает ли на них поддерживаемое решение для оценки уязвимостей. Основным компонентом каждой программы безопасности и защиты от киберрисков является идентификация и анализ уязвимостей. Ценовая категория "Стандартный" Центра безопасности Azure предоставляет возможность выполнять проверку уязвимостей виртуальных машин без дополнительных затрат. Кроме того, Центр безопасности может автоматически развернуть этот инструмент.	AuditIfNotExists, Disabled	3.0.0
Приложения Службы приложений должны использовать последнюю версию HTTP	Для HTTP периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для веб-приложений рекомендуется использовать последнюю версию HTTP.	AuditIfNotExists, Disabled	4.0.0
Служба приложений приложения, использующие Java, должны использовать указанную версию Java.	Для программного обеспечения Java периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Использовать последнюю версию Java для приложений Служба приложений рекомендуется, чтобы воспользоваться преимуществами исправлений безопасности, если таковые имеются, и (или) новых функциональных возможностей последней версии. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию Java, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	3.1.0
Служба приложений приложения, использующие PHP, должны использовать указанную версию PHP.	Для программного обеспечения PHP периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для приложений Службы приложений рекомендуется использовать последнюю версию PHP. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию PHP, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	3.2.0
Служба приложений приложения, использующие Python, должны использовать указанную версию Python.	Для программного обеспечения Python периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для приложений Службы приложений рекомендуется использовать последнюю версию Python. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию Python, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	4.1.0
Azure Defender для Службы приложений должен быть включен	Azure Defender для Службы приложений использует масштаб облака, а также видимость, характерную для Azure как поставщика облачных служб, для отслеживания распространенных атак на веб-приложения.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для серверов Базы данных SQL Azure должен быть включен	Azure Defender для SQL предоставляет возможности для выявления и устранения потенциальных уязвимостей баз данных, обнаружения необычных действий, которые могут представлять угрозу в базах данных SQL, а также для определения и классификации конфиденциальных данных.	AuditIfNotExists, Disabled	1.0.2
Azure Defender для Key Vault должен быть включен	Azure Defender для Key Vault обеспечивает дополнительный уровень защиты в виде механизма обнаружения угроз, который позволяет выявить необычные и потенциально опасные попытки получения и использования учетных записей хранилища ключей.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для Resource Manager должен быть включен	Azure Defender для Resource Manager автоматически отслеживает операции управления ресурсами в организации. Azure Defender обнаруживает угрозы и предупреждает о подозрительных действиях. Дополнительные сведения о возможностях Azure Defender для Resource Manager: https://aka.ms/defender-for-resource-manager. Включение этого плана Azure Defender подразумевает определенные расходы. Подробно о ценах для каждого региона см. на странице цен Центра безопасности: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender для серверов должен быть включен	Azure Defender для серверов обеспечивает защиту рабочих нагрузок сервера в реальном времени и создает рекомендации по улучшению безопасности, а также оповещения о подозрительных действиях.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для серверов SQL на компьютерах должен быть включен	Azure Defender для SQL предоставляет возможности для выявления и устранения потенциальных уязвимостей баз данных, обнаружения необычных действий, которые могут представлять угрозу в базах данных SQL, а также для определения и классификации конфиденциальных данных.	AuditIfNotExists, Disabled	1.0.2
В масштабируемых наборах виртуальных машин должно быть установлено решение Endpoint Protection	Аудит наличия и работоспособности решения защиты конечных точек в ваших масштабируемых наборах виртуальных машин для защиты их от угроз и уязвимостей.	AuditIfNotExists, Disabled	3.0.0
Приложения-функции должны использовать последнюю версию HTTP	Для HTTP периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для веб-приложений рекомендуется использовать последнюю версию HTTP.	AuditIfNotExists, Disabled	4.0.0
Приложения-функции, использующие Java, должны использовать указанную версию Java.	Для программного обеспечения Java периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для приложений-функций рекомендуется использовать последнюю версию Java. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию Java, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	3.1.0
Приложения-функции, использующие Python, должны использовать указанную версию Python.	Для программного обеспечения Python периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для приложений-функций рекомендуется использовать последнюю версию Python. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию Python, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	4.1.0
Службы Kubernetes должны быть обновлены до версии с устраненными уязвимостями	Обновите версию службы Kubernetes своего кластера, чтобы получить защиту от известных уязвимостей текущей версии. Уязвимость CVE-2019-9946 исправлена в Kubernetes версий 1.11.9+, 1.12.7+, 1.13.5+ и 1.14.0+.	Audit, Disabled	1.0.2
Microsoft Defender для контейнеров должен быть включен	Microsoft Defender для контейнеров обеспечивает повышение надежности, оценку уязвимостей и защиту во время выполнения для сред Azure, гибридных сред и сред Kubernetes в нескольких облаках.	AuditIfNotExists, Disabled	1.0.0
Необходимо включить Microsoft Defender для службы хранилища	Microsoft Defender для служба хранилища обнаруживает потенциальные угрозы для учетных записей хранения. Это помогает предотвратить три основных воздействия на данные и рабочую нагрузку: вредоносные отправки файлов, кражу конфиденциальных данных и повреждение данных. Новый план Defender для служба хранилища включает сканирование вредоносных программ и обнаружение угроз конфиденциальных данных. Этот план также предоставляет прогнозируемую структуру ценообразования (для каждой учетной записи хранения) для контроля над покрытием и затратами.	AuditIfNotExists, Disabled	1.0.0
Мониторинг отсутствия Endpoint Protection в Центре безопасности Azure	Серверы без установленного агента Endpoint Protection будут отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	3.0.0
Уязвимости, обнаруженные в базах данных SQL, должны быть устранены	Мониторинг результатов оценки уязвимостей и рекомендации по исправлению уязвимостей баз данных.	AuditIfNotExists, Disabled	4.1.0
В масштабируемых наборах виртуальных машин должны быть установлены обновления системы	Аудит отсутствия обновлений для системы безопасности и критических обновлений, которые необходимо установить для защиты ваших масштабируемых наборов виртуальных машин с Windows и Linux.	AuditIfNotExists, Disabled	3.0.0
На компьютерах должны быть установлены обновления системы	Отсутствие обновлений системы безопасности на серверах будет отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	4.0.0
Уязвимости конфигурации безопасности на ваших компьютерах должны быть устранены	Серверы, не соответствующие заданным базовым показателям, будут отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	3.1.0
Уязвимости в конфигурации безопасности в масштабируемом наборе виртуальных машин должны быть устранены.	Аудит наличия уязвимостей ОС в ваших масштабируемых наборах виртуальных машин для защиты их от атак.	AuditIfNotExists, Disabled	3.0.0
В рабочих областях Synapse должна быть включена оценка уязвимостей	Обнаруживайте, отслеживайте и устраняйте потенциальные уязвимости, настроив регулярную оценку уязвимостей SQL для рабочих областей Synapse.	AuditIfNotExists, Disabled	1.0.0
На компьютерах должны быть включены функции Exploit Guard в Microsoft Defender	Exploit Guard в Microsoft Defender использует агент гостевой конфигурации Политики Azure. Exploit Guard состоит из четырех компонентов, которые предназначены для блокировки устройств с целью защиты от разнообразных векторов атак и блокируют поведение, которое присуще атакам с использованием вредоносных программ, позволяя организациям сбалансировать риски, связанные с угрозами безопасности, и требования к производительности (только для Windows).	AuditIfNotExists, Disabled	2.0.0

C.04.6 Technical управление уязвимостями — временная шкала

Технические недостатки можно устранить, своевременно выполняя управление исправлениями.

Идентификатор: NL BIO Cloud Theme C.04.6 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Необходимо включить решение для оценки уязвимостей на виртуальных машинах	Осуществляет аудит виртуальных машин, чтобы определить, работает ли на них поддерживаемое решение для оценки уязвимостей. Основным компонентом каждой программы безопасности и защиты от киберрисков является идентификация и анализ уязвимостей. Ценовая категория "Стандартный" Центра безопасности Azure предоставляет возможность выполнять проверку уязвимостей виртуальных машин без дополнительных затрат. Кроме того, Центр безопасности может автоматически развернуть этот инструмент.	AuditIfNotExists, Disabled	3.0.0
Приложения Службы приложений должны использовать последнюю версию HTTP	Для HTTP периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для веб-приложений рекомендуется использовать последнюю версию HTTP.	AuditIfNotExists, Disabled	4.0.0
Служба приложений приложения, использующие Java, должны использовать указанную версию Java.	Для программного обеспечения Java периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Использовать последнюю версию Java для приложений Служба приложений рекомендуется, чтобы воспользоваться преимуществами исправлений безопасности, если таковые имеются, и (или) новых функциональных возможностей последней версии. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию Java, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	3.1.0
Служба приложений приложения, использующие PHP, должны использовать указанную версию PHP.	Для программного обеспечения PHP периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для приложений Службы приложений рекомендуется использовать последнюю версию PHP. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию PHP, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	3.2.0
Служба приложений приложения, использующие Python, должны использовать указанную версию Python.	Для программного обеспечения Python периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для приложений Службы приложений рекомендуется использовать последнюю версию Python. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию Python, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	4.1.0
Azure Defender для Службы приложений должен быть включен	Azure Defender для Службы приложений использует масштаб облака, а также видимость, характерную для Azure как поставщика облачных служб, для отслеживания распространенных атак на веб-приложения.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для серверов Базы данных SQL Azure должен быть включен	Azure Defender для SQL предоставляет возможности для выявления и устранения потенциальных уязвимостей баз данных, обнаружения необычных действий, которые могут представлять угрозу в базах данных SQL, а также для определения и классификации конфиденциальных данных.	AuditIfNotExists, Disabled	1.0.2
Azure Defender для Key Vault должен быть включен	Azure Defender для Key Vault обеспечивает дополнительный уровень защиты в виде механизма обнаружения угроз, который позволяет выявить необычные и потенциально опасные попытки получения и использования учетных записей хранилища ключей.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для Resource Manager должен быть включен	Azure Defender для Resource Manager автоматически отслеживает операции управления ресурсами в организации. Azure Defender обнаруживает угрозы и предупреждает о подозрительных действиях. Дополнительные сведения о возможностях Azure Defender для Resource Manager: https://aka.ms/defender-for-resource-manager. Включение этого плана Azure Defender подразумевает определенные расходы. Подробно о ценах для каждого региона см. на странице цен Центра безопасности: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender для серверов должен быть включен	Azure Defender для серверов обеспечивает защиту рабочих нагрузок сервера в реальном времени и создает рекомендации по улучшению безопасности, а также оповещения о подозрительных действиях.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для серверов SQL на компьютерах должен быть включен	Azure Defender для SQL предоставляет возможности для выявления и устранения потенциальных уязвимостей баз данных, обнаружения необычных действий, которые могут представлять угрозу в базах данных SQL, а также для определения и классификации конфиденциальных данных.	AuditIfNotExists, Disabled	1.0.2
Машинное обучение Azure вычислительных экземпляров необходимо повторно создать, чтобы получить последние обновления программного обеспечения	Убедитесь, что Машинное обучение Azure вычислительные экземпляры выполняются в последней доступной операционной системе. Безопасность улучшается, а уязвимости сокращаются за счет выполнения последних исправлений безопасности. Дополнительные сведения см. на странице https://aka.ms/azureml-ci-updates/.	[parameters('effects')]	1.0.3
В масштабируемых наборах виртуальных машин должно быть установлено решение Endpoint Protection	Аудит наличия и работоспособности решения защиты конечных точек в ваших масштабируемых наборах виртуальных машин для защиты их от угроз и уязвимостей.	AuditIfNotExists, Disabled	3.0.0
Приложения-функции должны использовать последнюю версию HTTP	Для HTTP периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для веб-приложений рекомендуется использовать последнюю версию HTTP.	AuditIfNotExists, Disabled	4.0.0
Приложения-функции, использующие Java, должны использовать указанную версию Java.	Для программного обеспечения Java периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для приложений-функций рекомендуется использовать последнюю версию Java. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию Java, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	3.1.0
Приложения-функции, использующие Python, должны использовать указанную версию Python.	Для программного обеспечения Python периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для приложений-функций рекомендуется использовать последнюю версию Python. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию Python, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	4.1.0
Службы Kubernetes должны быть обновлены до версии с устраненными уязвимостями	Обновите версию службы Kubernetes своего кластера, чтобы получить защиту от известных уязвимостей текущей версии. Уязвимость CVE-2019-9946 исправлена в Kubernetes версий 1.11.9+, 1.12.7+, 1.13.5+ и 1.14.0+.	Audit, Disabled	1.0.2
Microsoft Defender для контейнеров должен быть включен	Microsoft Defender для контейнеров обеспечивает повышение надежности, оценку уязвимостей и защиту во время выполнения для сред Azure, гибридных сред и сред Kubernetes в нескольких облаках.	AuditIfNotExists, Disabled	1.0.0
Необходимо включить Microsoft Defender для службы хранилища	Microsoft Defender для служба хранилища обнаруживает потенциальные угрозы для учетных записей хранения. Это помогает предотвратить три основных воздействия на данные и рабочую нагрузку: вредоносные отправки файлов, кражу конфиденциальных данных и повреждение данных. Новый план Defender для служба хранилища включает сканирование вредоносных программ и обнаружение угроз конфиденциальных данных. Этот план также предоставляет прогнозируемую структуру ценообразования (для каждой учетной записи хранения) для контроля над покрытием и затратами.	AuditIfNotExists, Disabled	1.0.0
Мониторинг отсутствия Endpoint Protection в Центре безопасности Azure	Серверы без установленного агента Endpoint Protection будут отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	3.0.0
Уязвимости, обнаруженные в базах данных SQL, должны быть устранены	Мониторинг результатов оценки уязвимостей и рекомендации по исправлению уязвимостей баз данных.	AuditIfNotExists, Disabled	4.1.0
В масштабируемых наборах виртуальных машин должны быть установлены обновления системы	Аудит отсутствия обновлений для системы безопасности и критических обновлений, которые необходимо установить для защиты ваших масштабируемых наборов виртуальных машин с Windows и Linux.	AuditIfNotExists, Disabled	3.0.0
На компьютерах должны быть установлены обновления системы	Отсутствие обновлений системы безопасности на серверах будет отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	4.0.0
Уязвимости конфигурации безопасности на ваших компьютерах должны быть устранены	Серверы, не соответствующие заданным базовым показателям, будут отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	3.1.0
Уязвимости в конфигурации безопасности в масштабируемом наборе виртуальных машин должны быть устранены.	Аудит наличия уязвимостей ОС в ваших масштабируемых наборах виртуальных машин для защиты их от атак.	AuditIfNotExists, Disabled	3.0.0
На компьютерах должны быть включены функции Exploit Guard в Microsoft Defender	Exploit Guard в Microsoft Defender использует агент гостевой конфигурации Политики Azure. Exploit Guard состоит из четырех компонентов, которые предназначены для блокировки устройств с целью защиты от разнообразных векторов атак и блокируют поведение, которое присуще атакам с использованием вредоносных программ, позволяя организациям сбалансировать риски, связанные с угрозами безопасности, и требования к производительности (только для Windows).	AuditIfNotExists, Disabled	2.0.0

C.04.7 Technical управление уязвимостями — оценено

Оценки технических уязвимостей записываются и сообщаются.

Идентификатор: NL BIO Cloud Theme C.04.7 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Необходимо включить решение для оценки уязвимостей на виртуальных машинах	Осуществляет аудит виртуальных машин, чтобы определить, работает ли на них поддерживаемое решение для оценки уязвимостей. Основным компонентом каждой программы безопасности и защиты от киберрисков является идентификация и анализ уязвимостей. Ценовая категория "Стандартный" Центра безопасности Azure предоставляет возможность выполнять проверку уязвимостей виртуальных машин без дополнительных затрат. Кроме того, Центр безопасности может автоматически развернуть этот инструмент.	AuditIfNotExists, Disabled	3.0.0
В приложениях Службы приложений должна быть отключена удаленная отладка	Для удаленной отладки нужно, чтобы в приложении Службы приложений были открыты входящие порты. Удаленную отладку необходимо отключить.	AuditIfNotExists, Disabled	2.0.0
В приложениях Службы приложений настройка CORS не должна разрешать всем ресурсам доступ к вашим приложениям	Средства общего доступа к ресурсам независимо от источника (CORS) не должны разрешать доступ к вашему приложению всем доменам. Разрешите взаимодействие с приложением только необходимым доменам.	AuditIfNotExists, Disabled	2.0.0
Приложения Службы приложений должны использовать последнюю версию HTTP	Для HTTP периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для веб-приложений рекомендуется использовать последнюю версию HTTP.	AuditIfNotExists, Disabled	4.0.0
Служба приложений приложения, использующие Java, должны использовать указанную версию Java.	Для программного обеспечения Java периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Использовать последнюю версию Java для приложений Служба приложений рекомендуется, чтобы воспользоваться преимуществами исправлений безопасности, если таковые имеются, и (или) новых функциональных возможностей последней версии. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию Java, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	3.1.0
Служба приложений приложения, использующие PHP, должны использовать указанную версию PHP.	Для программного обеспечения PHP периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для приложений Службы приложений рекомендуется использовать последнюю версию PHP. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию PHP, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	3.2.0
Служба приложений приложения, использующие Python, должны использовать указанную версию Python.	Для программного обеспечения Python периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для приложений Службы приложений рекомендуется использовать последнюю версию Python. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию Python, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	4.1.0
Azure Defender для Службы приложений должен быть включен	Azure Defender для Службы приложений использует масштаб облака, а также видимость, характерную для Azure как поставщика облачных служб, для отслеживания распространенных атак на веб-приложения.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для серверов Базы данных SQL Azure должен быть включен	Azure Defender для SQL предоставляет возможности для выявления и устранения потенциальных уязвимостей баз данных, обнаружения необычных действий, которые могут представлять угрозу в базах данных SQL, а также для определения и классификации конфиденциальных данных.	AuditIfNotExists, Disabled	1.0.2
Azure Defender для Key Vault должен быть включен	Azure Defender для Key Vault обеспечивает дополнительный уровень защиты в виде механизма обнаружения угроз, который позволяет выявить необычные и потенциально опасные попытки получения и использования учетных записей хранилища ключей.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для Resource Manager должен быть включен	Azure Defender для Resource Manager автоматически отслеживает операции управления ресурсами в организации. Azure Defender обнаруживает угрозы и предупреждает о подозрительных действиях. Дополнительные сведения о возможностях Azure Defender для Resource Manager: https://aka.ms/defender-for-resource-manager. Включение этого плана Azure Defender подразумевает определенные расходы. Подробно о ценах для каждого региона см. на странице цен Центра безопасности: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender для серверов должен быть включен	Azure Defender для серверов обеспечивает защиту рабочих нагрузок сервера в реальном времени и создает рекомендации по улучшению безопасности, а также оповещения о подозрительных действиях.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для серверов SQL на компьютерах должен быть включен	Azure Defender для SQL предоставляет возможности для выявления и устранения потенциальных уязвимостей баз данных, обнаружения необычных действий, которые могут представлять угрозу в базах данных SQL, а также для определения и классификации конфиденциальных данных.	AuditIfNotExists, Disabled	1.0.2
В ваших кластерах должна быть установлена и включена надстройка службы "Политика Azure" для службы Kubernetes (AKS)	Надстройка службы "Политика Azure" для службы Kubernetes (AKS) расширяет возможности Gatekeeper версии 3, представляющего собой веб-перехватчик контроллера допуска для Open Policy Agent (OPA), чтобы централизованным и согласованным образом применить правила и меры безопасности для кластеров в требуемом масштабе.	Audit, Disabled	1.0.2
В масштабируемых наборах виртуальных машин должно быть установлено решение Endpoint Protection	Аудит наличия и работоспособности решения защиты конечных точек в ваших масштабируемых наборах виртуальных машин для защиты их от угроз и уязвимостей.	AuditIfNotExists, Disabled	3.0.0
В приложениях-функциях должна быть отключена удаленная отладка	Для удаленной отладки нужно, чтобы в приложениях-функциях были открыты входящие порты. Удаленную отладку необходимо отключить.	AuditIfNotExists, Disabled	2.0.0
В приложениях-функциях настройка CORS не должна разрешать всем ресурсам доступ к вашим приложениям	Средства общего доступа к ресурсам независимо от источника (CORS) не должны разрешать доступ к вашему приложению-функции всем доменам. Разрешите взаимодействие с приложением-функцией только необходимым доменам.	AuditIfNotExists, Disabled	2.0.0
Приложения-функции должны использовать последнюю версию HTTP	Для HTTP периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для веб-приложений рекомендуется использовать последнюю версию HTTP.	AuditIfNotExists, Disabled	4.0.0
Приложения-функции, использующие Java, должны использовать указанную версию Java.	Для программного обеспечения Java периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для приложений-функций рекомендуется использовать последнюю версию Java. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию Java, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	3.1.0
Приложения-функции, использующие Python, должны использовать указанную версию Python.	Для программного обеспечения Python периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для приложений-функций рекомендуется использовать последнюю версию Python. Эта политика применяется только к приложениям Linux. Эта политика требует указать версию Python, которая соответствует вашим требованиям.	AuditIfNotExists, Disabled	4.1.0
Границы ресурсов ЦП и памяти для контейнеров кластера Kubernetes не должны превышать заданные	Принудительное применение границ ресурсов ЦП и памяти контейнера, чтобы предотвратить атаки методом перебора в кластере Kubernetes. Эта политика общедоступна для службы Kubernetes (AKS) и предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	9.2.0
Контейнеры кластера Kubernetes не должны совместно использовать пространства имен идентификатора процесса узла и IPC узла	Блокировка общего доступа контейнеров объектов pod к пространству имен идентификатора хост-процесса и пространству имен IPC узла в кластере Kubernetes. Эта рекомендация является частью стандартов CIS 5.2.2 и CIS 5.2.3, которые применяются для повышения уровня безопасности сред Kubernetes. Эта политика общедоступна для службы Kubernetes (AKS) и предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	5.1.0
Контейнеры в кластере Kubernetes должны использовать только разрешенные профили AppArmor	Контейнеры должны использовать только разрешенные профили AppArmor в кластере Kubernetes. Эта политика общедоступна для службы Kubernetes (AKS) и предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	6.1.1
Контейнеры в кластере Kubernetes должны использовать только разрешенные возможности	Ограничение возможностей, чтобы сократить направления атак контейнеров в кластере Kubernetes. Эта рекомендация является частью стандартов CIS 5.2.8 и CIS 5.2.9, которые применяются для повышения уровня безопасности сред Kubernetes. Эта политика общедоступна для службы Kubernetes (AKS) и предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	6.1.0
Контейнеры в кластере Kubernetes должны использовать только разрешенные образы	Использование образов из доверенных реестров, чтобы снизить риск уязвимости кластера Kubernetes перед неизвестными угрозами, проблемами с безопасностью и вредоносными образами. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	9.2.0
Контейнеры в кластере Kubernetes должны запускаться с корневой файловой системой, доступной только для чтения	Выполнение контейнеров с доступной только для чтения корневой файловой системой для защиты от изменений во время выполнения с добавлением вредоносных двоичных файлов в переменную PATH в кластере Kubernetes. Эта политика общедоступна для службы Kubernetes (AKS) и предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	6.2.0
Тома hostPath объектов pod в кластере Kubernetes должны использовать только разрешенные пути к узлам	Ограничение подключений тома HostPath объектов pod к разрешенным путям к узлу в кластере Kubernetes. Эта политика общедоступна для службы Kubernetes (AKS) и Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	6.1.1
Объекты pod и контейнеры в кластере Kubernetes должны запускаться только с утвержденными идентификаторами пользователей и групп	Управление идентификаторами пользователей, основных групп, дополнительных групп и групп файловой системы, которые объекты pod и контейнеры могут использовать для выполнения в кластере Kubernetes. Эта политика общедоступна для службы Kubernetes (AKS) и предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	6.1.1
Объекты pod в кластере Kubernetes должны использовать только утвержденные сеть узла и диапазон портов	Ограничивает доступ pod к сети узла и допустимому диапазону портов узла в кластере Kubernetes. Эта рекомендация является частью стандарта CIS 5.2.4, который применяется для повышения уровня безопасности сред Kubernetes. Эта политика общедоступна для службы Kubernetes (AKS) и предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	6.1.0
Службы кластера Kubernetes должны прослушивать только разрешенные порты	Ограничение служб на ожидание передачи данных только через разрешенные порты для безопасного доступа к кластеру Kubernetes. Эта политика общедоступна для службы Kubernetes (AKS) и предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	8.1.0
Кластер Kubernetes не должен разрешать привилегированные контейнеры	Запрет на создание привилегированных контейнеров в кластере Kubernetes. Эта рекомендация является частью стандарта CIS 5.2.1, который применяется для повышения уровня безопасности сред Kubernetes. Эта политика общедоступна для службы Kubernetes (AKS) и предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	9.1.0
Кластеры Kubernetes должны отключить учетные данные API автоподключения	Отключите учетные данные API автоподключения, чтобы предотвратить потенциально скомпрометированный ресурс Pod для выполнения команд API в кластерах Kubernetes. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	4.1.0
Кластеры Kubernetes не должны разрешать повышение привилегий контейнеров	Запрет выполнения контейнеров с повышением привилегий до корня в кластере Kubernetes. Эта рекомендация является частью стандарта CIS 5.2.5, который применяется для повышения уровня безопасности сред Kubernetes. Эта политика общедоступна для службы Kubernetes (AKS) и предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	7.1.0
Кластеры Kubernetes не должны предоставлять функции безопасности CAP_SYS_ADMIN	Чтобы сократить направления атаки контейнеров, ограничьте возможности CAP_SYS_ADMIN в Linux. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	5.1.0
Кластеры Kubernetes не должны использовать пространство имен по умолчанию	Запретите использовать пространство имен по умолчанию в кластерах Kubernetes для защиты от несанкционированного доступа для типов ресурсов ConfigMap, Pod, Secret, Service и ServiceAccount. Дополнительные сведения см. в разделе https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	4.1.0
Службы Kubernetes должны быть обновлены до версии с устраненными уязвимостями	Обновите версию службы Kubernetes своего кластера, чтобы получить защиту от известных уязвимостей текущей версии. Уязвимость CVE-2019-9946 исправлена в Kubernetes версий 1.11.9+, 1.12.7+, 1.13.5+ и 1.14.0+.	Audit, Disabled	1.0.2
Microsoft Defender для контейнеров должен быть включен	Microsoft Defender для контейнеров обеспечивает повышение надежности, оценку уязвимостей и защиту во время выполнения для сред Azure, гибридных сред и сред Kubernetes в нескольких облаках.	AuditIfNotExists, Disabled	1.0.0
Необходимо включить Microsoft Defender для службы хранилища	Microsoft Defender для служба хранилища обнаруживает потенциальные угрозы для учетных записей хранения. Это помогает предотвратить три основных воздействия на данные и рабочую нагрузку: вредоносные отправки файлов, кражу конфиденциальных данных и повреждение данных. Новый план Defender для служба хранилища включает сканирование вредоносных программ и обнаружение угроз конфиденциальных данных. Этот план также предоставляет прогнозируемую структуру ценообразования (для каждой учетной записи хранения) для контроля над покрытием и затратами.	AuditIfNotExists, Disabled	1.0.0
Мониторинг отсутствия Endpoint Protection в Центре безопасности Azure	Серверы без установленного агента Endpoint Protection будут отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	3.0.0
Уязвимости, обнаруженные в базах данных SQL, должны быть устранены	Мониторинг результатов оценки уязвимостей и рекомендации по исправлению уязвимостей баз данных.	AuditIfNotExists, Disabled	4.1.0
В масштабируемых наборах виртуальных машин должны быть установлены обновления системы	Аудит отсутствия обновлений для системы безопасности и критических обновлений, которые необходимо установить для защиты ваших масштабируемых наборов виртуальных машин с Windows и Linux.	AuditIfNotExists, Disabled	3.0.0
На компьютерах должны быть установлены обновления системы	Отсутствие обновлений системы безопасности на серверах будет отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	4.0.0
Уязвимости конфигурации безопасности на ваших компьютерах должны быть устранены	Серверы, не соответствующие заданным базовым показателям, будут отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	3.1.0
Уязвимости в конфигурации безопасности в масштабируемом наборе виртуальных машин должны быть устранены.	Аудит наличия уязвимостей ОС в ваших масштабируемых наборах виртуальных машин для защиты их от атак.	AuditIfNotExists, Disabled	3.0.0
На компьютерах должны быть включены функции Exploit Guard в Microsoft Defender	Exploit Guard в Microsoft Defender использует агент гостевой конфигурации Политики Azure. Exploit Guard состоит из четырех компонентов, которые предназначены для блокировки устройств с целью защиты от разнообразных векторов атак и блокируют поведение, которое присуще атакам с использованием вредоносных программ, позволяя организациям сбалансировать риски, связанные с угрозами безопасности, и требования к производительности (только для Windows).	AuditIfNotExists, Disabled	2.0.0

C.04.8 Technical управление уязвимостями — оценено

Отчеты оценки содержат предложения по улучшению и обмениваются данными с руководителями и владельцами.

Идентификатор: NL BIO Cloud Theme C.04.8 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Необходимо включить решение для оценки уязвимостей на виртуальных машинах	Осуществляет аудит виртуальных машин, чтобы определить, работает ли на них поддерживаемое решение для оценки уязвимостей. Основным компонентом каждой программы безопасности и защиты от киберрисков является идентификация и анализ уязвимостей. Ценовая категория "Стандартный" Центра безопасности Azure предоставляет возможность выполнять проверку уязвимостей виртуальных машин без дополнительных затрат. Кроме того, Центр безопасности может автоматически развернуть этот инструмент.	AuditIfNotExists, Disabled	3.0.0
Мониторинг отсутствия Endpoint Protection в Центре безопасности Azure	Серверы без установленного агента Endpoint Protection будут отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	3.0.0
Уязвимости, обнаруженные в базах данных SQL, должны быть устранены	Мониторинг результатов оценки уязвимостей и рекомендации по исправлению уязвимостей баз данных.	AuditIfNotExists, Disabled	4.1.0
На компьютерах должны быть установлены обновления системы	Отсутствие обновлений системы безопасности на серверах будет отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	4.0.0
Уязвимости конфигурации безопасности на ваших компьютерах должны быть устранены	Серверы, не соответствующие заданным базовым показателям, будут отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	3.1.0

Отчеты о мониторинге безопасности C.05.5 — отслеживаемые и сообщаемые

Очевидно, что дальнейшие действия даются для улучшения предложений из аналитических отчетов.

Идентификатор: NL BIO Cloud Theme C.05.5 Ownership: Microsoft

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Для оповещений высокого уровня серьезности нужно включить уведомление по электронной почте	Чтобы настроить отправку уведомлений соответствующим специалистам о потенциальных нарушениях безопасности в одной из подписок в организации, включите уведомления по электронной почте для отправки оповещений с высоким уровнем серьезности в Центре безопасности.	AuditIfNotExists, Disabled	1.1.0
Для оповещений высокого уровня серьезности нужно включить уведомление владельца подписки по электронной почте	Чтобы настроить информирование владельцев подписки при возникновении потенциального нарушения безопасности в подписке, включите для владельцев подписок уведомления по электронной почте для отправки оповещений с высоким уровнем серьезности в Центре безопасности.	AuditIfNotExists, Disabled	2.1.0
Подписки должны содержать адрес электронной почты контактного лица по вопросам безопасности	Чтобы настроить отправку уведомлений соответствующим специалистам о потенциальных нарушениях безопасности в одной из подписок в организации, включите для контактного лица по вопросам безопасности отправку уведомлений по электронной почте в Центре безопасности.	AuditIfNotExists, Disabled	1.0.1

U.03 — службы непрерывности бизнес-процессов

Средства обработки информации должны быть реализованы с достаточной избыточностью для удовлетворения требований непрерывности.

Идентификатор: NL BIO Cloud Theme U.03 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
База данных Azure для MariaDB должна использовать геоизбыточное резервное копирование	База данных Azure для MariaDB позволяет выбрать вариант избыточности для сервера базы данных. Можно задать геоизбыточное хранилище резервных копий, в котором данные хранятся не только в том регионе, в котором размещен сервер, — они также реплицированы в парный регион для обеспечения восстановления в случае сбоя в регионе. Геоизбыточное хранилище резервных копий можно настроить только на этапе создания сервера.	Audit, Disabled	1.0.1
База данных Azure для MySQL должна использовать геоизбыточное резервное копирование	База данных Azure для MySQL позволяет выбрать вариант избыточности для сервера базы данных. Можно задать геоизбыточное хранилище резервных копий, в котором данные хранятся не только в том регионе, в котором размещен сервер, — они также реплицированы в парный регион для обеспечения восстановления в случае сбоя в регионе. Геоизбыточное хранилище резервных копий можно настроить только на этапе создания сервера.	Audit, Disabled	1.0.1
База данных Azure для PostgreSQL должна использовать геоизбыточное резервное копирование	База данных Azure для PostgreSQL позволяет выбрать вариант избыточности для сервера базы данных. Можно задать геоизбыточное хранилище резервных копий, в котором данные хранятся не только в том регионе, в котором размещен сервер, — они также реплицированы в парный регион для обеспечения восстановления в случае сбоя в регионе. Геоизбыточное хранилище резервных копий можно настроить только на этапе создания сервера.	Audit, Disabled	1.0.1

Службы непрерывности бизнес-процессов U.03.1 — избыточность

Согласованная непрерывность гарантируется достаточно логическими или физически несколькими системными функциями.

Идентификатор: NL BIO Cloud Theme U.03.1 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Аудит виртуальных машин без аварийного восстановления	Аудит виртуальных машин, где не настроено аварийное восстановление. Дополнительные сведения об аварийном восстановлении см. здесь: https://aka.ms/asr-doc.	auditIfNotExists	1.0.0
Необходимо включить Azure Backup для Виртуальных машин	Обеспечьте защиту виртуальных машин Azure, включив Azure Backup — Azure Backup — это безопасное и экономичное решение для защиты данных в Azure.	AuditIfNotExists, Disabled	3.0.0

Службы непрерывности бизнес-процессов U.03.2 — требования к непрерывности

Требования к непрерывности облачных служб, согласованные с CSC, обеспечиваются системной архитектурой.

Идентификатор: NL BIO Cloud Theme U.03.2 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Аудит виртуальных машин без аварийного восстановления	Аудит виртуальных машин, где не настроено аварийное восстановление. Дополнительные сведения об аварийном восстановлении см. здесь: https://aka.ms/asr-doc.	auditIfNotExists	1.0.0
Необходимо включить Azure Backup для Виртуальных машин	Обеспечьте защиту виртуальных машин Azure, включив Azure Backup — Azure Backup — это безопасное и экономичное решение для защиты данных в Azure.	AuditIfNotExists, Disabled	3.0.0

U.04.1 Data and Cloud Service Recovery — функция восстановления

Данные и облачные службы восстанавливаются в течение согласованного периода и максимальной потери данных и становятся доступными для CSC.

Идентификатор: NL BIO Cloud Theme U.04.1 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Аудит виртуальных машин без аварийного восстановления	Аудит виртуальных машин, где не настроено аварийное восстановление. Дополнительные сведения об аварийном восстановлении см. здесь: https://aka.ms/asr-doc.	auditIfNotExists	1.0.0
В хранилищах ключей должна быть включена защита от удаления	Удаление хранилища ключей злоумышленником может привести к необратимой потере данных. Вы можете предотвратить постоянную потерю данных, включив защиту очистки и обратимое удаление. Защита от очистки позволяет оградить вас от атак злоумышленников. Для этого применяется обязательный период хранения данных для хранилищ ключей, которые были обратимо удалены. Ни корпорация Майкрософт, ни пользователи вашей организации не смогут очистить хранилища ключей во время периода хранения при обратимом удалении. Помните, что хранилища ключей, созданные после 1 сентября 2019 г., по умолчанию включают обратимое удаление.	Audit, Deny, Disabled	2.1.0
В хранилищах ключей должно быть включено обратимое удаление	Если при удалении хранилища ключей отключено обратимое удаление, все секреты, ключи и сертификаты в этом хранилище ключей удалятся без возможности восстановления. Случайное удаление хранилища ключей может привести к необратимой потере данных. Функция обратимого удаления позволяет восстановить случайно удаленное хранилище ключей с настраиваемым периодом хранения.	Audit, Deny, Disabled	3.0.0

U.04.2 Data and Cloud Service Recovery — функция восстановления

Отслеживается непрерывный процесс восстановления защиты данных.

Идентификатор: NL BIO Cloud Theme U.04.2 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Аудит виртуальных машин без аварийного восстановления	Аудит виртуальных машин, где не настроено аварийное восстановление. Дополнительные сведения об аварийном восстановлении см. здесь: https://aka.ms/asr-doc.	auditIfNotExists	1.0.0
В хранилищах ключей должна быть включена защита от удаления	Удаление хранилища ключей злоумышленником может привести к необратимой потере данных. Вы можете предотвратить постоянную потерю данных, включив защиту очистки и обратимое удаление. Защита от очистки позволяет оградить вас от атак злоумышленников. Для этого применяется обязательный период хранения данных для хранилищ ключей, которые были обратимо удалены. Ни корпорация Майкрософт, ни пользователи вашей организации не смогут очистить хранилища ключей во время периода хранения при обратимом удалении. Помните, что хранилища ключей, созданные после 1 сентября 2019 г., по умолчанию включают обратимое удаление.	Audit, Deny, Disabled	2.1.0
В хранилищах ключей должно быть включено обратимое удаление	Если при удалении хранилища ключей отключено обратимое удаление, все секреты, ключи и сертификаты в этом хранилище ключей удалятся без возможности восстановления. Случайное удаление хранилища ключей может привести к необратимой потере данных. Функция обратимого удаления позволяет восстановить случайно удаленное хранилище ключей с настраиваемым периодом хранения.	Audit, Deny, Disabled	3.0.0

U.04.3 Data and Cloud Service Recovery — протестировано

Функционирование функций восстановления периодически проверяется и результаты совместно используются для CSC.

Идентификатор: NL BIO Cloud Theme U.04.3 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Аудит виртуальных машин без аварийного восстановления	Аудит виртуальных машин, где не настроено аварийное восстановление. Дополнительные сведения об аварийном восстановлении см. здесь: https://aka.ms/asr-doc.	auditIfNotExists	1.0.0
В хранилищах ключей должна быть включена защита от удаления	Удаление хранилища ключей злоумышленником может привести к необратимой потере данных. Вы можете предотвратить постоянную потерю данных, включив защиту очистки и обратимое удаление. Защита от очистки позволяет оградить вас от атак злоумышленников. Для этого применяется обязательный период хранения данных для хранилищ ключей, которые были обратимо удалены. Ни корпорация Майкрософт, ни пользователи вашей организации не смогут очистить хранилища ключей во время периода хранения при обратимом удалении. Помните, что хранилища ключей, созданные после 1 сентября 2019 г., по умолчанию включают обратимое удаление.	Audit, Deny, Disabled	2.1.0
В хранилищах ключей должно быть включено обратимое удаление	Если при удалении хранилища ключей отключено обратимое удаление, все секреты, ключи и сертификаты в этом хранилище ключей удалятся без возможности восстановления. Случайное удаление хранилища ключей может привести к необратимой потере данных. Функция обратимого удаления позволяет восстановить случайно удаленное хранилище ключей с настраиваемым периодом хранения.	Audit, Deny, Disabled	3.0.0

Защита данных U.05.1 — криптографические меры

Транспорт данных защищается с помощью криптографии, где управление ключами выполняется самим CSC, если это возможно.

Идентификатор: NL BIO Cloud Theme U.05.1 Ответственность: Клиент

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Приложения Службы приложений Azure должны быть доступны только по протоколу HTTPS	Использование HTTPS обеспечивает проверку подлинности сервера и служб, а также защищает передаваемые данные от перехвата на сетевом уровне.	Audit, Disabled, Deny	4.0.0
Приложения Службы приложений должны требовать только FTPS	Включите принудительное использование FTPS для повышения безопасности.	AuditIfNotExists, Disabled	3.0.0
Приложения Службы приложений должны использовать последнюю версию TLS	Периодически новые версии выпускаются для TLS из-за недостатков безопасности, включают дополнительные функциональные возможности и повышают скорость. Обновите последнюю версию TLS для приложений Служба приложений, чтобы воспользоваться преимуществами исправлений безопасности, если таковые имеются и (или) новые функции последней версии.	AuditIfNotExists, Disabled	2.0.1
Для пулов пакетной службы Azure должно быть включено шифрование дисков	Включение шифрования дисков для пакетной службы Azure гарантирует, что данные в вычислительном узле пакетной службы Azure всегда шифруются в неактивном виде. Дополнительные сведения о шифровании дисков в пакетной службе см. на странице https://docs.microsoft.com/azure/batch/disk-encryption.	Audit, Disabled, Deny	1.0.0
Для устройств Центра оборудования Azure для граничных вычислений должна быть включена поддержка двойного шифрования	Убедитесь, что для устройств, заказанных в Центре оборудования Azure для граничных вычислений, включена поддержка двойного шифрования. Это необходимо для защиты неактивных данных на устройствах. Этот параметр добавляет второй уровень шифрования данных.	Audit, Deny, Disabled	2.0.0
В Azure Front Door (цен. категория "Стандартный" и "Премиум") следует использовать версию TLS 1.2 в качестве минимальной	Задав в качестве минимальной версию TLS 1.2, вы усилите защиту, сделав личные домены доступными только с клиентов, использующих TLS 1.2 или более новую версию. Использование версий TLS ранее 1.2 не рекомендуется, так как они слабы и не поддерживают современные алгоритмы шифрования.	Audit, Deny, Disabled	1.0.0
Кластеры Azure HDInsight должны использовать шифрование при передаче для шифрования обмена данными между узлами кластеров Azure HDInsight	Данные могут быть изменены во время передачи между узлами кластеров Azure HDInsight. Включение шифрования при передаче устраняет проблемы несанкционированного использования и незаконного изменения данных во время передачи.	Audit, Deny, Disabled	1.0.0
База данных SQL Azure должна использовать TLS 1.2 или более поздней версии	Задав версию TLS 1.2 или более новую, вы усилите защиту, сделав Базу данных SQL Azure доступной только с клиентов, использующих TLS 1.2 или более поздней версии. Применение версий, предшествующих TLS 1.2, не рекомендуется, так как у них есть хорошо задокументированные уязвимости.	Audit, Disabled, Deny	2.0.0
Для серверов баз данных MySQL должно быть включено принудительное использование SSL-соединения	База данных Azure для MySQL поддерживает подключение сервера базы данных Azure для MySQL к клиентским приложениям с помощью протокола SSL (Secure Sockets Layer). Принудительное использование SSL-соединений между сервером базы данных и клиентскими приложениями помогает обеспечить защиту от атак "злоумышленник в середине" за счет шифрования потока данных между сервером и приложением. Эта конфигурация обеспечивает постоянную поддержку протокола SSL для доступа к серверу базы данных.	Audit, Disabled	1.0.1
Для серверов баз данных PostgreSQL должно быть включено принудительное использование SSL-соединения	База данных Azure для PostgreSQL поддерживает подключение сервера Базы данных Azure для PostgreSQL к клиентским приложениям с помощью протокола SSL (Secure Sockets Layer). Принудительное использование SSL-соединений между сервером базы данных и клиентскими приложениями помогает обеспечить защиту от атак "злоумышленник в середине" за счет шифрования потока данных между сервером и приложением. Эта конфигурация обеспечивает постоянную поддержку протокола SSL для доступа к серверу базы данных.	Audit, Disabled	1.0.1
Приложения-функции должны быть доступны только по протоколу HTTPS	Использование HTTPS обеспечивает проверку подлинности сервера и служб, а также защищает передаваемые данные от перехвата на сетевом уровне.	Audit, Disabled, Deny	5.0.0
Приложения-функции должны требовать только FTPS	Включите принудительное использование FTPS для повышения безопасности.	AuditIfNotExists, Disabled	3.0.0
Приложения-функции должны использовать последнюю версию TLS	Периодически новые версии выпускаются для TLS из-за недостатков безопасности, включают дополнительные функциональные возможности и повышают скорость. Обновите последнюю версию TLS для приложений-функций, чтобы воспользоваться преимуществами исправлений безопасности, если таковые имеются, и (или) новые функциональные возможности последней версии.	AuditIfNotExists, Disabled	2.0.1
Кластеры Kubernetes должны быть доступны только по протоколу HTTPS	Использование HTTPS обеспечивает аутентификацию, а также защищает передаваемые данные от перехвата на сетевом уровне. Эта возможность в настоящее время общедоступна для службы Kubernetes (AKS) и в предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. на следующей странице: https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	8.1.0
Использование только безопасных подключений к Кэшу Azure для Redis	Аудит активации только подключений по протоколу SSL к кэшу Azure для Redis. Использование безопасных подключений обеспечивает проверку подлинности между сервером и службой, а также защищает переносимые данные от атак сетевого уровня, таких как "злоумышленник в середине", прослушивание трафика и перехват сеанса.	Audit, Deny, Disabled	1.0.0
Должно выполняться безопасное перемещение в учетные записи хранения	Настройка требования выполнять аудит для безопасного переноса в учетную запись хранения. Безопасная передача данных — это параметр, при включении которого ваша учетная запись хранения принимает запросы только с безопасных подключений (HTTPS). Протокол HTTPS обеспечивает проверку подлинности между сервером и службой, а также защищает перемещаемые данные от атак сетевого уровня, таких как "злоумышленник в середине", прослушивание трафика и перехват сеанса.	Audit, Deny, Disabled	2.0.0
Виртуальные машины должны шифровать временные диски, кэши и потоки данных между вычислительными ресурсами и ресурсами хранилища	По умолчанию ОС и диски данных виртуальной машины шифруются в неактивном состоянии с помощью ключей, управляемых платформой. Временные диски, кэши данных и данные, передаваемые между вычислениями и хранилищем, не шифруются. Не учитывайте эту рекомендацию, если используется шифрование на узле или если шифрование на стороне сервера для управляемых дисков соответствует вашим требованиям к безопасности. Дополнительные сведения см. в разделах: "Шифрование Хранилища дисков Azure на стороне сервера": https://aka.ms/disksse, "Различные предложения для шифрования дисков": https://aka.ms/diskencryptioncomparison.	AuditIfNotExists, Disabled	2.0.3
Компьютеры Windows должны быть настроены для использования безопасных протоколов связи	Чтобы защитить конфиденциальность информации, переданной через Интернет, компьютеры должны использовать последнюю версию стандартного криптографического протокола, tls. TLS защищает обмен данными по сети путем шифрования подключения между компьютерами.	AuditIfNotExists, Disabled	4.1.1

Защита данных U.05.2 — криптографические меры

Данные, хранящиеся в облачной службе, должны быть защищены до последнего состояния искусства.

Идентификатор: NL BIO Cloud Theme U.05.2 Ownership: Customer

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
[Предварительная версия]. Хранилища Служб восстановления Azure должны использовать управляемые клиентом ключи для шифрования данных резервных копий.	Используйте ключи, управляемые клиентом, для управления шифрованием неактивных данных резервных копий. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/AB-CmkEncryption.	Audit, Deny, Disabled	1.0.0 (предварительная версия)
[Предварительная версия]. На поддерживаемых виртуальных машинах Linux должно быть установлено расширение аттестации гостей	Установка расширения аттестации гостей на поддерживаемых виртуальных машинах Linux, чтобы Центр безопасности Azure мог осуществлять профилактическую оценку и мониторинг целостности загрузки. После установки целостность загрузки будет подтверждаться с помощью удаленной аттестации. Эта оценка относится к доверенным запускам и конфиденциальным виртуальным машинам Linux.	AuditIfNotExists, Disabled	6.0.0-preview
[Предварительная версия]. На поддерживаемых масштабируемых наборах виртуальных машин Linux должно быть установлено расширение аттестации гостей	Установка расширения аттестации гостей на поддерживаемых масштабируемых наборах виртуальных машин Linux, чтобы Центр безопасности Azure мог осуществлять профилактическую оценку и мониторинг целостности загрузки. После установки целостность загрузки будет подтверждаться с помощью удаленной аттестации. Эта оценка относится к масштабируемым наборам доверенных запусков и конфиденциальных виртуальных машин Linux.	AuditIfNotExists, Disabled	5.1.0-preview
[Предварительная версия]. На поддерживаемых виртуальных машинах Windows должно быть установлено расширение аттестации гостей	Установка расширения аттестации гостей на поддерживаемых виртуальных машинах, чтобы Центр безопасности Azure мог осуществлять профилактическую оценку и мониторинг целостности загрузки. После установки целостность загрузки будет подтверждаться с помощью удаленной аттестации. Эта оценка относится к доверенным запускам и конфиденциальным виртуальным машинам Windows.	AuditIfNotExists, Disabled	4.0.0 (предварительная версия)
[Предварительная версия]. На поддерживаемых масштабируемых наборах виртуальных машин Windows должно быть установлено расширение аттестации гостей	Установка расширения аттестации гостей на поддерживаемых масштабируемых наборах виртуальных машин, чтобы Центр безопасности Azure мог осуществлять профилактическую оценку и мониторинг целостности загрузки. После установки целостность загрузки будет подтверждаться с помощью удаленной аттестации. Эта оценка применяется к масштабируемым наборам доверенных запусков и конфиденциальных виртуальных машин Windows.	AuditIfNotExists, Disabled	3.1.0-preview
[Предварительная версия]. Данные Службы подготовки устройств к добавлению в Центр Интернета вещей должны быть зашифрованы ключами под управлением клиента	Используйте ключи, управляемые клиентом, для шифрования неактивных данных в Службе подготовки устройств к добавлению в Центр Интернета вещей. Неактивные данные автоматически шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются управляемые клиентом ключи (CMK). Ключи CMK позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. См. дополнительные сведения о шифровании CMK: https://aka.ms/dps/CMK.	Audit, Deny, Disabled	1.0.0 (предварительная версия)
[Предварительная версия]. На поддерживаемых виртуальных машинах Windows должна быть включена безопасная загрузка	Включение безопасной загрузки на поддерживаемых виртуальных машинах Windows помогает предотвратить вредоносные и несанкционированные изменения в цепочке загрузки. После включения могут выполняться только доверенные загрузчики, драйверы ядра и ядра. Эта оценка относится к доверенным запускам и конфиденциальным виртуальным машинам Windows.	Audit, Disabled	4.0.0 (предварительная версия)
[Предварительная версия]. На поддерживаемых виртуальных машинах должен быть включен модуль vTPM	Включение виртуального устройства TPM на поддерживаемых виртуальных машинах, чтобы упростить измеряемую загрузку и реализацию других функций безопасности ОС, для которых требуется доверенный платформенный модуль. После включения vTPM можно использовать для проверки целостности загрузки. Эта оценка применяется только к доверенным виртуальным машинам с включенным запуском.	Audit, Disabled	2.0.0-preview
Служба "Azure API для FHIR" должна использовать для шифрования неактивных данных ключ, управляемый клиентом	Используйте ключи, управляемые клиентом, чтобы управлять шифрованием неактивных данных, хранящихся в службе "Azure API для FHIR", если это предусмотрено нормативными требованиями. Кроме того, ключи, управляемые клиентом,обеспечивают двойное шифрование, добавляя второй уровень шифрования поверх заданного по умолчанию способа (с помощью ключей, управляемых службой).	audit, Audit, disabled, Disabled	1.1.0
Учетные записи службы автоматизации Azure должны использовать управляемые клиентом ключи для шифрования неактивных данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивного содержимого в учетных записях службы автоматизации Azure. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/automation-cmk.	Audit, Deny, Disabled	1.0.0
Учетная запись пакетной службы Azure должна использовать управляемые клиентом ключи для шифрования данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивных данных в учетной записи пакетной службы. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/Batch-CMK.	Audit, Deny, Disabled	1.0.1
Для пулов пакетной службы Azure должно быть включено шифрование дисков	Включение шифрования дисков для пакетной службы Azure гарантирует, что данные в вычислительном узле пакетной службы Azure всегда шифруются в неактивном виде. Дополнительные сведения о шифровании дисков в пакетной службе см. на странице https://docs.microsoft.com/azure/batch/disk-encryption.	Audit, Disabled, Deny	1.0.0
Группа контейнеров экземпляров контейнеров Azure должна использовать для шифрования ключ, управляемый клиентом	Защита контейнеров благодаря увеличению гибкости с помощью ключей, управляемых клиентом. Указанный ключ CMK используется для защиты доступа к ключу, который шифрует данные, и управления этим доступом. Использование ключей, управляемых клиентом, предоставляет дополнительные возможности для управления сменой ключей шифрования или криптографического стирания данных.	Audit, Disabled, Deny	1.0.0
Учетные записи Azure Cosmos DB должны использовать управляемые клиентом ключи для шифрования неактивных данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивного содержимого в Azure Cosmos DB. По умолчанию неактивные данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/cosmosdb-cmk.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
В заданиях Azure Data Box должно быть включено двойное шифрование для неактивных данных на устройстве	Включите второй уровень программного шифрования для неактивных данных на устройстве. Устройство уже защищено с помощью 256-разрядного шифрования AES для неактивных данных. Этот параметр добавляет второй уровень шифрования данных.	Audit, Deny, Disabled	1.0.0
В заданиях Azure Data Box для шифрования пароля разблокировки устройства должен использоваться ключ, управляемый клиентом	Для управления шифрованием пароля разблокировки устройства для Azure Data Box следует использовать ключ, управляемый клиентом. Ключи, управляемые клиентом, также позволяют управлять доступом службы Data Box к паролю разблокировки устройства, чтобы подготовить устройство и автоматически копировать данные. Данные на самом устройстве шифруются при хранении с помощью 256-разрядного шифрования AES, а пароль разблокировки устройства шифруется по умолчанию с помощью ключа, управляемого Майкрософт.	Audit, Deny, Disabled	1.0.0
Во время шифрования неактивных данных в Azure Data Explorer должен использоваться управляемый клиентом ключ	Включение шифрования неактивных данных с помощью управляемого клиентом ключа в кластере Azure Data Explorer обеспечивает дополнительный контроль над ключом, используемым для шифрования неактивных данных. Эта функция часто применяется для клиентов с особыми нормативными требованиями. Для управления ключами требуется Key Vault.	Audit, Deny, Disabled	1.0.0
Фабрики данных Azure необходимо шифровать с помощью ключа, управляемого клиентом	Используйте ключи, управляемые клиентом, для управления шифрованием неактивных данных в Фабрике данных Azure. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/adf-cmk.	Audit, Deny, Disabled	1.0.1
Для устройств Центра оборудования Azure для граничных вычислений должна быть включена поддержка двойного шифрования	Убедитесь, что для устройств, заказанных в Центре оборудования Azure для граничных вычислений, включена поддержка двойного шифрования. Это необходимо для защиты неактивных данных на устройствах. Этот параметр добавляет второй уровень шифрования данных.	Audit, Deny, Disabled	2.0.0
Кластеры Azure HDInsight должны использовать ключи, управляемые клиентом, для шифрования неактивных данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивного содержимого в кластерах Azure HDInsight. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/hdi.cmk.	Audit, Deny, Disabled	1.0.1
Кластеры Azure HDInsight должны использовать шифрование на узле для шифрования неактивных данных	Включение шифрования на узле помогает защитить данные согласно корпоративным обязательствам по обеспечению безопасности и соответствия. При включении шифрования на узле данные, хранящиеся на узле виртуальной машины, шифруются при хранении и передаются в зашифрованном виде в службу хранилища.	Audit, Deny, Disabled	1.0.0
Рабочие области Машинного обучения Azure должны быть зашифрованы с использованием ключа, управляемого клиентом	Управляйте шифрованием неактивных данных рабочей области Машинного обучения Azure с помощью ключей, управляемых клиентом. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/azureml-workspaces-cmk.	Audit, Deny, Disabled	1.0.3
Кластеры журналов Azure Monitor должны быть созданы с включенным шифрованием инфраструктуры (двойным шифрованием)	Чтобы обеспечить безопасное шифрование данных на уровне службы и на уровне инфраструктуры с применением двух разных алгоритмов шифрования и двух разных ключей, используйте выделенный кластер Azure Monitor. Этот параметр включен по умолчанию, если поддерживается в регионе (см. раздел https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview).	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Кластеры журналов Azure Monitor должны использовать шифрование с ключами, управляемыми клиентом	Создайте кластер журналов Azure Monitor с шифрованием с ключами, управляемыми клиентом. По умолчанию данные журналов шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключ, управляемый клиентом, в Azure Monitor предоставляет более полный контроль над доступом к данным (см. раздел https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys).	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Для шифрования данных задания Azure Stream Analytics должны использоваться ключи, управляемые клиентом	Чтобы обеспечить безопасное хранение метаданных и частных ресурсов данных для заданий Stream Analytics в учетной записи хранения, используйте ключи, управляемые клиентом. Таким образом, вы сможете полностью контролировать шифрование данных Stream Analytics.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Рабочие области Azure Synapse должны использовать ключи, управляемые клиентом, для шифрования неактивных данных	Используйте управляемые клиентом ключи для управления шифрованием неактивных данных, хранящихся в рабочих областях Azure Synapse. Кроме того, ключи, управляемые клиентом, обеспечивают двойное шифрование, добавляя второй уровень шифрования поверх заданного по умолчанию способа (с помощью ключей, управляемых службой).	Audit, Deny, Disabled	1.0.0
Служба Bot должна шифроваться с помощью ключа, управляемого клиентом	Служба Azure Bot автоматически шифрует ваш ресурс для обеспечения защиты данных и соблюдения требований к безопасности и соответствию в организации. По умолчанию используются ключи шифрования, управляемые корпорацией Майкрософт. Для большей гибкости управления ключами или управления доступом к подписке выберите ключи, управляемые клиентом, которые также называются собственными ключами (BYOK). Подробнее о шифровании в службе Azure Bot: https://docs.microsoft.com/azure/bot-service/bot-service-encryption.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Операционные системы и диски данных в кластерах Службы Azure Kubernetes должны быть зашифрованы с помощью ключей, управляемых клиентом	Шифрование дисков ОС и данных с помощью ключей, управляемых клиентом, обеспечивает больший контроль и большую гибкость в управлении ключами. Это общее требование для многих нормативных и отраслевых стандартов соответствия.	Audit, Deny, Disabled	1.0.1
Учетные записи Cognitive Services должны поддерживать шифрование данных с использованием ключа, управляемого клиентом	Для соблюдения стандартов соответствия нормативным требованиям обычно требуется использовать ключи, управляемые клиентом. Они позволяют шифровать данные, хранящиеся в Cognitive Services, с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Дополнительные сведения о ключах, управляемых клиентом, см. здесь: https://go.microsoft.com/fwlink/?linkid=2121321.	Audit, Deny, Disabled	2.1.0
Реестры контейнеров должны шифроваться с помощью ключа, управляемого клиентом	Используйте ключи, управляемые клиентом, для управления шифрованием неактивного содержимого реестров. По умолчанию неактивные данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/acr/CMK.	Audit, Deny, Disabled	1.1.2
В Azure Data Explorer должно быть включено шифрование дисков	Включение шифрования дисков Azure помогает защитить данные согласно корпоративным обязательствам по обеспечению безопасности и соответствия.	Audit, Deny, Disabled	2.0.0
В Azure Data Explorer должно быть включено двойное шифрование	Включение двойного шифрования помогает защитить данные согласно корпоративным обязательствам по обеспечению безопасности и соответствия. Если включено двойное шифрование, данные в учетной записи хранения шифруются дважды: один раз на уровне службы и один раз на уровне инфраструктуры с использованием двух разных алгоритмов шифрования и двух разных ключей.	Audit, Deny, Disabled	2.0.0
Для шифрования пространства имен концентратора событий должны использовать ключ, управляемый клиентом	Служба "Центры событий Azure" поддерживает возможность шифрования неактивных данных с помощью ключей, управляемых корпорацией Майкрософт (по умолчанию), или ключей, управляемых клиентом. Шифрование данных с помощью ключей, управляемых клиентом, позволяет назначать, сменять, отключать ключи, которые концентратор событий будет использовать для шифрования данных в вашем пространстве имен, и отменять к ним доступ. Обратите внимание, что концентратор событий поддерживает шифрование с использованием ключей, управляемых клиентом, только для пространств имен в выделенных кластерах.	Audit, Disabled	1.0.0
Учетные записи HPC Cache должны использовать для шифрования ключ, управляемый клиентом	Управление шифрованием неактивных данных рабочей HPC Cache с помощью ключей, управляемых клиентом. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им.	Audit, Disabled, Deny	2.0.0
Необходимо включить шифрование инфраструктуры для серверов Базы данных Azure для MySQL.	Включите шифрование инфраструктуры для серверов Базы данных Azure для MySQL, чтобы гарантировать безопасность данных на более высоком уровне. При включении шифрования инфраструктуры неактивные данные шифруются дважды с помощью управляемых ключей Майкрософт, соответствующих FIPS 140-2.	Audit, Deny, Disabled	1.0.0
Необходимо включить шифрование инфраструктуры для серверов Базы данных Azure для PostgreSQL.	Включите шифрование инфраструктуры для серверов Базы данных Azure для PostgreSQL, чтобы гарантировать безопасность данных на более высоком уровне. При включении шифрования инфраструктуры неактивные данные шифруются дважды с помощью управляемых ключей Майкрософт, соответствующих FIPS 140-2	Audit, Deny, Disabled	1.0.0
Среда службы интеграции Logic Apps должна быть зашифрована с помощью ключей, управляемых клиентом	Выполните развертывание в среде службы интеграции для управления шифрованием неактивных данных Logic Apps с помощью ключей, управляемых клиентом. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им.	Audit, Deny, Disabled	1.0.0
Управляемые диски должны использовать двойное шифрование с ключами под управлением платформы и клиента	Клиенты с высокими требованиями к безопасности, которых беспокоят риски компрометации тех или иных алгоритмов, реализаций или ключей шифрования, могут использовать дополнительный уровень шифрования с другим режимом или алгоритмом на уровне инфраструктуры с применением ключей, управляемых платформой. Двойное шифрование является обязательным для наборов шифрования дисков. Узнайте больше по адресу https://aka.ms/disks-doubleEncryption.	Audit, Deny, Disabled	1.0.0
Серверы MySQL должны использовать ключи, управляемые клиентом, для шифрования неактивных данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивного содержимого на серверах MySQL. По умолчанию неактивные данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им.	AuditIfNotExists, Disabled	1.0.4
Диски ОС и диски данных должны быть зашифрованы ключом под управлением клиента	Использование ключей, управляемых клиентом, для управления шифрованием неактивного управляемых дисков. По умолчанию неактивные данные шифруются с помощью ключей, управляемых платформой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/disks-cmk.	Audit, Deny, Disabled	3.0.0
Серверы PostgreSQL должны использовать управляемые клиентом ключи для шифрования неактивных данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивного содержимого на серверах PostgreSQL. По умолчанию неактивные данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им.	AuditIfNotExists, Disabled	1.0.4
Сохраненные запросы в Azure Monitor должны быть сохранены в учетной записи хранения клиента для шифрования журналов	Свяжите учетную запись хранения с рабочей областью Log Analytics, чтобы защитить сохраненные запросы с помощью шифрования учетной записи хранения. Ключи, управляемые клиентом, обычно требуются для соблюдения нормативных требований и усиления контроля за доступом к сохраненным запросам в Azure Monitor. Дополнительные сведения см. в разделе https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Для шифрования пространства имен Служебной шины уровня "Премиум" должны использовать ключ, управляемый клиентом	Служебная шина Azure поддерживает возможность шифрования неактивных данных с помощью ключей, управляемых корпорацией Майкрософт (по умолчанию), или ключей, управляемых клиентом. Шифрование данных с помощью управляемых клиентом ключей позволяет назначать, сменять, отключать ключи, которые Служебная шина будет использовать для шифрования данных в вашем пространстве имен, и отменять к ним доступ. Учтите, что Служебная шина поддерживает шифрование с использованием ключей, управляемых клиентом, только для пространств имен уровня "Премиум".	Audit, Disabled	1.0.0
Управляемые экземпляры SQL должны использовать ключи, управляемые клиентом, для шифрования неактивных данных	Реализация прозрачного шифрования данных (TDE) с вашим собственным ключом обеспечивает повышенную прозрачность и контроль над предохранителем TDE, а также дополнительную защиту за счет использования внешней службы с поддержкой HSM и содействие разделению обязанностей. Эта рекомендация относится к организациям, имеющим связанное требование по соответствию.	Audit, Deny, Disabled	2.0.0
Серверы SQL должны использовать управляемые клиентом ключи для шифрования неактивных данных	Реализация прозрачного шифрования данных (TDE) с вашим ключом обеспечивает повышенную прозрачность и контроль над предохранителем TDE, а также дополнительную защиту за счет использования внешней службы с поддержкой HSM и содействие разделению обязанностей. Эта рекомендация относится к организациям, имеющим связанное требование по соответствию.	Audit, Deny, Disabled	2.0.1
В областях шифрования учетных записей хранения следует использовать ключи, управляемые клиентом, для шифрования неактивных данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивных данных в областях шифрования учетной записи хранения. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Дополнительные сведения об областях шифрования учетной записи хранения см. здесь: https://aka.ms/encryption-scopes-overview.	Audit, Deny, Disabled	1.0.0
В учетных записях хранения должно быть включено шифрование инфраструктуры.	Включите шифрование инфраструктуры для более высокого уровня гарантии безопасности данных. Если шифрование инфраструктуры включено, данные в учетной записи хранения шифруются дважды.	Audit, Deny, Disabled	1.0.0
В учетных записях хранения должен использоваться управляемый клиентом ключ шифрования	Обеспечьте более гибкую защиту своей учетной записи хранения BLOB-объектов и файлов, используя ключи, управляемые клиентом. Указанный ключ CMK используется для защиты доступа к ключу, который шифрует данные, и управления этим доступом. Использование ключей, управляемых клиентом, предоставляет дополнительные возможности для управления сменой ключей шифрования или криптографического стирания данных.	Audit, Disabled	1.0.3
Временные диски и кэш для пулов узлов агентов в кластерах Службы Azure Kubernetes должны шифроваться на узле	Для повышения безопасности неактивные данные, хранящиеся на узле виртуальной машины в Службе Azure Kubernetes, должны быть зашифрованы. Это общее требование для многих нормативных и отраслевых стандартов соответствия.	Audit, Deny, Disabled	1.0.1
В базах данных SQL должно применяться прозрачное шифрование данных	Для защиты неактивных данных и обеспечения соответствия требованиям должно быть включено прозрачное шифрование данных.	AuditIfNotExists, Disabled	2.0.0
Для виртуальных машин и их масштабируемых наборов должно быть включено шифрование на узле	Использование шифрования в узле для сквозного шифрования данных виртуальной машины и масштабируемого набора виртуальных машин. Шифрование на узле применяется для неактивных данных временного диска и кэша дисков с ОС или данными. Для шифрования (при включенном шифровании в узле) временных дисков (в том числе с ОС) используются ключи, управляемые платформой, а для неактивных данных кэша дисков с ОС или данными — управляемые платформой или клиентом, в зависимости от выбранного для диска типа шифрования. Узнайте больше по адресу https://aka.ms/vm-hbe.	Audit, Deny, Disabled	1.0.0
Виртуальные машины должны шифровать временные диски, кэши и потоки данных между вычислительными ресурсами и ресурсами хранилища	По умолчанию ОС и диски данных виртуальной машины шифруются в неактивном состоянии с помощью ключей, управляемых платформой. Временные диски, кэши данных и данные, передаваемые между вычислениями и хранилищем, не шифруются. Не учитывайте эту рекомендацию, если используется шифрование на узле или если шифрование на стороне сервера для управляемых дисков соответствует вашим требованиям к безопасности. Дополнительные сведения см. в разделах: "Шифрование Хранилища дисков Azure на стороне сервера": https://aka.ms/disksse, "Различные предложения для шифрования дисков": https://aka.ms/diskencryptioncomparison.	AuditIfNotExists, Disabled	2.0.3

Разделение данных U.07.1 — изолированный

Постоянная изоляция данных — это архитектура с несколькими клиентами. Исправления реализуются в управляемом режиме.

Идентификатор: NL BIO Cloud Theme U.07.1 Ответственность: Майкрософт

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Предварительная версия. Открытый доступ к учетной записи хранения должен быть запрещен	Анонимный общий доступ на чтение к контейнерам и большим двоичным объектам в службе хранилища Azure — это удобный способ обмена данными, но он может представлять угрозу безопасности. Чтобы предотвратить утечки данных, возникающие в результате нежелательного анонимного доступа, корпорация Майкрософт рекомендует запретить общий доступ к учетной записи хранения, если он не требуется для вашего сценария.	audit, Audit, deny, Deny, disabled, Disabled	3.1.0-preview
Доступ ко всем сетевым портам должен быть ограничен в связанных с виртуальной машиной группах безопасности сети.	Центр безопасности Azure определил, что некоторые правила для входящих подключений в группах безопасности сети недостаточно строгие. Правила для входящих подключений не должны разрешать доступ из диапазонов "Любой" или "Интернет". В противном случае злоумышленники смогут атаковать ваши ресурсы.	AuditIfNotExists, Disabled	3.0.0
Службы управления API должны использовать виртуальную сеть	Развертывание виртуальной сети Azure обеспечивает повышенную безопасность, изоляцию и позволяет разместить службу "Управление API" в сети, доступом к которой будете управлять вы и которая не будет использовать маршрутизацию через Интернет. Затем эти сети можно подключить к локальным сетям с помощью различных технологий VPN, что обеспечивает доступ к внутренним службам в сети или локальной среде. Портал разработчика и шлюз API можно настроить для предоставления доступа как из Интернета, так и только в пределах виртуальной сети.	Audit, Deny, Disabled	1.0.2
Служба "Конфигурация приложений" должна использовать приватный канал	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставив частные конечные точки с отдельными экземплярами конфигурации приложений вместо всей службы, вы также обеспечите защиту от рисков утечки данных. См. дополнительные сведения: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, Disabled	1.0.2
В службах Kubernetes нужно определить разрешенные диапазоны IP-адресов	Ограничьте доступ к API управления службами Kubernetes, предоставив доступ через API только к IP-адресам в определенных диапазонах. Рекомендуется ограничить доступ к разрешенным диапазонам IP-адресов, чтобы обеспечить доступ к кластеру только для приложений из разрешенных сетей.	Audit, Disabled	2.0.1
Ресурсы служб искусственного интеллекта Azure должны ограничить доступ к сети	Ограничив сетевой доступ, вы можете убедиться, что только разрешенные сети могут получить доступ к службе. Это можно сделать, настроив правила сети, чтобы доступ к службе ИИ Azure могли получить только приложения из разрешенных сетей.	Audit, Deny, Disabled	3.2.0
Служба "Azure API для FHIR" должна использовать частный канал	Служба "Azure API для FHIR" должна иметь по крайней мере одно утвержденное подключение к частной конечной точке. Клиенты в виртуальной сети могут безопасно обращаться к ресурсам, которые подключаются к частным конечным точкам через приватные каналы. Дополнительные сведения см. по адресу https://aka.ms/fhir-privatelink.	Audit, Disabled	1.0.0
Кэш Azure для Redis должен использовать приватный канал	Частные конечные точки позволяют подключать виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Сопоставляя частные конечные точки со своими экземплярами Кэша Azure для Redis, вы можете снизить риски утечки данных. См. дополнительные сведения: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, Disabled	1.0.0
Служба "Когнитивный поиск Azure" должна использовать SKU, поддерживающий приватный канал	С использованием поддерживаемых SKU Когнитивного поиска Azure Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставляя частные конечные точки со своей службой поиска, вы можете снизить риски утечки данных. См. дополнительные сведения: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Deny, Disabled	1.0.0
Службы Когнитивного поиска Azure должны отключить доступ к общедоступной сети	При отключении доступа к общедоступной сети повышается уровень безопасность, так как это гарантирует, что служба "Когнитивный поиск Azure" не будет доступна в общедоступном Интернете. Создав частные конечные точки, можно ограничить раскрытие данных службы поиска. См. дополнительные сведения: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Deny, Disabled	1.0.0
Службы Когнитивного поиска Azure должны использовать приватный канал	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. При сопоставлении частных конечных точек со службой Когнитивного поиска Azure снижаются риски утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Disabled	1.0.0
Учетным записям Azure Cosmos DB должны быть заданы правила брандмауэра	Правила брандмауэра должны быть определены в учетных записях Azure Cosmos DB, чтобы предотвратить поступление трафика из неавторизованных источников. Учетные записи, для которых задано хотя бы одно правило для IP-адресов и включен фильтр виртуальных сетей, считаются соответствующими требованиям. Учетные записи, запрещающие общий доступ, также считаются соответствующими требованиям.	Audit, Deny, Disabled	2.0.0
Служба Azure Cosmos DB должна отключать доступ к общедоступным сетям	Отключение доступа к общедоступной сети повышает безопасность, гарантируя, что ваша учетная запись Cosmos DB не будет представлен в общедоступном Интернете. Создав частные конечные точки, можно ограничить раскрытие данных учетной записи Cosmos DB. См. дополнительные сведения: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints#blocking-public-network-access-during-account-creation.	Audit, Deny, Disabled	1.0.0
Фабрика данных Azure должна использовать частную ссылку	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставление частных конечных точек с Фабрикой данных Azure снижает риск утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, Disabled	1.0.0
Кластеры Azure Databricks должны отключить общедоступный IP-адрес	Отключение общедоступного IP-адреса кластеров в рабочих областях Azure Databricks повышает безопасность, гарантируя, что кластеры не предоставляются в общедоступном Интернете. См. дополнительные сведения: https://learn.microsoft.com/azure/databricks/security/secure-cluster-connectivity.	Audit, Deny, Disabled	1.0.1
Рабочие области Azure Databricks должны находиться в виртуальной сети	Azure виртуальная сеть обеспечивают повышенную безопасность и изоляцию для рабочих областей Azure Databricks, а также подсети, политики управления доступом и другие функции для дальнейшего ограничения доступа. См. дополнительные сведения: https://docs.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/vnet-inject.	Audit, Deny, Disabled	1.0.2
Для рабочих областей Azure Databricks должен быть отключен доступ из общедоступных сетей	Отключение доступа к общедоступной сети повышает безопасность, гарантируя, что ресурс не будет представлен в общедоступном Интернете. Вместо этого можно управлять воздействием ресурсов, создавая частные конечные точки. См. дополнительные сведения: https://learn.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/private-link.	Audit, Deny, Disabled	1.0.1
Рабочие области Azure Databricks должны использовать приватный канал	Приватный канал Azure позволяет подключить виртуальные сети к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставляя частные конечные точки с рабочими областями Azure Databricks, вы можете снизить риски утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://aka.ms/adbpe.	Audit, Disabled	1.0.2
Домены Сетки событий Azure должны использовать приватный канал	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставив частные конечные точки с доменом Сетки событий вместо всей службы, вы также обеспечите защиту от рисков утечки данных. См. дополнительные сведения: https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Разделы Сетки событий Azure должны использовать приватный канал	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставив частные конечные точки с разделом Сетки событий вместо всей службы, вы также обеспечите защиту от рисков утечки данных. См. дополнительные сведения: https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Синхронизация файлов Azure должна использовать приватный канал	Создав частную конечную точку для указанного ресурса службы синхронизации хранилища, можно обращаться к этому ресурсу из пространства частных IP-адресов в сети организации, а не через общедоступную конечную точку в Интернете. Создание частной конечной точки само по себе не приводит к отключению общедоступной конечной точки.	AuditIfNotExists, Disabled	1.0.0
В профилях Azure Front Door следует использовать уровень "Премиум", который поддерживает управляемые правила WAF и приватный канал	Azure Front Door ценовой категории "Премиум" поддерживает правила WAF под управлением Azure и приватный канал для поддерживаемых источников Azure.	Audit, Deny, Disabled	1.0.0
У Azure Key Vault должен быть включен брандмауэр	Включите брандмауэр хранилища ключей, чтобы хранилище ключей было недоступно по умолчанию для общедоступных IP-адресов. При необходимости можно настроить определенные диапазоны IP-адресов, чтобы ограничить доступ к этим сетям. См. дополнительные сведения: https://docs.microsoft.com/azure/key-vault/general/network-security.	Audit, Deny, Disabled	3.2.1
Для хранилищ ключей Azure должен использоваться приватный канал	Приватный канал Azure позволяет подключить виртуальные сети к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставляя частные конечные точки с хранилищем ключей, вы можете снизить риски утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Машинное обучение Azure вычисления должны находиться в виртуальной сети.	Azure виртуальная сеть обеспечивают повышенную безопасность и изоляцию для Машинное обучение Azure вычислительных кластеров и экземпляров, а также подсетей, политик управления доступом и других функций для дальнейшего ограничения доступа. Если вычислительная среда настроена с виртуальной сетью, она не является общедоступной и может быть доступна только из виртуальных машин и приложений в виртуальной сети.	Audit, Disabled	1.0.1
Машинное обучение Azure рабочие области должны отключить доступ к общедоступной сети	Отключение доступа к общедоступной сети повышает безопасность, гарантируя, что Машинное обучение рабочие области не предоставляются в общедоступном Интернете. Вместо этого можно управлять воздействием рабочих областей, создавая частные конечные точки. Дополнительные сведения см. в следующем: https://learn.microsoft.com/azure/machine-learning/how-to-configure-private-link?view=azureml-api-2& tabs=azure-portal.	Audit, Deny, Disabled	2.0.1
Рабочие области Машинного обучения Azure должны использовать Приватный канал	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. При сопоставлении частных конечных точек с рабочими областями Машинного обучения Azure снижаются риски утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Audit, Disabled	1.0.0
Пространства имен Служебной шины Azure должны использовать приватный канал	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставив частные конечные точки с пространствами имен служебной шины, вы можете снизить риски утечки данных. См. дополнительные сведения: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, Disabled	1.0.0
Служба Azure SignalR должна использовать приватный канал	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставив частные конечные точки с ресурсом Службы Azure SignalR, а не со всей службой, вы снизите риски утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://aka.ms/asrs/privatelink.	Audit, Disabled	1.0.0
Управляемые экземпляры SQL Azure должны отключить доступ к общедоступной сети	Отключение доступа к общедоступной сети (общедоступной конечной точке) в Управляемых экземплярах SQL Azure повышает безопасность, так как доступ оказывается разрешен только из виртуальных сетей или через частные конечные точки. Дополнительные сведения о доступе к общедоступным сетям см. в статье https://aka.ms/mi-public-endpoint.	Audit, Deny, Disabled	1.0.0
Рабочие области Azure Synapse должны использовать приватный канал	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. При сопоставлении частных конечных точек с рабочими областями Azure Synapse снижаются риски утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Audit, Disabled	1.0.1
Брандмауэр веб-приложений Azure должен быть включен для точек входа Azure Front Door	Разверните Брандмауэр веб-приложения Azure (WAF) перед общедоступными веб-приложениями для дополнительной проверки входящего трафика. Брандмауэр веб-приложения (WAF) обеспечивает централизованную защиту веб-приложений от распространенных эксплойтов и уязвимостей, включая внедрение кода SQL, межсайтовые сценарии, а также выполнение локальных и удаленных файлов. Вы также можете ограничить доступ к веб-приложениям по странам, диапазонам IP-адресов и другим параметрам HTTP(S) с помощью настраиваемых правил.	Audit, Deny, Disabled	1.0.2
Служба Azure Web PubSub должна использовать приватный канал	Приватный канал Azure позволяет подключить виртуальные сети к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставив частные конечные точки со службой Azure Web PubSub, можно снизить риски утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://aka.ms/awps/privatelink.	Audit, Disabled	1.0.0
Cognitive Services должны использовать приватный канал	Приватный канал Azure позволяет подключить виртуальные сети к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставление частных конечных точек с Cognitive Services позволяет снизить вероятность утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://go.microsoft.com/fwlink/?linkid=2129800.	Audit, Disabled	3.0.0
В реестрах контейнеров не должен быть разрешен неограниченный сетевой доступ	По умолчанию реестры контейнеров Azure принимают подключения через Интернет от узлов в любой сети. Чтобы защитить свои реестры от потенциальных угроз, разрешите доступ только с частных конечных точек, общедоступных IP-адресов или диапазонов адресов. Если для реестра не настроены сетевые правила, он отобразится как неработоспособный ресурс. См. дополнительные сведения о сетевых правилах Реестра контейнеров: https://aka.ms/acr/privatelink, https://aka.ms/acr/portal/public-network и https://aka.ms/acr/vnet.	Audit, Deny, Disabled	2.0.0
Реестры контейнеров должны использовать приватный канал	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа приватного канала обрабатывает подключение между потребителем и службами через магистральную сеть Azure. Сопоставление частных конечных точек с реестрами контейнеров, а не всей службой также обеспечивает защиту от утечки данных. См. дополнительные сведения: https://aka.ms/acr/private-link.	Audit, Disabled	1.0.1
Учетные записи Cosmos DB должны использовать приватный канал	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. При сопоставлении частных конечных точек с учетной записью Cosmos DB снижаются риски утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Audit, Disabled	1.0.0
Ресурсы для доступа к диску должны использовать частную ссылку	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставление частных конечных точек с DiskAccesses снижает риск утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, Disabled	1.0.0
Пространства имен концентратора событий должны использовать приватный канал	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. Сопоставив частные конечные точки с пространствами имен концентратора событий, вы можете снизить риски утечки данных. См. дополнительные сведения: https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, Disabled	1.0.0
Виртуальные машины с выходом в Интернет должны быть защищены с помощью групп безопасности сети	Защитите виртуальные машины от потенциальных угроз, ограничив доступ к ним с помощью групп безопасности сети (NSG). Дополнительные сведения об управлении трафиком с помощью групп безопасности сети см. на странице https://aka.ms/nsg-doc.	AuditIfNotExists, Disabled	3.0.0
Экземпляры Службы подготовки устройств к добавлению в Центр Интернета вещей должны использовать приватный канал	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. При сопоставлении частных конечных точек со Службой подготовки устройств к добавлению в Центр Интернета вещей снижаются риски утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://aka.ms/iotdpsvnet.	Audit, Disabled	1.0.0
На виртуальной машине должна быть отключена IP-переадресация	Включение IP-переадресации на сетевом адаптере виртуальной машины позволяет компьютеру принимать трафик, адресованный другим получателям. IP-переадресация редко требуется (например, при использовании виртуальной машины в качестве сетевого виртуального модуля), поэтому она должна быть проверена командой безопасности сети.	AuditIfNotExists, Disabled	3.0.0
Порты управления виртуальных машин должны быть защищены с помощью JIT-управления доступом к сети	Возможный JIT-доступ к сети будет отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	3.0.0
Порты управления на виртуальных машинах должны быть закрыты	Открытые порты удаленного управления создают для вашей виртуальной машины высокий уровень риска атак из Интернета. Эти атаки используют метод подбора учетных данных для получения доступа к компьютеру от имени администратора.	AuditIfNotExists, Disabled	3.0.0
Виртуальные машины без выхода в Интернет должны быть защищены с помощью групп безопасности сети	Защитите виртуальные машины без выхода в Интернет от потенциальных угроз, ограничив доступ к ним с помощью группы безопасности сети (NSG). Дополнительные сведения об управлении трафиком с помощью групп безопасности сети см. на странице https://aka.ms/nsg-doc.	AuditIfNotExists, Disabled	3.0.0
Подключения к частной конечной точке для Базы данных SQL Azure должны быть включены	Подключения к частной конечной точке обеспечивают защищенный обмен данными, предоставляя возможность частного доступа к Базе данных SQL Azure.	Audit, Disabled	1.1.0
Доступ к Базе данных SQL Azure через общедоступную сеть должен быть отключен	Отключение доступа к Базе данных SQL Azure через общедоступную сеть повышает безопасность, гарантируя, что доступ к Базе данных SQL Azure будет возможен только из частной конечной точки. Эта конфигурация запрещает все имена входа, соответствующие правилам брандмауэра на основе IP-адресов или виртуальной сети.	Audit, Deny, Disabled	1.1.0
Для северов MariaDB должен быть отключен доступ через общедоступную сеть	Отключите доступ через общедоступную сеть, чтобы повысить уровень безопасности и разрешить доступ к Базе данных Azure для MariaDB только из частной конечной точки. Эта конфигурация строго отключает доступ из любого общедоступного адресного пространства вне диапазона IP-адресов Azure и запрещает все имена входа, соответствующие правилам брандмауэра на основе IP или виртуальной сети.	Audit, Deny, Disabled	2.0.0
Для северов MySQL должен быть отключен доступ через общедоступную сеть	Отключите доступ через общедоступную сеть, чтобы повысить уровень безопасности и разрешить доступ к Базе данных Azure для MySQL только из частной конечной точки. Эта конфигурация строго отключает доступ из любого общедоступного адресного пространства вне диапазона IP-адресов Azure и запрещает все имена входа, соответствующие правилам брандмауэра на основе IP или виртуальной сети.	Audit, Deny, Disabled	2.0.0
Для северов PostgreSQL должен быть отключен доступ через общедоступную сеть	Отключите доступ через общедоступную сеть, чтобы повысить уровень безопасности и разрешить доступ к Базе данных Azure для PostgreSQL только из частной конечной точки. Эта конфигурация отключает доступ из любого общедоступного адресного пространства вне диапазона IP-адресов Azure и запрещает все имена входа, соответствующие правилам брандмауэра на основе IP-адреса или виртуальной сети.	Audit, Deny, Disabled	2.0.1
Учетные записи хранения должны ограничивать доступ к сети.	Сетевой доступ к учетным записям хранения должен быть ограниченным. Настройте правила сети так, чтобы учетная запись хранения была доступна только приложениям из разрешенных сетей. Чтобы разрешить подключения от конкретных локальных клиентов и интернет-клиентов, вы можете открыть доступ для трафика из конкретных виртуальных сетей Azure или определенных диапазонов общедоступных IP-адресов.	Audit, Deny, Disabled	1.1.1
Учетные записи хранения должны ограничивать доступ к сети с помощью правил виртуальной сети	Защитите свои учетные записи хранения от потенциальных угроз с помощью правил виртуальной сети, используемых в качестве предпочтительного метода вместо фильтрации по IP-адресу. Отключение фильтрации по IP-адресу запрещает общедоступным IP-адресам доступ к учетным записям хранения.	Audit, Deny, Disabled	1.0.1
Учетные записи хранения должны использовать приватный канал	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. При сопоставлении частных конечных точек с учетной записью хранения снижаются риски утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://aka.ms/azureprivatelinkoverview.	AuditIfNotExists, Disabled	2.0.0
Подсети должны быть связаны с группой безопасности сети.	Защитите подсеть от потенциальных угроз, ограничив доступ к ней с помощью группы безопасности сети (NSG). Эти группы содержат перечень правил списка контроля доступа (ACL), которые разрешают или запрещают передачу сетевого трафика в подсеть.	AuditIfNotExists, Disabled	3.0.0
Шаблоны Конструктора образов виртуальных машин должны использовать приватные каналы	Приватный канал Azure позволяет подключить виртуальную сеть к службам Azure без общедоступного IP-адреса в исходном или целевом расположении. Платформа Приватного канала поддерживает подключение между потребителем и службами через магистральную сеть Azure. За счет сопоставления частных конечных точек с ресурсами Конструктора образов виртуальных машин снижается риск утечки данных. Дополнительные сведения о приватных каналах см. здесь: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Audit, Disabled, Deny	1.1.0
Для Шлюза приложений должен быть включен брандмауэр веб-приложения (WAF)	Разверните Брандмауэр веб-приложения Azure (WAF) перед общедоступными веб-приложениями для дополнительной проверки входящего трафика. Брандмауэр веб-приложения (WAF) обеспечивает централизованную защиту веб-приложений от распространенных эксплойтов и уязвимостей, включая внедрение кода SQL, межсайтовые сценарии, а также выполнение локальных и удаленных файлов. Вы также можете ограничить доступ к веб-приложениям по странам, диапазонам IP-адресов и другим параметрам HTTP(S) с помощью настраиваемых правил.	Audit, Deny, Disabled	2.0.0

Разделение данных U.07.3 — функции управления

U.07.3 . Привилегии для просмотра или изменения данных CSC и /или ключей шифрования предоставляются в управляемом порядке и использовании регистрируются.

Идентификатор: NL BIO Cloud Theme U.07.3 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Подписке должно быть назначено не более 3 владельцев	Мы рекомендуем назначать подписке не более трех владельцев, чтобы снизить вероятность нарушения безопасности при компрометации владельца.	AuditIfNotExists, Disabled	3.0.0
Для серверов SQL должен быть подготовлен администратор Azure Active Directory	Аудит подготовки администратора AAD для включения в SQL Server поддержки проверки подлинности AAD. Эта проверка подлинности упрощает контроль разрешений и обеспечивает централизованное управление удостоверениями пользователей баз данных и других служб Майкрософт.	AuditIfNotExists, Disabled	1.0.0
Приложения Службы приложений должны использовать управляемое удостоверение	Используйте управляемое удостоверение для повышения безопасности проверки подлинности.	AuditIfNotExists, Disabled	3.0.0
В Среде службы приложений должно быть включено внутреннее шифрование	Присвоив параметру InternalEncryption значение true, вы обеспечите шифрование файла подкачки, дисков рабочих ролей и внутреннего сетевого трафика между внешними интерфейсами и рабочими ролями в Среде службы приложений. Дополнительные сведения см. в разделе https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryption.	Audit, Disabled	1.0.1
Аудит использования пользовательских ролей RBAC	Аудит встроенных ролей, таких как "Владелец", "Участник", "Читатель", вместо настраиваемых ролей RBAC, использование которых сопряжено с ошибками. Работа с пользовательскими ролями рассматривается как исключение и требует строгой проверки с моделированием угроз.	Audit, Disabled	1.0.1
Необходимо включить шифрование для переменных учетной записи службы автоматизации	Обязательно включайте шифрование ресурсов переменных в учетной записи службы автоматизации при хранении конфиденциальных данных.	Audit, Deny, Disabled	1.1.0
Ресурсы Служб искусственного интеллекта Azure должны иметь отключен доступ к ключу (отключить локальную проверку подлинности)	Для обеспечения безопасности рекомендуется отключить доступ к ключам (локальная проверка подлинности). Azure OpenAI Studio, обычно используемый в разработке и тестировании, требует доступа к ключам и не будет функционировать, если доступ к ключу отключен. После отключения идентификатор Microsoft Entra становится единственным методом доступа, который позволяет поддерживать минимальный принцип привилегий и детализированный контроль. См. дополнительные сведения: https://aka.ms/AI/auth.	Audit, Deny, Disabled	1.1.0
Контроль доступа на основе ролей Azure (RBAC) следует использовать в службах Kubernetes	Чтобы обеспечить детализированную фильтрацию действий, которые могут выполнять пользователи, используйте контроль доступа на основе ролей Azure (RBAC) для управления разрешениями в кластерах служб Kubernetes и настройке соответствующих политик авторизации.	Audit, Disabled	1.0.3
Необходимо удалить заблокированные учетные записи с разрешениями владельца для ресурсов Azure.	Устаревшие учетные записи с разрешениями владельца следует удалять из подписки. Устаревшими считаются те учетные записи, для которых заблокирована возможность входа.	AuditIfNotExists, Disabled	1.0.0
Заблокированные учетные записи с разрешениями на чтение и запись в ресурсах Azure должны быть удалены	Устаревшие учетные записи должны быть удалены из подписок. Устаревшими считаются те учетные записи, для которых заблокирована возможность входа.	AuditIfNotExists, Disabled	1.0.0
Приложения-функции должны использовать управляемое удостоверение	Используйте управляемое удостоверение для повышения безопасности проверки подлинности.	AuditIfNotExists, Disabled	3.0.0
Гостевые учетные записи с разрешениями владельца для ресурсов Azure должны быть удалены	Внешние учетные записи с разрешениями владельца должны быть удалены из подписки, чтобы предотвратить неотслеживаемый доступ.	AuditIfNotExists, Disabled	1.0.0
Гостевые учетные записи с разрешениями на чтение ресурсов Azure должны быть удалены	Внешние учетные записи с правами на чтение должны быть удалены из подписки, чтобы предотвратить неотслеживаемый доступ.	AuditIfNotExists, Disabled	1.0.0
Гостевые учетные записи с разрешениями на запись в ресурсах Azure должны быть удалены	Внешние учетные записи с правами на запись должны быть удалены из подписки, чтобы предотвратить неотслеживаемый доступ.	AuditIfNotExists, Disabled	1.0.0
Свойство ClusterProtectionLevel в кластерах Service Fabric должно иметь значение EncryptAndSign	Service Fabric поддерживает три уровня защиты (None (Нет), Sign (Подписывание) и EncryptAndSign (Шифрование и подписывание)) для взаимодействия между узлами с использованием основного сертификата кластера. Задайте уровень защиты, чтобы обеспечить шифрование и цифровое подписывание всех сообщений между узлами.	Audit, Deny, Disabled	1.1.0
Кластеры Service Fabric должны использовать только Azure Active Directory для проверки подлинности клиента	Аудит проверки подлинности клиента только через Azure Active Directory в Service Fabric	Audit, Deny, Disabled	1.1.0
Учетные записи хранения должны предотвращать доступ к общему ключу	Требование аудита Azure Active Directory (Azure AD) для авторизации запросов для вашей учетной записи хранения. По умолчанию запросы могут быть авторизованы с использованием учетных данных Azure Active Directory или с помощью ключа доступа к учетной записи для авторизации с общим ключом. Из этих двух типов авторизации именно Azure AD обеспечивает повышенную уровень безопасности и простоту использования по сравнению с общим ключом и рекомендуется корпорацией Майкрософт.	Audit, Deny, Disabled	2.0.0
В базах данных SQL должно применяться прозрачное шифрование данных	Для защиты неактивных данных и обеспечения соответствия требованиям должно быть включено прозрачное шифрование данных.	AuditIfNotExists, Disabled	2.0.0
VPN-шлюзы должны использовать только проверку подлинности Azure Active Directory (Azure AD) для пользователей типа "точка — сеть"	Отключение методов локальной проверки подлинности повышает безопасность, гарантируя, что VPN-шлюзам потребуются для проверки подлинности только удостоверения Azure Active Directory. Дополнительные сведения о проверке подлинности Azure AD см. в статье, доступной по адресу https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant.	Audit, Deny, Disabled	1.0.0

Защита от вредоносных программ U.09.3 — обнаружение, предотвращение и восстановление

Защита от вредоносных программ выполняется в разных средах.

Идентификатор: NL BIO Cloud Theme U.09.3 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
[Предварительная версия]. В кластерах Kubernetes с поддержкой Azure Arc должно быть установлено расширение Microsoft Defender для облака	Расширение Microsoft Defender для облака для Azure Arc обеспечивает защиту от угроз для кластеров Kubernetes с поддержкой Arc. Расширение собирает данные из всех узлов в кластере и отправляет их в серверную часть Azure Defender для Kubernetes в облаке для дальнейшего анализа. Дополнительные сведения см. по адресу https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	6.0.0-preview
Необходимо включить решение для оценки уязвимостей на виртуальных машинах	Осуществляет аудит виртуальных машин, чтобы определить, работает ли на них поддерживаемое решение для оценки уязвимостей. Основным компонентом каждой программы безопасности и защиты от киберрисков является идентификация и анализ уязвимостей. Ценовая категория "Стандартный" Центра безопасности Azure предоставляет возможность выполнять проверку уязвимостей виртуальных машин без дополнительных затрат. Кроме того, Центр безопасности может автоматически развернуть этот инструмент.	AuditIfNotExists, Disabled	3.0.0
Защита от атак DDoS Azure должна быть включена	Защита от атак DDoS должна быть включена для всех виртуальных сетей с подсетью, которая является частью шлюза приложений с общедоступным IP-адресом.	AuditIfNotExists, Disabled	3.0.1
Azure Defender для Службы приложений должен быть включен	Azure Defender для Службы приложений использует масштаб облака, а также видимость, характерную для Azure как поставщика облачных служб, для отслеживания распространенных атак на веб-приложения.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для серверов Базы данных SQL Azure должен быть включен	Azure Defender для SQL предоставляет возможности для выявления и устранения потенциальных уязвимостей баз данных, обнаружения необычных действий, которые могут представлять угрозу в базах данных SQL, а также для определения и классификации конфиденциальных данных.	AuditIfNotExists, Disabled	1.0.2
Azure Defender для Key Vault должен быть включен	Azure Defender для Key Vault обеспечивает дополнительный уровень защиты в виде механизма обнаружения угроз, который позволяет выявить необычные и потенциально опасные попытки получения и использования учетных записей хранилища ключей.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для Resource Manager должен быть включен	Azure Defender для Resource Manager автоматически отслеживает операции управления ресурсами в организации. Azure Defender обнаруживает угрозы и предупреждает о подозрительных действиях. Дополнительные сведения о возможностях Azure Defender для Resource Manager: https://aka.ms/defender-for-resource-manager. Включение этого плана Azure Defender подразумевает определенные расходы. Подробно о ценах для каждого региона см. на странице цен Центра безопасности: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender для серверов должен быть включен	Azure Defender для серверов обеспечивает защиту рабочих нагрузок сервера в реальном времени и создает рекомендации по улучшению безопасности, а также оповещения о подозрительных действиях.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для серверов SQL на компьютерах должен быть включен	Azure Defender для SQL предоставляет возможности для выявления и устранения потенциальных уязвимостей баз данных, обнаружения необычных действий, которые могут представлять угрозу в базах данных SQL, а также для определения и классификации конфиденциальных данных.	AuditIfNotExists, Disabled	1.0.2
Для незащищенных серверов Azure SQL следует включить Azure Defender для SQL	Аудит серверов SQL без Расширенной защиты данных	AuditIfNotExists, Disabled	2.0.1
Для незащищенных управляемых экземпляров SQL следует включить Azure Defender для SQL	Проверка всех Управляемых экземпляров SQL без Расширенной защиты данных.	AuditIfNotExists, Disabled	1.0.2
Брандмауэр веб-приложений Azure должен быть включен для точек входа Azure Front Door	Разверните Брандмауэр веб-приложения Azure (WAF) перед общедоступными веб-приложениями для дополнительной проверки входящего трафика. Брандмауэр веб-приложения (WAF) обеспечивает централизованную защиту веб-приложений от распространенных эксплойтов и уязвимостей, включая внедрение кода SQL, межсайтовые сценарии, а также выполнение локальных и удаленных файлов. Вы также можете ограничить доступ к веб-приложениям по странам, диапазонам IP-адресов и другим параметрам HTTP(S) с помощью настраиваемых правил.	Audit, Deny, Disabled	1.0.2
В масштабируемых наборах виртуальных машин должно быть установлено решение Endpoint Protection	Аудит наличия и работоспособности решения защиты конечных точек в ваших масштабируемых наборах виртуальных машин для защиты их от угроз и уязвимостей.	AuditIfNotExists, Disabled	3.0.0
Приложения-функции должны использовать последнюю версию HTTP	Для HTTP периодически выпускаются новые версии, которые устраняют уязвимости безопасности или включают дополнительные функции. Чтобы получить эти возможности и преимущества, для веб-приложений рекомендуется использовать последнюю версию HTTP.	AuditIfNotExists, Disabled	4.0.0
На виртуальной машине должна быть отключена IP-переадресация	Включение IP-переадресации на сетевом адаптере виртуальной машины позволяет компьютеру принимать трафик, адресованный другим получателям. IP-переадресация редко требуется (например, при использовании виртуальной машины в качестве сетевого виртуального модуля), поэтому она должна быть проверена командой безопасности сети.	AuditIfNotExists, Disabled	3.0.0
Службы Kubernetes должны быть обновлены до версии с устраненными уязвимостями	Обновите версию службы Kubernetes своего кластера, чтобы получить защиту от известных уязвимостей текущей версии. Уязвимость CVE-2019-9946 исправлена в Kubernetes версий 1.11.9+, 1.12.7+, 1.13.5+ и 1.14.0+.	Audit, Disabled	1.0.2
Microsoft Defender для контейнеров должен быть включен	Microsoft Defender для контейнеров обеспечивает повышение надежности, оценку уязвимостей и защиту во время выполнения для сред Azure, гибридных сред и сред Kubernetes в нескольких облаках.	AuditIfNotExists, Disabled	1.0.0
Необходимо включить Microsoft Defender для службы хранилища	Microsoft Defender для служба хранилища обнаруживает потенциальные угрозы для учетных записей хранения. Это помогает предотвратить три основных воздействия на данные и рабочую нагрузку: вредоносные отправки файлов, кражу конфиденциальных данных и повреждение данных. Новый план Defender для служба хранилища включает сканирование вредоносных программ и обнаружение угроз конфиденциальных данных. Этот план также предоставляет прогнозируемую структуру ценообразования (для каждой учетной записи хранения) для контроля над покрытием и затратами.	AuditIfNotExists, Disabled	1.0.0
Мониторинг отсутствия Endpoint Protection в Центре безопасности Azure	Серверы без установленного агента Endpoint Protection будут отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	3.0.0
В масштабируемых наборах виртуальных машин должны быть установлены обновления системы	Аудит отсутствия обновлений для системы безопасности и критических обновлений, которые необходимо установить для защиты ваших масштабируемых наборов виртуальных машин с Windows и Linux.	AuditIfNotExists, Disabled	3.0.0
На компьютерах должны быть установлены обновления системы	Отсутствие обновлений системы безопасности на серверах будет отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	4.0.0
Уязвимости конфигурации безопасности на ваших компьютерах должны быть устранены	Серверы, не соответствующие заданным базовым показателям, будут отслеживаться центром безопасности Azure для предоставления рекомендаций.	AuditIfNotExists, Disabled	3.1.0
Уязвимости в конфигурации безопасности в масштабируемом наборе виртуальных машин должны быть устранены.	Аудит наличия уязвимостей ОС в ваших масштабируемых наборах виртуальных машин для защиты их от атак.	AuditIfNotExists, Disabled	3.0.0
В Управляемых экземплярах SQL должна быть включена оценка уязвимостей	Проверка каждого Управляемого экземпляра SQL с отключенной регулярной оценкой уязвимостей. Решение "Оценка уязвимостей" может обнаруживать, отслеживать и помогать исправлять потенциальные уязвимости баз данных.	AuditIfNotExists, Disabled	1.0.1
На серверах SQL Server должна быть включена оценка уязвимости	Аудит серверов SQL Azure, которые не имеют правильной настройки оценки уязвимостей. Решение "Оценка уязвимостей" может обнаруживать, отслеживать и помогать исправлять потенциальные уязвимости баз данных.	AuditIfNotExists, Disabled	3.0.0
Для Шлюза приложений должен быть включен брандмауэр веб-приложения (WAF)	Разверните Брандмауэр веб-приложения Azure (WAF) перед общедоступными веб-приложениями для дополнительной проверки входящего трафика. Брандмауэр веб-приложения (WAF) обеспечивает централизованную защиту веб-приложений от распространенных эксплойтов и уязвимостей, включая внедрение кода SQL, межсайтовые сценарии, а также выполнение локальных и удаленных файлов. Вы также можете ограничить доступ к веб-приложениям по странам, диапазонам IP-адресов и другим параметрам HTTP(S) с помощью настраиваемых правил.	Audit, Deny, Disabled	2.0.0
На компьютерах должны быть включены функции Exploit Guard в Microsoft Defender	Exploit Guard в Microsoft Defender использует агент гостевой конфигурации Политики Azure. Exploit Guard состоит из четырех компонентов, которые предназначены для блокировки устройств с целью защиты от разнообразных векторов атак и блокируют поведение, которое присуще атакам с использованием вредоносных программ, позволяя организациям сбалансировать риски, связанные с угрозами безопасности, и требования к производительности (только для Windows).	AuditIfNotExists, Disabled	2.0.0

Доступ u.10.2 к ИТ-службам и данным — пользователи

В рамках CSP доступ предоставляется администраторам.

Идентификатор: NL BIO Cloud Theme U.10.2 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Подписке должно быть назначено не более 3 владельцев	Мы рекомендуем назначать подписке не более трех владельцев, чтобы снизить вероятность нарушения безопасности при компрометации владельца.	AuditIfNotExists, Disabled	3.0.0
Учетные записи с разрешениями владельца для ресурсов Azure должны быть включены MFA	Следует включить MFA для всех учетных записей подписки с разрешениями владельца, чтобы предотвратить нарушение безопасности учетных записей или ресурсов.	AuditIfNotExists, Disabled	1.0.0
Учетные записи с разрешениями на чтение ресурсов Azure должны быть включены MFA	Следует включить многофакторную проверку подлинности (MFA) для всех учетных записей подписки с разрешениями на чтение, чтобы предотвратить нарушение безопасности учетных записей или ресурсов.	AuditIfNotExists, Disabled	1.0.0
Учетные записи с разрешениями на запись в ресурсах Azure должны быть включены MFA	Следует включить MFA для всех учетных записей подписки с разрешениями на запись, чтобы предотвратить нарушение безопасности учетных записей или ресурсов.	AuditIfNotExists, Disabled	1.0.0
Для серверов SQL должен быть подготовлен администратор Azure Active Directory	Аудит подготовки администратора AAD для включения в SQL Server поддержки проверки подлинности AAD. Эта проверка подлинности упрощает контроль разрешений и обеспечивает централизованное управление удостоверениями пользователей баз данных и других служб Майкрософт.	AuditIfNotExists, Disabled	1.0.0
Приложения Службы приложений должны использовать управляемое удостоверение	Используйте управляемое удостоверение для повышения безопасности проверки подлинности.	AuditIfNotExists, Disabled	3.0.0
Аудит компьютеров Linux, разрешающих удаленные подключения для учетных записей без паролей	Требует развертывания необходимых компонентов в области назначения политики. Для получения подробных сведений посетите веб-страницу https://aka.ms/gcpol. Компьютеры считаются несоответствующими, если при установленной ОС Linux они разрешают удаленные подключения для учетных записей без паролей.	AuditIfNotExists, Disabled	3.1.0
Аудит компьютеров Linux с учетными записями без паролей	Требует развертывания необходимых компонентов в области назначения политики. Для получения подробных сведений посетите веб-страницу https://aka.ms/gcpol. Компьютеры считаются несоответствующими, если при установленной ОС Linux на них действуют учетные записи без паролей.	AuditIfNotExists, Disabled	3.1.0
Аудит использования пользовательских ролей RBAC	Аудит встроенных ролей, таких как "Владелец", "Участник", "Читатель", вместо настраиваемых ролей RBAC, использование которых сопряжено с ошибками. Работа с пользовательскими ролями рассматривается как исключение и требует строгой проверки с моделированием угроз.	Audit, Disabled	1.0.1
Аудит виртуальных машин, которые не используют управляемые диски	Эта политика выполняет аудит виртуальных машин, которые не используют управляемые диски.	audit	1.0.0
Ресурсы Служб искусственного интеллекта Azure должны иметь отключен доступ к ключу (отключить локальную проверку подлинности)	Для обеспечения безопасности рекомендуется отключить доступ к ключам (локальная проверка подлинности). Azure OpenAI Studio, обычно используемый в разработке и тестировании, требует доступа к ключам и не будет функционировать, если доступ к ключу отключен. После отключения идентификатор Microsoft Entra становится единственным методом доступа, который позволяет поддерживать минимальный принцип привилегий и детализированный контроль. См. дополнительные сведения: https://aka.ms/AI/auth.	Audit, Deny, Disabled	1.1.0
Машинное обучение Azure вычисления должны иметь локальные методы проверки подлинности отключены	Отключение локальных методов проверки подлинности повышает безопасность, гарантируя, что Машинное обучение вычисления требуют удостоверения Azure Active Directory исключительно для проверки подлинности. См. дополнительные сведения: https://aka.ms/azure-ml-aad-policy.	Audit, Deny, Disabled	2.1.0
Контроль доступа на основе ролей Azure (RBAC) следует использовать в службах Kubernetes	Чтобы обеспечить детализированную фильтрацию действий, которые могут выполнять пользователи, используйте контроль доступа на основе ролей Azure (RBAC) для управления разрешениями в кластерах служб Kubernetes и настройке соответствующих политик авторизации.	Audit, Disabled	1.0.3
Необходимо удалить заблокированные учетные записи с разрешениями владельца для ресурсов Azure.	Устаревшие учетные записи с разрешениями владельца следует удалять из подписки. Устаревшими считаются те учетные записи, для которых заблокирована возможность входа.	AuditIfNotExists, Disabled	1.0.0
Заблокированные учетные записи с разрешениями на чтение и запись в ресурсах Azure должны быть удалены	Устаревшие учетные записи должны быть удалены из подписок. Устаревшими считаются те учетные записи, для которых заблокирована возможность входа.	AuditIfNotExists, Disabled	1.0.0
Приложения-функции должны использовать управляемое удостоверение	Используйте управляемое удостоверение для повышения безопасности проверки подлинности.	AuditIfNotExists, Disabled	3.0.0
Гостевые учетные записи с разрешениями владельца для ресурсов Azure должны быть удалены	Внешние учетные записи с разрешениями владельца должны быть удалены из подписки, чтобы предотвратить неотслеживаемый доступ.	AuditIfNotExists, Disabled	1.0.0
Гостевые учетные записи с разрешениями на чтение ресурсов Azure должны быть удалены	Внешние учетные записи с правами на чтение должны быть удалены из подписки, чтобы предотвратить неотслеживаемый доступ.	AuditIfNotExists, Disabled	1.0.0
Гостевые учетные записи с разрешениями на запись в ресурсах Azure должны быть удалены	Внешние учетные записи с правами на запись должны быть удалены из подписки, чтобы предотвратить неотслеживаемый доступ.	AuditIfNotExists, Disabled	1.0.0
Кластеры Service Fabric должны использовать только Azure Active Directory для проверки подлинности клиента	Аудит проверки подлинности клиента только через Azure Active Directory в Service Fabric	Audit, Deny, Disabled	1.1.0
Необходимо перенести учетные записи хранения в новые ресурсы Azure Resource Manager	Используйте для своих учетных записей хранения новый выпуск Azure Resource Manager версии 2 с усовершенствованными функциями безопасности, включая более строгое управление доступом (RBAC), улучшенный аудит, развертывание и управление на основе Resource Manager, доступ к управляемым удостоверениям и хранилищам ключей для секретов, проверку подлинности на основе Azure AD, а также поддержку тегов и групп ресурсов, упрощающих управление защитой.	Audit, Deny, Disabled	1.0.0
Учетные записи хранения должны предотвращать доступ к общему ключу	Требование аудита Azure Active Directory (Azure AD) для авторизации запросов для вашей учетной записи хранения. По умолчанию запросы могут быть авторизованы с использованием учетных данных Azure Active Directory или с помощью ключа доступа к учетной записи для авторизации с общим ключом. Из этих двух типов авторизации именно Azure AD обеспечивает повышенную уровень безопасности и простоту использования по сравнению с общим ключом и рекомендуется корпорацией Майкрософт.	Audit, Deny, Disabled	2.0.0
Подписке должно быть назначено более одного владельца	Мы рекомендуем назначить более одного владельца подписки, чтобы обеспечить избыточность для административного доступа.	AuditIfNotExists, Disabled	3.0.0
Виртуальные машины должны быть перенесены на новые ресурсы Azure Resource Manager	Используйте для своих виртуальных машин новый выпуск Azure Resource Manager с улучшенными функциями безопасности, включая более строгий контроль доступа (RBAC), улучшенный аудит, развертывание и управление на основе Azure Resource Manager, доступ к управляемым удостоверениям и хранилищам ключей для секретов, проверку подлинности на основе Azure AD, а также поддержку тегов и групп ресурсов, упрощающих управление защитой.	Audit, Deny, Disabled	1.0.0
VPN-шлюзы должны использовать только проверку подлинности Azure Active Directory (Azure AD) для пользователей типа "точка — сеть"	Отключение методов локальной проверки подлинности повышает безопасность, гарантируя, что VPN-шлюзам потребуются для проверки подлинности только удостоверения Azure Active Directory. Дополнительные сведения о проверке подлинности Azure AD см. в статье, доступной по адресу https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant.	Audit, Deny, Disabled	1.0.0

Доступ u.10.3 к ИТ-службам и данным — пользователи

Доступ к ИТ-службам и данным может получить только пользователи с прошедшим проверку подлинности оборудованием.

Идентификатор: NL BIO Cloud Theme U.10.3 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Подписке должно быть назначено не более 3 владельцев	Мы рекомендуем назначать подписке не более трех владельцев, чтобы снизить вероятность нарушения безопасности при компрометации владельца.	AuditIfNotExists, Disabled	3.0.0
Учетные записи с разрешениями владельца для ресурсов Azure должны быть включены MFA	Следует включить MFA для всех учетных записей подписки с разрешениями владельца, чтобы предотвратить нарушение безопасности учетных записей или ресурсов.	AuditIfNotExists, Disabled	1.0.0
Учетные записи с разрешениями на чтение ресурсов Azure должны быть включены MFA	Следует включить многофакторную проверку подлинности (MFA) для всех учетных записей подписки с разрешениями на чтение, чтобы предотвратить нарушение безопасности учетных записей или ресурсов.	AuditIfNotExists, Disabled	1.0.0
Учетные записи с разрешениями на запись в ресурсах Azure должны быть включены MFA	Следует включить MFA для всех учетных записей подписки с разрешениями на запись, чтобы предотвратить нарушение безопасности учетных записей или ресурсов.	AuditIfNotExists, Disabled	1.0.0
Для серверов SQL должен быть подготовлен администратор Azure Active Directory	Аудит подготовки администратора AAD для включения в SQL Server поддержки проверки подлинности AAD. Эта проверка подлинности упрощает контроль разрешений и обеспечивает централизованное управление удостоверениями пользователей баз данных и других служб Майкрософт.	AuditIfNotExists, Disabled	1.0.0
Служба приложений приложения должны иметь сертификаты клиента (входящие сертификаты клиента)	Сертификаты клиента позволяют приложению запрашивать сертификат для входящих запросов. Приложение будет доступно только клиентам с допустимым сертификатом. Эта политика применяется к приложениям с версией Http, установленной в версии 1.1.	AuditIfNotExists, Disabled	1.0.0
Приложения Службы приложений должны использовать управляемое удостоверение	Используйте управляемое удостоверение для повышения безопасности проверки подлинности.	AuditIfNotExists, Disabled	3.0.0
Аудит компьютеров Linux, разрешающих удаленные подключения для учетных записей без паролей	Требует развертывания необходимых компонентов в области назначения политики. Для получения подробных сведений посетите веб-страницу https://aka.ms/gcpol. Компьютеры считаются несоответствующими, если при установленной ОС Linux они разрешают удаленные подключения для учетных записей без паролей.	AuditIfNotExists, Disabled	3.1.0
Аудит компьютеров Linux с учетными записями без паролей	Требует развертывания необходимых компонентов в области назначения политики. Для получения подробных сведений посетите веб-страницу https://aka.ms/gcpol. Компьютеры считаются несоответствующими, если при установленной ОС Linux на них действуют учетные записи без паролей.	AuditIfNotExists, Disabled	3.1.0
Аудит использования пользовательских ролей RBAC	Аудит встроенных ролей, таких как "Владелец", "Участник", "Читатель", вместо настраиваемых ролей RBAC, использование которых сопряжено с ошибками. Работа с пользовательскими ролями рассматривается как исключение и требует строгой проверки с моделированием угроз.	Audit, Disabled	1.0.1
Аудит виртуальных машин, которые не используют управляемые диски	Эта политика выполняет аудит виртуальных машин, которые не используют управляемые диски.	audit	1.0.0
Ресурсы Служб искусственного интеллекта Azure должны иметь отключен доступ к ключу (отключить локальную проверку подлинности)	Для обеспечения безопасности рекомендуется отключить доступ к ключам (локальная проверка подлинности). Azure OpenAI Studio, обычно используемый в разработке и тестировании, требует доступа к ключам и не будет функционировать, если доступ к ключу отключен. После отключения идентификатор Microsoft Entra становится единственным методом доступа, который позволяет поддерживать минимальный принцип привилегий и детализированный контроль. См. дополнительные сведения: https://aka.ms/AI/auth.	Audit, Deny, Disabled	1.1.0
Машинное обучение Azure вычисления должны иметь локальные методы проверки подлинности отключены	Отключение локальных методов проверки подлинности повышает безопасность, гарантируя, что Машинное обучение вычисления требуют удостоверения Azure Active Directory исключительно для проверки подлинности. См. дополнительные сведения: https://aka.ms/azure-ml-aad-policy.	Audit, Deny, Disabled	2.1.0
Контроль доступа на основе ролей Azure (RBAC) следует использовать в службах Kubernetes	Чтобы обеспечить детализированную фильтрацию действий, которые могут выполнять пользователи, используйте контроль доступа на основе ролей Azure (RBAC) для управления разрешениями в кластерах служб Kubernetes и настройке соответствующих политик авторизации.	Audit, Disabled	1.0.3
Необходимо удалить заблокированные учетные записи с разрешениями владельца для ресурсов Azure.	Устаревшие учетные записи с разрешениями владельца следует удалять из подписки. Устаревшими считаются те учетные записи, для которых заблокирована возможность входа.	AuditIfNotExists, Disabled	1.0.0
Заблокированные учетные записи с разрешениями на чтение и запись в ресурсах Azure должны быть удалены	Устаревшие учетные записи должны быть удалены из подписок. Устаревшими считаются те учетные записи, для которых заблокирована возможность входа.	AuditIfNotExists, Disabled	1.0.0
Приложения-функции должны использовать управляемое удостоверение	Используйте управляемое удостоверение для повышения безопасности проверки подлинности.	AuditIfNotExists, Disabled	3.0.0
Гостевые учетные записи с разрешениями владельца для ресурсов Azure должны быть удалены	Внешние учетные записи с разрешениями владельца должны быть удалены из подписки, чтобы предотвратить неотслеживаемый доступ.	AuditIfNotExists, Disabled	1.0.0
Гостевые учетные записи с разрешениями на чтение ресурсов Azure должны быть удалены	Внешние учетные записи с правами на чтение должны быть удалены из подписки, чтобы предотвратить неотслеживаемый доступ.	AuditIfNotExists, Disabled	1.0.0
Гостевые учетные записи с разрешениями на запись в ресурсах Azure должны быть удалены	Внешние учетные записи с правами на запись должны быть удалены из подписки, чтобы предотвратить неотслеживаемый доступ.	AuditIfNotExists, Disabled	1.0.0
Кластеры Service Fabric должны использовать только Azure Active Directory для проверки подлинности клиента	Аудит проверки подлинности клиента только через Azure Active Directory в Service Fabric	Audit, Deny, Disabled	1.1.0
Для серверов SQL Server с аудитом в назначении учетной записи хранения следует настроить срок хранения длительностью 90 дней или более	Для исследования инцидентов мы рекомендуем задать срок хранения данных аудита SQL Server в назначении учетной записи хранения длительностью как минимум 90 дней. Убедитесь, что соблюдаются необходимые правила хранения для регионов, в которых вы работаете. Иногда это необходимо для обеспечения соответствия нормативным стандартам.	AuditIfNotExists, Disabled	3.0.0
Необходимо перенести учетные записи хранения в новые ресурсы Azure Resource Manager	Используйте для своих учетных записей хранения новый выпуск Azure Resource Manager версии 2 с усовершенствованными функциями безопасности, включая более строгое управление доступом (RBAC), улучшенный аудит, развертывание и управление на основе Resource Manager, доступ к управляемым удостоверениям и хранилищам ключей для секретов, проверку подлинности на основе Azure AD, а также поддержку тегов и групп ресурсов, упрощающих управление защитой.	Audit, Deny, Disabled	1.0.0
Учетные записи хранения должны предотвращать доступ к общему ключу	Требование аудита Azure Active Directory (Azure AD) для авторизации запросов для вашей учетной записи хранения. По умолчанию запросы могут быть авторизованы с использованием учетных данных Azure Active Directory или с помощью ключа доступа к учетной записи для авторизации с общим ключом. Из этих двух типов авторизации именно Azure AD обеспечивает повышенную уровень безопасности и простоту использования по сравнению с общим ключом и рекомендуется корпорацией Майкрософт.	Audit, Deny, Disabled	2.0.0
Виртуальные машины должны быть перенесены на новые ресурсы Azure Resource Manager	Используйте для своих виртуальных машин новый выпуск Azure Resource Manager с улучшенными функциями безопасности, включая более строгий контроль доступа (RBAC), улучшенный аудит, развертывание и управление на основе Azure Resource Manager, доступ к управляемым удостоверениям и хранилищам ключей для секретов, проверку подлинности на основе Azure AD, а также поддержку тегов и групп ресурсов, упрощающих управление защитой.	Audit, Deny, Disabled	1.0.0
VPN-шлюзы должны использовать только проверку подлинности Azure Active Directory (Azure AD) для пользователей типа "точка — сеть"	Отключение методов локальной проверки подлинности повышает безопасность, гарантируя, что VPN-шлюзам потребуются для проверки подлинности только удостоверения Azure Active Directory. Дополнительные сведения о проверке подлинности Azure AD см. в статье, доступной по адресу https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant.	Audit, Deny, Disabled	1.0.0

Доступ u.10.5 к ИТ-службам и данным — компетентный

Доступ к ИТ-службам и данным ограничен техническими мерами и реализован.

Идентификатор: NL BIO Cloud Theme U.10.5 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Подписке должно быть назначено не более 3 владельцев	Мы рекомендуем назначать подписке не более трех владельцев, чтобы снизить вероятность нарушения безопасности при компрометации владельца.	AuditIfNotExists, Disabled	3.0.0
Учетные записи с разрешениями владельца для ресурсов Azure должны быть включены MFA	Следует включить MFA для всех учетных записей подписки с разрешениями владельца, чтобы предотвратить нарушение безопасности учетных записей или ресурсов.	AuditIfNotExists, Disabled	1.0.0
Учетные записи с разрешениями на чтение ресурсов Azure должны быть включены MFA	Следует включить многофакторную проверку подлинности (MFA) для всех учетных записей подписки с разрешениями на чтение, чтобы предотвратить нарушение безопасности учетных записей или ресурсов.	AuditIfNotExists, Disabled	1.0.0
Учетные записи с разрешениями на запись в ресурсах Azure должны быть включены MFA	Следует включить MFA для всех учетных записей подписки с разрешениями на запись, чтобы предотвратить нарушение безопасности учетных записей или ресурсов.	AuditIfNotExists, Disabled	1.0.0
Для серверов SQL должен быть подготовлен администратор Azure Active Directory	Аудит подготовки администратора AAD для включения в SQL Server поддержки проверки подлинности AAD. Эта проверка подлинности упрощает контроль разрешений и обеспечивает централизованное управление удостоверениями пользователей баз данных и других служб Майкрософт.	AuditIfNotExists, Disabled	1.0.0
Приложения Службы приложений должны использовать управляемое удостоверение	Используйте управляемое удостоверение для повышения безопасности проверки подлинности.	AuditIfNotExists, Disabled	3.0.0
Аудит компьютеров Linux, разрешающих удаленные подключения для учетных записей без паролей	Требует развертывания необходимых компонентов в области назначения политики. Для получения подробных сведений посетите веб-страницу https://aka.ms/gcpol. Компьютеры считаются несоответствующими, если при установленной ОС Linux они разрешают удаленные подключения для учетных записей без паролей.	AuditIfNotExists, Disabled	3.1.0
Аудит компьютеров Linux с учетными записями без паролей	Требует развертывания необходимых компонентов в области назначения политики. Для получения подробных сведений посетите веб-страницу https://aka.ms/gcpol. Компьютеры считаются несоответствующими, если при установленной ОС Linux на них действуют учетные записи без паролей.	AuditIfNotExists, Disabled	3.1.0
Аудит использования пользовательских ролей RBAC	Аудит встроенных ролей, таких как "Владелец", "Участник", "Читатель", вместо настраиваемых ролей RBAC, использование которых сопряжено с ошибками. Работа с пользовательскими ролями рассматривается как исключение и требует строгой проверки с моделированием угроз.	Audit, Disabled	1.0.1
Аудит виртуальных машин, которые не используют управляемые диски	Эта политика выполняет аудит виртуальных машин, которые не используют управляемые диски.	audit	1.0.0
Ресурсы Служб искусственного интеллекта Azure должны иметь отключен доступ к ключу (отключить локальную проверку подлинности)	Для обеспечения безопасности рекомендуется отключить доступ к ключам (локальная проверка подлинности). Azure OpenAI Studio, обычно используемый в разработке и тестировании, требует доступа к ключам и не будет функционировать, если доступ к ключу отключен. После отключения идентификатор Microsoft Entra становится единственным методом доступа, который позволяет поддерживать минимальный принцип привилегий и детализированный контроль. См. дополнительные сведения: https://aka.ms/AI/auth.	Audit, Deny, Disabled	1.1.0
Машинное обучение Azure вычисления должны иметь локальные методы проверки подлинности отключены	Отключение локальных методов проверки подлинности повышает безопасность, гарантируя, что Машинное обучение вычисления требуют удостоверения Azure Active Directory исключительно для проверки подлинности. См. дополнительные сведения: https://aka.ms/azure-ml-aad-policy.	Audit, Deny, Disabled	2.1.0
Контроль доступа на основе ролей Azure (RBAC) следует использовать в службах Kubernetes	Чтобы обеспечить детализированную фильтрацию действий, которые могут выполнять пользователи, используйте контроль доступа на основе ролей Azure (RBAC) для управления разрешениями в кластерах служб Kubernetes и настройке соответствующих политик авторизации.	Audit, Disabled	1.0.3
Необходимо удалить заблокированные учетные записи с разрешениями владельца для ресурсов Azure.	Устаревшие учетные записи с разрешениями владельца следует удалять из подписки. Устаревшими считаются те учетные записи, для которых заблокирована возможность входа.	AuditIfNotExists, Disabled	1.0.0
Заблокированные учетные записи с разрешениями на чтение и запись в ресурсах Azure должны быть удалены	Устаревшие учетные записи должны быть удалены из подписок. Устаревшими считаются те учетные записи, для которых заблокирована возможность входа.	AuditIfNotExists, Disabled	1.0.0
Приложения-функции должны использовать управляемое удостоверение	Используйте управляемое удостоверение для повышения безопасности проверки подлинности.	AuditIfNotExists, Disabled	3.0.0
Гостевые учетные записи с разрешениями владельца для ресурсов Azure должны быть удалены	Внешние учетные записи с разрешениями владельца должны быть удалены из подписки, чтобы предотвратить неотслеживаемый доступ.	AuditIfNotExists, Disabled	1.0.0
Гостевые учетные записи с разрешениями на чтение ресурсов Azure должны быть удалены	Внешние учетные записи с правами на чтение должны быть удалены из подписки, чтобы предотвратить неотслеживаемый доступ.	AuditIfNotExists, Disabled	1.0.0
Гостевые учетные записи с разрешениями на запись в ресурсах Azure должны быть удалены	Внешние учетные записи с правами на запись должны быть удалены из подписки, чтобы предотвратить неотслеживаемый доступ.	AuditIfNotExists, Disabled	1.0.0
Кластеры Service Fabric должны использовать только Azure Active Directory для проверки подлинности клиента	Аудит проверки подлинности клиента только через Azure Active Directory в Service Fabric	Audit, Deny, Disabled	1.1.0
Необходимо перенести учетные записи хранения в новые ресурсы Azure Resource Manager	Используйте для своих учетных записей хранения новый выпуск Azure Resource Manager версии 2 с усовершенствованными функциями безопасности, включая более строгое управление доступом (RBAC), улучшенный аудит, развертывание и управление на основе Resource Manager, доступ к управляемым удостоверениям и хранилищам ключей для секретов, проверку подлинности на основе Azure AD, а также поддержку тегов и групп ресурсов, упрощающих управление защитой.	Audit, Deny, Disabled	1.0.0
Учетные записи хранения должны предотвращать доступ к общему ключу	Требование аудита Azure Active Directory (Azure AD) для авторизации запросов для вашей учетной записи хранения. По умолчанию запросы могут быть авторизованы с использованием учетных данных Azure Active Directory или с помощью ключа доступа к учетной записи для авторизации с общим ключом. Из этих двух типов авторизации именно Azure AD обеспечивает повышенную уровень безопасности и простоту использования по сравнению с общим ключом и рекомендуется корпорацией Майкрософт.	Audit, Deny, Disabled	2.0.0
Виртуальные машины должны быть перенесены на новые ресурсы Azure Resource Manager	Используйте для своих виртуальных машин новый выпуск Azure Resource Manager с улучшенными функциями безопасности, включая более строгий контроль доступа (RBAC), улучшенный аудит, развертывание и управление на основе Azure Resource Manager, доступ к управляемым удостоверениям и хранилищам ключей для секретов, проверку подлинности на основе Azure AD, а также поддержку тегов и групп ресурсов, упрощающих управление защитой.	Audit, Deny, Disabled	1.0.0
VPN-шлюзы должны использовать только проверку подлинности Azure Active Directory (Azure AD) для пользователей типа "точка — сеть"	Отключение методов локальной проверки подлинности повышает безопасность, гарантируя, что VPN-шлюзам потребуются для проверки подлинности только удостоверения Azure Active Directory. Дополнительные сведения о проверке подлинности Azure AD см. в статье, доступной по адресу https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant.	Audit, Deny, Disabled	1.0.0

Криптослужбы U.11.1 — политика

В политике шифрования, по крайней мере, субъекты в соответствии с BIO были разработаны.

Идентификатор: NL BIO Cloud Theme U.11.1 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Учетные записи с разрешениями на запись в ресурсах Azure должны быть включены MFA	Следует включить MFA для всех учетных записей подписки с разрешениями на запись, чтобы предотвратить нарушение безопасности учетных записей или ресурсов.	AuditIfNotExists, Disabled	1.0.0
Приложения Службы приложений Azure должны быть доступны только по протоколу HTTPS	Использование HTTPS обеспечивает проверку подлинности сервера и служб, а также защищает передаваемые данные от перехвата на сетевом уровне.	Audit, Disabled, Deny	4.0.0
Приложения Службы приложений должны требовать только FTPS	Включите принудительное использование FTPS для повышения безопасности.	AuditIfNotExists, Disabled	3.0.0
Приложения Службы приложений должны использовать последнюю версию TLS	Периодически новые версии выпускаются для TLS из-за недостатков безопасности, включают дополнительные функциональные возможности и повышают скорость. Обновите последнюю версию TLS для приложений Служба приложений, чтобы воспользоваться преимуществами исправлений безопасности, если таковые имеются и (или) новые функции последней версии.	AuditIfNotExists, Disabled	2.0.1
Аудит компьютеров Windows, которые не хранят пароли с использованием обратимого шифрования	Требует развертывания необходимых компонентов в области назначения политики. Для получения подробных сведений посетите веб-страницу https://aka.ms/gcpol. Компьютеры считаются несоответствующими, если при установленной ОС Windows они не хранят пароли с использованием обратимого шифрования.	AuditIfNotExists, Disabled	2.0.0
Необходимо включить шифрование для переменных учетной записи службы автоматизации	Обязательно включайте шифрование ресурсов переменных в учетной записи службы автоматизации при хранении конфиденциальных данных.	Audit, Deny, Disabled	1.1.0
Кластеры Azure HDInsight должны использовать шифрование при передаче для шифрования обмена данными между узлами кластеров Azure HDInsight	Данные могут быть изменены во время передачи между узлами кластеров Azure HDInsight. Включение шифрования при передаче устраняет проблемы несанкционированного использования и незаконного изменения данных во время передачи.	Audit, Deny, Disabled	1.0.0
Для серверов баз данных MySQL должно быть включено принудительное использование SSL-соединения	База данных Azure для MySQL поддерживает подключение сервера базы данных Azure для MySQL к клиентским приложениям с помощью протокола SSL (Secure Sockets Layer). Принудительное использование SSL-соединений между сервером базы данных и клиентскими приложениями помогает обеспечить защиту от атак "злоумышленник в середине" за счет шифрования потока данных между сервером и приложением. Эта конфигурация обеспечивает постоянную поддержку протокола SSL для доступа к серверу базы данных.	Audit, Disabled	1.0.1
Для серверов баз данных PostgreSQL должно быть включено принудительное использование SSL-соединения	База данных Azure для PostgreSQL поддерживает подключение сервера Базы данных Azure для PostgreSQL к клиентским приложениям с помощью протокола SSL (Secure Sockets Layer). Принудительное использование SSL-соединений между сервером базы данных и клиентскими приложениями помогает обеспечить защиту от атак "злоумышленник в середине" за счет шифрования потока данных между сервером и приложением. Эта конфигурация обеспечивает постоянную поддержку протокола SSL для доступа к серверу базы данных.	Audit, Disabled	1.0.1
Приложения-функции должны быть доступны только по протоколу HTTPS	Использование HTTPS обеспечивает проверку подлинности сервера и служб, а также защищает передаваемые данные от перехвата на сетевом уровне.	Audit, Disabled, Deny	5.0.0
Приложения-функции должны требовать только FTPS	Включите принудительное использование FTPS для повышения безопасности.	AuditIfNotExists, Disabled	3.0.0
Приложения-функции должны использовать последнюю версию TLS	Периодически новые версии выпускаются для TLS из-за недостатков безопасности, включают дополнительные функциональные возможности и повышают скорость. Обновите последнюю версию TLS для приложений-функций, чтобы воспользоваться преимуществами исправлений безопасности, если таковые имеются, и (или) новые функциональные возможности последней версии.	AuditIfNotExists, Disabled	2.0.1
Кластеры Kubernetes должны быть доступны только по протоколу HTTPS	Использование HTTPS обеспечивает аутентификацию, а также защищает передаваемые данные от перехвата на сетевом уровне. Эта возможность в настоящее время общедоступна для службы Kubernetes (AKS) и в предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. на следующей странице: https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	8.1.0
Использование только безопасных подключений к Кэшу Azure для Redis	Аудит активации только подключений по протоколу SSL к кэшу Azure для Redis. Использование безопасных подключений обеспечивает проверку подлинности между сервером и службой, а также защищает переносимые данные от атак сетевого уровня, таких как "злоумышленник в середине", прослушивание трафика и перехват сеанса.	Audit, Deny, Disabled	1.0.0
Должно выполняться безопасное перемещение в учетные записи хранения	Настройка требования выполнять аудит для безопасного переноса в учетную запись хранения. Безопасная передача данных — это параметр, при включении которого ваша учетная запись хранения принимает запросы только с безопасных подключений (HTTPS). Протокол HTTPS обеспечивает проверку подлинности между сервером и службой, а также защищает перемещаемые данные от атак сетевого уровня, таких как "злоумышленник в середине", прослушивание трафика и перехват сеанса.	Audit, Deny, Disabled	2.0.0
Свойство ClusterProtectionLevel в кластерах Service Fabric должно иметь значение EncryptAndSign	Service Fabric поддерживает три уровня защиты (None (Нет), Sign (Подписывание) и EncryptAndSign (Шифрование и подписывание)) для взаимодействия между узлами с использованием основного сертификата кластера. Задайте уровень защиты, чтобы обеспечить шифрование и цифровое подписывание всех сообщений между узлами.	Audit, Deny, Disabled	1.1.0
В базах данных SQL должно применяться прозрачное шифрование данных	Для защиты неактивных данных и обеспечения соответствия требованиям должно быть включено прозрачное шифрование данных.	AuditIfNotExists, Disabled	2.0.0
Виртуальные машины должны шифровать временные диски, кэши и потоки данных между вычислительными ресурсами и ресурсами хранилища	По умолчанию ОС и диски данных виртуальной машины шифруются в неактивном состоянии с помощью ключей, управляемых платформой. Временные диски, кэши данных и данные, передаваемые между вычислениями и хранилищем, не шифруются. Не учитывайте эту рекомендацию, если используется шифрование на узле или если шифрование на стороне сервера для управляемых дисков соответствует вашим требованиям к безопасности. Дополнительные сведения см. в разделах: "Шифрование Хранилища дисков Azure на стороне сервера": https://aka.ms/disksse, "Различные предложения для шифрования дисков": https://aka.ms/diskencryptioncomparison.	AuditIfNotExists, Disabled	2.0.3
Компьютеры Windows должны быть настроены для использования безопасных протоколов связи	Чтобы защитить конфиденциальность информации, переданной через Интернет, компьютеры должны использовать последнюю версию стандартного криптографического протокола, tls. TLS защищает обмен данными по сети путем шифрования подключения между компьютерами.	AuditIfNotExists, Disabled	4.1.1

Криптослужбы U.11.2 — криптографические меры

Если сертификаты PKIoverheid используют требования PKIoverheid для управления ключами. В других ситуациях используйте ISO11770.

Идентификатор: NL BIO Cloud Theme U.11.2 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Учетные записи с разрешениями на запись в ресурсах Azure должны быть включены MFA	Следует включить MFA для всех учетных записей подписки с разрешениями на запись, чтобы предотвратить нарушение безопасности учетных записей или ресурсов.	AuditIfNotExists, Disabled	1.0.0
Приложения Службы приложений Azure должны быть доступны только по протоколу HTTPS	Использование HTTPS обеспечивает проверку подлинности сервера и служб, а также защищает передаваемые данные от перехвата на сетевом уровне.	Audit, Disabled, Deny	4.0.0
Приложения Службы приложений должны требовать только FTPS	Включите принудительное использование FTPS для повышения безопасности.	AuditIfNotExists, Disabled	3.0.0
Приложения Службы приложений должны использовать последнюю версию TLS	Периодически новые версии выпускаются для TLS из-за недостатков безопасности, включают дополнительные функциональные возможности и повышают скорость. Обновите последнюю версию TLS для приложений Служба приложений, чтобы воспользоваться преимуществами исправлений безопасности, если таковые имеются и (или) новые функции последней версии.	AuditIfNotExists, Disabled	2.0.1
Аудит компьютеров Windows, которые не хранят пароли с использованием обратимого шифрования	Требует развертывания необходимых компонентов в области назначения политики. Для получения подробных сведений посетите веб-страницу https://aka.ms/gcpol. Компьютеры считаются несоответствующими, если при установленной ОС Windows они не хранят пароли с использованием обратимого шифрования.	AuditIfNotExists, Disabled	2.0.0
Необходимо включить шифрование для переменных учетной записи службы автоматизации	Обязательно включайте шифрование ресурсов переменных в учетной записи службы автоматизации при хранении конфиденциальных данных.	Audit, Deny, Disabled	1.1.0
Кластеры Azure HDInsight должны использовать шифрование при передаче для шифрования обмена данными между узлами кластеров Azure HDInsight	Данные могут быть изменены во время передачи между узлами кластеров Azure HDInsight. Включение шифрования при передаче устраняет проблемы несанкционированного использования и незаконного изменения данных во время передачи.	Audit, Deny, Disabled	1.0.0
Для серверов баз данных MySQL должно быть включено принудительное использование SSL-соединения	База данных Azure для MySQL поддерживает подключение сервера базы данных Azure для MySQL к клиентским приложениям с помощью протокола SSL (Secure Sockets Layer). Принудительное использование SSL-соединений между сервером базы данных и клиентскими приложениями помогает обеспечить защиту от атак "злоумышленник в середине" за счет шифрования потока данных между сервером и приложением. Эта конфигурация обеспечивает постоянную поддержку протокола SSL для доступа к серверу базы данных.	Audit, Disabled	1.0.1
Для серверов баз данных PostgreSQL должно быть включено принудительное использование SSL-соединения	База данных Azure для PostgreSQL поддерживает подключение сервера Базы данных Azure для PostgreSQL к клиентским приложениям с помощью протокола SSL (Secure Sockets Layer). Принудительное использование SSL-соединений между сервером базы данных и клиентскими приложениями помогает обеспечить защиту от атак "злоумышленник в середине" за счет шифрования потока данных между сервером и приложением. Эта конфигурация обеспечивает постоянную поддержку протокола SSL для доступа к серверу базы данных.	Audit, Disabled	1.0.1
Приложения-функции должны быть доступны только по протоколу HTTPS	Использование HTTPS обеспечивает проверку подлинности сервера и служб, а также защищает передаваемые данные от перехвата на сетевом уровне.	Audit, Disabled, Deny	5.0.0
Приложения-функции должны требовать только FTPS	Включите принудительное использование FTPS для повышения безопасности.	AuditIfNotExists, Disabled	3.0.0
Приложения-функции должны использовать последнюю версию TLS	Периодически новые версии выпускаются для TLS из-за недостатков безопасности, включают дополнительные функциональные возможности и повышают скорость. Обновите последнюю версию TLS для приложений-функций, чтобы воспользоваться преимуществами исправлений безопасности, если таковые имеются, и (или) новые функциональные возможности последней версии.	AuditIfNotExists, Disabled	2.0.1
Кластеры Kubernetes должны быть доступны только по протоколу HTTPS	Использование HTTPS обеспечивает аутентификацию, а также защищает передаваемые данные от перехвата на сетевом уровне. Эта возможность в настоящее время общедоступна для службы Kubernetes (AKS) и в предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. на следующей странице: https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	8.1.0
Использование только безопасных подключений к Кэшу Azure для Redis	Аудит активации только подключений по протоколу SSL к кэшу Azure для Redis. Использование безопасных подключений обеспечивает проверку подлинности между сервером и службой, а также защищает переносимые данные от атак сетевого уровня, таких как "злоумышленник в середине", прослушивание трафика и перехват сеанса.	Audit, Deny, Disabled	1.0.0
Должно выполняться безопасное перемещение в учетные записи хранения	Настройка требования выполнять аудит для безопасного переноса в учетную запись хранения. Безопасная передача данных — это параметр, при включении которого ваша учетная запись хранения принимает запросы только с безопасных подключений (HTTPS). Протокол HTTPS обеспечивает проверку подлинности между сервером и службой, а также защищает перемещаемые данные от атак сетевого уровня, таких как "злоумышленник в середине", прослушивание трафика и перехват сеанса.	Audit, Deny, Disabled	2.0.0
Свойство ClusterProtectionLevel в кластерах Service Fabric должно иметь значение EncryptAndSign	Service Fabric поддерживает три уровня защиты (None (Нет), Sign (Подписывание) и EncryptAndSign (Шифрование и подписывание)) для взаимодействия между узлами с использованием основного сертификата кластера. Задайте уровень защиты, чтобы обеспечить шифрование и цифровое подписывание всех сообщений между узлами.	Audit, Deny, Disabled	1.1.0
В базах данных SQL должно применяться прозрачное шифрование данных	Для защиты неактивных данных и обеспечения соответствия требованиям должно быть включено прозрачное шифрование данных.	AuditIfNotExists, Disabled	2.0.0
Виртуальные машины должны шифровать временные диски, кэши и потоки данных между вычислительными ресурсами и ресурсами хранилища	По умолчанию ОС и диски данных виртуальной машины шифруются в неактивном состоянии с помощью ключей, управляемых платформой. Временные диски, кэши данных и данные, передаваемые между вычислениями и хранилищем, не шифруются. Не учитывайте эту рекомендацию, если используется шифрование на узле или если шифрование на стороне сервера для управляемых дисков соответствует вашим требованиям к безопасности. Дополнительные сведения см. в разделах: "Шифрование Хранилища дисков Azure на стороне сервера": https://aka.ms/disksse, "Различные предложения для шифрования дисков": https://aka.ms/diskencryptioncomparison.	AuditIfNotExists, Disabled	2.0.3
Компьютеры Windows должны быть настроены для использования безопасных протоколов связи	Чтобы защитить конфиденциальность информации, переданной через Интернет, компьютеры должны использовать последнюю версию стандартного криптографического протокола, tls. TLS защищает обмен данными по сети путем шифрования подключения между компьютерами.	AuditIfNotExists, Disabled	4.1.1

Криптослужбы U.11.3 — зашифрованные

Конфиденциальные данные всегда шифруются с закрытыми ключами, управляемыми CSC.

Идентификатор: NL BIO Cloud Theme U.11.3 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
[Предварительная версия]. Хранилища Служб восстановления Azure должны использовать управляемые клиентом ключи для шифрования данных резервных копий.	Используйте ключи, управляемые клиентом, для управления шифрованием неактивных данных резервных копий. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/AB-CmkEncryption.	Audit, Deny, Disabled	1.0.0 (предварительная версия)
[Предварительная версия]. На поддерживаемых виртуальных машинах Linux должно быть установлено расширение аттестации гостей	Установка расширения аттестации гостей на поддерживаемых виртуальных машинах Linux, чтобы Центр безопасности Azure мог осуществлять профилактическую оценку и мониторинг целостности загрузки. После установки целостность загрузки будет подтверждаться с помощью удаленной аттестации. Эта оценка относится к доверенным запускам и конфиденциальным виртуальным машинам Linux.	AuditIfNotExists, Disabled	6.0.0-preview
[Предварительная версия]. На поддерживаемых масштабируемых наборах виртуальных машин Linux должно быть установлено расширение аттестации гостей	Установка расширения аттестации гостей на поддерживаемых масштабируемых наборах виртуальных машин Linux, чтобы Центр безопасности Azure мог осуществлять профилактическую оценку и мониторинг целостности загрузки. После установки целостность загрузки будет подтверждаться с помощью удаленной аттестации. Эта оценка относится к масштабируемым наборам доверенных запусков и конфиденциальных виртуальных машин Linux.	AuditIfNotExists, Disabled	5.1.0-preview
[Предварительная версия]. На поддерживаемых виртуальных машинах Windows должно быть установлено расширение аттестации гостей	Установка расширения аттестации гостей на поддерживаемых виртуальных машинах, чтобы Центр безопасности Azure мог осуществлять профилактическую оценку и мониторинг целостности загрузки. После установки целостность загрузки будет подтверждаться с помощью удаленной аттестации. Эта оценка относится к доверенным запускам и конфиденциальным виртуальным машинам Windows.	AuditIfNotExists, Disabled	4.0.0 (предварительная версия)
[Предварительная версия]. На поддерживаемых масштабируемых наборах виртуальных машин Windows должно быть установлено расширение аттестации гостей	Установка расширения аттестации гостей на поддерживаемых масштабируемых наборах виртуальных машин, чтобы Центр безопасности Azure мог осуществлять профилактическую оценку и мониторинг целостности загрузки. После установки целостность загрузки будет подтверждаться с помощью удаленной аттестации. Эта оценка применяется к масштабируемым наборам доверенных запусков и конфиденциальных виртуальных машин Windows.	AuditIfNotExists, Disabled	3.1.0-preview
[Предварительная версия]. Данные Службы подготовки устройств к добавлению в Центр Интернета вещей должны быть зашифрованы ключами под управлением клиента	Используйте ключи, управляемые клиентом, для шифрования неактивных данных в Службе подготовки устройств к добавлению в Центр Интернета вещей. Неактивные данные автоматически шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются управляемые клиентом ключи (CMK). Ключи CMK позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. См. дополнительные сведения о шифровании CMK: https://aka.ms/dps/CMK.	Audit, Deny, Disabled	1.0.0 (предварительная версия)
[Предварительная версия]. На поддерживаемых виртуальных машинах Windows должна быть включена безопасная загрузка	Включение безопасной загрузки на поддерживаемых виртуальных машинах Windows помогает предотвратить вредоносные и несанкционированные изменения в цепочке загрузки. После включения могут выполняться только доверенные загрузчики, драйверы ядра и ядра. Эта оценка относится к доверенным запускам и конфиденциальным виртуальным машинам Windows.	Audit, Disabled	4.0.0 (предварительная версия)
[Предварительная версия]. На поддерживаемых виртуальных машинах должен быть включен модуль vTPM	Включение виртуального устройства TPM на поддерживаемых виртуальных машинах, чтобы упростить измеряемую загрузку и реализацию других функций безопасности ОС, для которых требуется доверенный платформенный модуль. После включения vTPM можно использовать для проверки целостности загрузки. Эта оценка применяется только к доверенным виртуальным машинам с включенным запуском.	Audit, Disabled	2.0.0-preview
Служба "Azure API для FHIR" должна использовать для шифрования неактивных данных ключ, управляемый клиентом	Используйте ключи, управляемые клиентом, чтобы управлять шифрованием неактивных данных, хранящихся в службе "Azure API для FHIR", если это предусмотрено нормативными требованиями. Кроме того, ключи, управляемые клиентом,обеспечивают двойное шифрование, добавляя второй уровень шифрования поверх заданного по умолчанию способа (с помощью ключей, управляемых службой).	audit, Audit, disabled, Disabled	1.1.0
Учетные записи службы автоматизации Azure должны использовать управляемые клиентом ключи для шифрования неактивных данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивного содержимого в учетных записях службы автоматизации Azure. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/automation-cmk.	Audit, Deny, Disabled	1.0.0
Учетная запись пакетной службы Azure должна использовать управляемые клиентом ключи для шифрования данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивных данных в учетной записи пакетной службы. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/Batch-CMK.	Audit, Deny, Disabled	1.0.1
Для пулов пакетной службы Azure должно быть включено шифрование дисков	Включение шифрования дисков для пакетной службы Azure гарантирует, что данные в вычислительном узле пакетной службы Azure всегда шифруются в неактивном виде. Дополнительные сведения о шифровании дисков в пакетной службе см. на странице https://docs.microsoft.com/azure/batch/disk-encryption.	Audit, Disabled, Deny	1.0.0
Группа контейнеров экземпляров контейнеров Azure должна использовать для шифрования ключ, управляемый клиентом	Защита контейнеров благодаря увеличению гибкости с помощью ключей, управляемых клиентом. Указанный ключ CMK используется для защиты доступа к ключу, который шифрует данные, и управления этим доступом. Использование ключей, управляемых клиентом, предоставляет дополнительные возможности для управления сменой ключей шифрования или криптографического стирания данных.	Audit, Disabled, Deny	1.0.0
Учетные записи Azure Cosmos DB должны использовать управляемые клиентом ключи для шифрования неактивных данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивного содержимого в Azure Cosmos DB. По умолчанию неактивные данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/cosmosdb-cmk.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
В заданиях Azure Data Box должно быть включено двойное шифрование для неактивных данных на устройстве	Включите второй уровень программного шифрования для неактивных данных на устройстве. Устройство уже защищено с помощью 256-разрядного шифрования AES для неактивных данных. Этот параметр добавляет второй уровень шифрования данных.	Audit, Deny, Disabled	1.0.0
В заданиях Azure Data Box для шифрования пароля разблокировки устройства должен использоваться ключ, управляемый клиентом	Для управления шифрованием пароля разблокировки устройства для Azure Data Box следует использовать ключ, управляемый клиентом. Ключи, управляемые клиентом, также позволяют управлять доступом службы Data Box к паролю разблокировки устройства, чтобы подготовить устройство и автоматически копировать данные. Данные на самом устройстве шифруются при хранении с помощью 256-разрядного шифрования AES, а пароль разблокировки устройства шифруется по умолчанию с помощью ключа, управляемого Майкрософт.	Audit, Deny, Disabled	1.0.0
Во время шифрования неактивных данных в Azure Data Explorer должен использоваться управляемый клиентом ключ	Включение шифрования неактивных данных с помощью управляемого клиентом ключа в кластере Azure Data Explorer обеспечивает дополнительный контроль над ключом, используемым для шифрования неактивных данных. Эта функция часто применяется для клиентов с особыми нормативными требованиями. Для управления ключами требуется Key Vault.	Audit, Deny, Disabled	1.0.0
Фабрики данных Azure необходимо шифровать с помощью ключа, управляемого клиентом	Используйте ключи, управляемые клиентом, для управления шифрованием неактивных данных в Фабрике данных Azure. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/adf-cmk.	Audit, Deny, Disabled	1.0.1
Для устройств Центра оборудования Azure для граничных вычислений должна быть включена поддержка двойного шифрования	Убедитесь, что для устройств, заказанных в Центре оборудования Azure для граничных вычислений, включена поддержка двойного шифрования. Это необходимо для защиты неактивных данных на устройствах. Этот параметр добавляет второй уровень шифрования данных.	Audit, Deny, Disabled	2.0.0
Кластеры Azure HDInsight должны использовать ключи, управляемые клиентом, для шифрования неактивных данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивного содержимого в кластерах Azure HDInsight. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/hdi.cmk.	Audit, Deny, Disabled	1.0.1
Кластеры Azure HDInsight должны использовать шифрование на узле для шифрования неактивных данных	Включение шифрования на узле помогает защитить данные согласно корпоративным обязательствам по обеспечению безопасности и соответствия. При включении шифрования на узле данные, хранящиеся на узле виртуальной машины, шифруются при хранении и передаются в зашифрованном виде в службу хранилища.	Audit, Deny, Disabled	1.0.0
Рабочие области Машинного обучения Azure должны быть зашифрованы с использованием ключа, управляемого клиентом	Управляйте шифрованием неактивных данных рабочей области Машинного обучения Azure с помощью ключей, управляемых клиентом. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/azureml-workspaces-cmk.	Audit, Deny, Disabled	1.0.3
Кластеры журналов Azure Monitor должны быть созданы с включенным шифрованием инфраструктуры (двойным шифрованием)	Чтобы обеспечить безопасное шифрование данных на уровне службы и на уровне инфраструктуры с применением двух разных алгоритмов шифрования и двух разных ключей, используйте выделенный кластер Azure Monitor. Этот параметр включен по умолчанию, если поддерживается в регионе (см. раздел https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview).	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Кластеры журналов Azure Monitor должны использовать шифрование с ключами, управляемыми клиентом	Создайте кластер журналов Azure Monitor с шифрованием с ключами, управляемыми клиентом. По умолчанию данные журналов шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключ, управляемый клиентом, в Azure Monitor предоставляет более полный контроль над доступом к данным (см. раздел https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys).	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Для шифрования данных задания Azure Stream Analytics должны использоваться ключи, управляемые клиентом	Чтобы обеспечить безопасное хранение метаданных и частных ресурсов данных для заданий Stream Analytics в учетной записи хранения, используйте ключи, управляемые клиентом. Таким образом, вы сможете полностью контролировать шифрование данных Stream Analytics.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Рабочие области Azure Synapse должны использовать ключи, управляемые клиентом, для шифрования неактивных данных	Используйте управляемые клиентом ключи для управления шифрованием неактивных данных, хранящихся в рабочих областях Azure Synapse. Кроме того, ключи, управляемые клиентом, обеспечивают двойное шифрование, добавляя второй уровень шифрования поверх заданного по умолчанию способа (с помощью ключей, управляемых службой).	Audit, Deny, Disabled	1.0.0
Служба Bot должна шифроваться с помощью ключа, управляемого клиентом	Служба Azure Bot автоматически шифрует ваш ресурс для обеспечения защиты данных и соблюдения требований к безопасности и соответствию в организации. По умолчанию используются ключи шифрования, управляемые корпорацией Майкрософт. Для большей гибкости управления ключами или управления доступом к подписке выберите ключи, управляемые клиентом, которые также называются собственными ключами (BYOK). Подробнее о шифровании в службе Azure Bot: https://docs.microsoft.com/azure/bot-service/bot-service-encryption.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Операционные системы и диски данных в кластерах Службы Azure Kubernetes должны быть зашифрованы с помощью ключей, управляемых клиентом	Шифрование дисков ОС и данных с помощью ключей, управляемых клиентом, обеспечивает больший контроль и большую гибкость в управлении ключами. Это общее требование для многих нормативных и отраслевых стандартов соответствия.	Audit, Deny, Disabled	1.0.1
Учетные записи Cognitive Services должны поддерживать шифрование данных с использованием ключа, управляемого клиентом	Для соблюдения стандартов соответствия нормативным требованиям обычно требуется использовать ключи, управляемые клиентом. Они позволяют шифровать данные, хранящиеся в Cognitive Services, с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Дополнительные сведения о ключах, управляемых клиентом, см. здесь: https://go.microsoft.com/fwlink/?linkid=2121321.	Audit, Deny, Disabled	2.1.0
Реестры контейнеров должны шифроваться с помощью ключа, управляемого клиентом	Используйте ключи, управляемые клиентом, для управления шифрованием неактивного содержимого реестров. По умолчанию неактивные данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/acr/CMK.	Audit, Deny, Disabled	1.1.2
В Azure Data Explorer должно быть включено шифрование дисков	Включение шифрования дисков Azure помогает защитить данные согласно корпоративным обязательствам по обеспечению безопасности и соответствия.	Audit, Deny, Disabled	2.0.0
В Azure Data Explorer должно быть включено двойное шифрование	Включение двойного шифрования помогает защитить данные согласно корпоративным обязательствам по обеспечению безопасности и соответствия. Если включено двойное шифрование, данные в учетной записи хранения шифруются дважды: один раз на уровне службы и один раз на уровне инфраструктуры с использованием двух разных алгоритмов шифрования и двух разных ключей.	Audit, Deny, Disabled	2.0.0
Для шифрования пространства имен концентратора событий должны использовать ключ, управляемый клиентом	Служба "Центры событий Azure" поддерживает возможность шифрования неактивных данных с помощью ключей, управляемых корпорацией Майкрософт (по умолчанию), или ключей, управляемых клиентом. Шифрование данных с помощью ключей, управляемых клиентом, позволяет назначать, сменять, отключать ключи, которые концентратор событий будет использовать для шифрования данных в вашем пространстве имен, и отменять к ним доступ. Обратите внимание, что концентратор событий поддерживает шифрование с использованием ключей, управляемых клиентом, только для пространств имен в выделенных кластерах.	Audit, Disabled	1.0.0
Учетные записи HPC Cache должны использовать для шифрования ключ, управляемый клиентом	Управление шифрованием неактивных данных рабочей HPC Cache с помощью ключей, управляемых клиентом. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им.	Audit, Disabled, Deny	2.0.0
Необходимо включить шифрование инфраструктуры для серверов Базы данных Azure для MySQL.	Включите шифрование инфраструктуры для серверов Базы данных Azure для MySQL, чтобы гарантировать безопасность данных на более высоком уровне. При включении шифрования инфраструктуры неактивные данные шифруются дважды с помощью управляемых ключей Майкрософт, соответствующих FIPS 140-2.	Audit, Deny, Disabled	1.0.0
Необходимо включить шифрование инфраструктуры для серверов Базы данных Azure для PostgreSQL.	Включите шифрование инфраструктуры для серверов Базы данных Azure для PostgreSQL, чтобы гарантировать безопасность данных на более высоком уровне. При включении шифрования инфраструктуры неактивные данные шифруются дважды с помощью управляемых ключей Майкрософт, соответствующих FIPS 140-2	Audit, Deny, Disabled	1.0.0
Среда службы интеграции Logic Apps должна быть зашифрована с помощью ключей, управляемых клиентом	Выполните развертывание в среде службы интеграции для управления шифрованием неактивных данных Logic Apps с помощью ключей, управляемых клиентом. По умолчанию пользовательские данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им.	Audit, Deny, Disabled	1.0.0
Управляемые диски должны использовать двойное шифрование с ключами под управлением платформы и клиента	Клиенты с высокими требованиями к безопасности, которых беспокоят риски компрометации тех или иных алгоритмов, реализаций или ключей шифрования, могут использовать дополнительный уровень шифрования с другим режимом или алгоритмом на уровне инфраструктуры с применением ключей, управляемых платформой. Двойное шифрование является обязательным для наборов шифрования дисков. Узнайте больше по адресу https://aka.ms/disks-doubleEncryption.	Audit, Deny, Disabled	1.0.0
Серверы MySQL должны использовать ключи, управляемые клиентом, для шифрования неактивных данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивного содержимого на серверах MySQL. По умолчанию неактивные данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им.	AuditIfNotExists, Disabled	1.0.4
Диски ОС и диски данных должны быть зашифрованы ключом под управлением клиента	Использование ключей, управляемых клиентом, для управления шифрованием неактивного управляемых дисков. По умолчанию неактивные данные шифруются с помощью ключей, управляемых платформой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/disks-cmk.	Audit, Deny, Disabled	3.0.0
Серверы PostgreSQL должны использовать управляемые клиентом ключи для шифрования неактивных данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивного содержимого на серверах PostgreSQL. По умолчанию неактивные данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им.	AuditIfNotExists, Disabled	1.0.4
Сохраненные запросы в Azure Monitor должны быть сохранены в учетной записи хранения клиента для шифрования журналов	Свяжите учетную запись хранения с рабочей областью Log Analytics, чтобы защитить сохраненные запросы с помощью шифрования учетной записи хранения. Ключи, управляемые клиентом, обычно требуются для соблюдения нормативных требований и усиления контроля за доступом к сохраненным запросам в Azure Monitor. Дополнительные сведения см. в разделе https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Для шифрования пространства имен Служебной шины уровня "Премиум" должны использовать ключ, управляемый клиентом	Служебная шина Azure поддерживает возможность шифрования неактивных данных с помощью ключей, управляемых корпорацией Майкрософт (по умолчанию), или ключей, управляемых клиентом. Шифрование данных с помощью управляемых клиентом ключей позволяет назначать, сменять, отключать ключи, которые Служебная шина будет использовать для шифрования данных в вашем пространстве имен, и отменять к ним доступ. Учтите, что Служебная шина поддерживает шифрование с использованием ключей, управляемых клиентом, только для пространств имен уровня "Премиум".	Audit, Disabled	1.0.0
Управляемые экземпляры SQL должны использовать ключи, управляемые клиентом, для шифрования неактивных данных	Реализация прозрачного шифрования данных (TDE) с вашим собственным ключом обеспечивает повышенную прозрачность и контроль над предохранителем TDE, а также дополнительную защиту за счет использования внешней службы с поддержкой HSM и содействие разделению обязанностей. Эта рекомендация относится к организациям, имеющим связанное требование по соответствию.	Audit, Deny, Disabled	2.0.0
Серверы SQL должны использовать управляемые клиентом ключи для шифрования неактивных данных	Реализация прозрачного шифрования данных (TDE) с вашим ключом обеспечивает повышенную прозрачность и контроль над предохранителем TDE, а также дополнительную защиту за счет использования внешней службы с поддержкой HSM и содействие разделению обязанностей. Эта рекомендация относится к организациям, имеющим связанное требование по соответствию.	Audit, Deny, Disabled	2.0.1
В областях шифрования учетных записей хранения следует использовать ключи, управляемые клиентом, для шифрования неактивных данных	Используйте ключи, управляемые клиентом, для управления шифрованием неактивных данных в областях шифрования учетной записи хранения. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Дополнительные сведения об областях шифрования учетной записи хранения см. здесь: https://aka.ms/encryption-scopes-overview.	Audit, Deny, Disabled	1.0.0
В учетных записях хранения должно быть включено шифрование инфраструктуры.	Включите шифрование инфраструктуры для более высокого уровня гарантии безопасности данных. Если шифрование инфраструктуры включено, данные в учетной записи хранения шифруются дважды.	Audit, Deny, Disabled	1.0.0
В учетных записях хранения должен использоваться управляемый клиентом ключ шифрования	Обеспечьте более гибкую защиту своей учетной записи хранения BLOB-объектов и файлов, используя ключи, управляемые клиентом. Указанный ключ CMK используется для защиты доступа к ключу, который шифрует данные, и управления этим доступом. Использование ключей, управляемых клиентом, предоставляет дополнительные возможности для управления сменой ключей шифрования или криптографического стирания данных.	Audit, Disabled	1.0.3
Временные диски и кэш для пулов узлов агентов в кластерах Службы Azure Kubernetes должны шифроваться на узле	Для повышения безопасности неактивные данные, хранящиеся на узле виртуальной машины в Службе Azure Kubernetes, должны быть зашифрованы. Это общее требование для многих нормативных и отраслевых стандартов соответствия.	Audit, Deny, Disabled	1.0.1
В базах данных SQL должно применяться прозрачное шифрование данных	Для защиты неактивных данных и обеспечения соответствия требованиям должно быть включено прозрачное шифрование данных.	AuditIfNotExists, Disabled	2.0.0
Для виртуальных машин и их масштабируемых наборов должно быть включено шифрование на узле	Использование шифрования в узле для сквозного шифрования данных виртуальной машины и масштабируемого набора виртуальных машин. Шифрование на узле применяется для неактивных данных временного диска и кэша дисков с ОС или данными. Для шифрования (при включенном шифровании в узле) временных дисков (в том числе с ОС) используются ключи, управляемые платформой, а для неактивных данных кэша дисков с ОС или данными — управляемые платформой или клиентом, в зависимости от выбранного для диска типа шифрования. Узнайте больше по адресу https://aka.ms/vm-hbe.	Audit, Deny, Disabled	1.0.0
Виртуальные машины должны шифровать временные диски, кэши и потоки данных между вычислительными ресурсами и ресурсами хранилища	По умолчанию ОС и диски данных виртуальной машины шифруются в неактивном состоянии с помощью ключей, управляемых платформой. Временные диски, кэши данных и данные, передаваемые между вычислениями и хранилищем, не шифруются. Не учитывайте эту рекомендацию, если используется шифрование на узле или если шифрование на стороне сервера для управляемых дисков соответствует вашим требованиям к безопасности. Дополнительные сведения см. в разделах: "Шифрование Хранилища дисков Azure на стороне сервера": https://aka.ms/disksse, "Различные предложения для шифрования дисков": https://aka.ms/diskencryptioncomparison.	AuditIfNotExists, Disabled	2.0.3

Интерфейсы U.12.1 — сетевые подключения

В точках подключения с внешними или ненадежными зонами меры принимаются против атак.

Идентификатор: NL BIO Cloud Theme U.12.1 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Доступ ко всем сетевым портам должен быть ограничен в связанных с виртуальной машиной группах безопасности сети.	Центр безопасности Azure определил, что некоторые правила для входящих подключений в группах безопасности сети недостаточно строгие. Правила для входящих подключений не должны разрешать доступ из диапазонов "Любой" или "Интернет". В противном случае злоумышленники смогут атаковать ваши ресурсы.	AuditIfNotExists, Disabled	3.0.0
Защита от атак DDoS Azure должна быть включена	Защита от атак DDoS должна быть включена для всех виртуальных сетей с подсетью, которая является частью шлюза приложений с общедоступным IP-адресом.	AuditIfNotExists, Disabled	3.0.1
Брандмауэр веб-приложений Azure должен быть включен для точек входа Azure Front Door	Разверните Брандмауэр веб-приложения Azure (WAF) перед общедоступными веб-приложениями для дополнительной проверки входящего трафика. Брандмауэр веб-приложения (WAF) обеспечивает централизованную защиту веб-приложений от распространенных эксплойтов и уязвимостей, включая внедрение кода SQL, межсайтовые сценарии, а также выполнение локальных и удаленных файлов. Вы также можете ограничить доступ к веб-приложениям по странам, диапазонам IP-адресов и другим параметрам HTTP(S) с помощью настраиваемых правил.	Audit, Deny, Disabled	1.0.2
На виртуальной машине должна быть отключена IP-переадресация	Включение IP-переадресации на сетевом адаптере виртуальной машины позволяет компьютеру принимать трафик, адресованный другим получателям. IP-переадресация редко требуется (например, при использовании виртуальной машины в качестве сетевого виртуального модуля), поэтому она должна быть проверена командой безопасности сети.	AuditIfNotExists, Disabled	3.0.0
Учетные записи хранения должны ограничивать доступ к сети.	Сетевой доступ к учетным записям хранения должен быть ограниченным. Настройте правила сети так, чтобы учетная запись хранения была доступна только приложениям из разрешенных сетей. Чтобы разрешить подключения от конкретных локальных клиентов и интернет-клиентов, вы можете открыть доступ для трафика из конкретных виртуальных сетей Azure или определенных диапазонов общедоступных IP-адресов.	Audit, Deny, Disabled	1.1.1
Для Шлюза приложений должен быть включен брандмауэр веб-приложения (WAF)	Разверните Брандмауэр веб-приложения Azure (WAF) перед общедоступными веб-приложениями для дополнительной проверки входящего трафика. Брандмауэр веб-приложения (WAF) обеспечивает централизованную защиту веб-приложений от распространенных эксплойтов и уязвимостей, включая внедрение кода SQL, межсайтовые сценарии, а также выполнение локальных и удаленных файлов. Вы также можете ограничить доступ к веб-приложениям по странам, диапазонам IP-адресов и другим параметрам HTTP(S) с помощью настраиваемых правил.	Audit, Deny, Disabled	2.0.0

Интерфейсы U.12.2 — сетевые подключения

Сетевые компоненты являются такими, что сетевые подключения между доверенными и ненадежными сетями ограничены.

Идентификатор: NL BIO Cloud Theme U.12.2 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Доступ ко всем сетевым портам должен быть ограничен в связанных с виртуальной машиной группах безопасности сети.	Центр безопасности Azure определил, что некоторые правила для входящих подключений в группах безопасности сети недостаточно строгие. Правила для входящих подключений не должны разрешать доступ из диапазонов "Любой" или "Интернет". В противном случае злоумышленники смогут атаковать ваши ресурсы.	AuditIfNotExists, Disabled	3.0.0
Защита от атак DDoS Azure должна быть включена	Защита от атак DDoS должна быть включена для всех виртуальных сетей с подсетью, которая является частью шлюза приложений с общедоступным IP-адресом.	AuditIfNotExists, Disabled	3.0.1
Брандмауэр веб-приложений Azure должен быть включен для точек входа Azure Front Door	Разверните Брандмауэр веб-приложения Azure (WAF) перед общедоступными веб-приложениями для дополнительной проверки входящего трафика. Брандмауэр веб-приложения (WAF) обеспечивает централизованную защиту веб-приложений от распространенных эксплойтов и уязвимостей, включая внедрение кода SQL, межсайтовые сценарии, а также выполнение локальных и удаленных файлов. Вы также можете ограничить доступ к веб-приложениям по странам, диапазонам IP-адресов и другим параметрам HTTP(S) с помощью настраиваемых правил.	Audit, Deny, Disabled	1.0.2
На виртуальной машине должна быть отключена IP-переадресация	Включение IP-переадресации на сетевом адаптере виртуальной машины позволяет компьютеру принимать трафик, адресованный другим получателям. IP-переадресация редко требуется (например, при использовании виртуальной машины в качестве сетевого виртуального модуля), поэтому она должна быть проверена командой безопасности сети.	AuditIfNotExists, Disabled	3.0.0
Учетные записи хранения должны ограничивать доступ к сети.	Сетевой доступ к учетным записям хранения должен быть ограниченным. Настройте правила сети так, чтобы учетная запись хранения была доступна только приложениям из разрешенных сетей. Чтобы разрешить подключения от конкретных локальных клиентов и интернет-клиентов, вы можете открыть доступ для трафика из конкретных виртуальных сетей Azure или определенных диапазонов общедоступных IP-адресов.	Audit, Deny, Disabled	1.1.1
Для Шлюза приложений должен быть включен брандмауэр веб-приложения (WAF)	Разверните Брандмауэр веб-приложения Azure (WAF) перед общедоступными веб-приложениями для дополнительной проверки входящего трафика. Брандмауэр веб-приложения (WAF) обеспечивает централизованную защиту веб-приложений от распространенных эксплойтов и уязвимостей, включая внедрение кода SQL, межсайтовые сценарии, а также выполнение локальных и удаленных файлов. Вы также можете ограничить доступ к веб-приложениям по странам, диапазонам IP-адресов и другим параметрам HTTP(S) с помощью настраиваемых правил.	Audit, Deny, Disabled	2.0.0

Ведение журнала и мониторинг u.15.1 — события регистрируются

Нарушение правил политики записывается поставщиком служб CSP и CSC.

Идентификатор: NL BIO Cloud Theme U.15.1 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
[Предварительная версия]. В кластерах Kubernetes с поддержкой Azure Arc должно быть установлено расширение Microsoft Defender для облака	Расширение Microsoft Defender для облака для Azure Arc обеспечивает защиту от угроз для кластеров Kubernetes с поддержкой Arc. Расширение собирает данные из всех узлов в кластере и отправляет их в серверную часть Azure Defender для Kubernetes в облаке для дальнейшего анализа. Дополнительные сведения см. по адресу https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	6.0.0-preview
[Предварительная версия]. Расширение Log Analytics должно быть включено для перечисленных образов виртуальных машин	Помечает виртуальные машины как несовместимые, если образ виртуальной машины не находится в заданном списке и расширение не установлено.	AuditIfNotExists, Disabled	2.0.1-preview
[Предварительная версия]. На виртуальных машинах Azure Arc с Linux должно быть установлено расширение Log Analytics	Эта политика выполняет аудит виртуальных машин Azure Arc под управлением Windows, на которых не установлено расширение Log Analytics.	AuditIfNotExists, Disabled	1.0.1 (предварительная версия)
[Предварительная версия]. На виртуальных машинах Azure Arc с Windows должно быть установлено расширение Log Analytics	Эта политика выполняет аудит виртуальных машин Azure Arc под управлением Windows, на которых установлено расширение Log Analytics.	AuditIfNotExists, Disabled	1.0.1 (предварительная версия)
[Предварительная версия]. На виртуальных машинах Linux должен быть установлен агент сбора данных сетевого трафика	Центр безопасности использует Microsoft Dependency Agent для сбора данных сетевого трафика с ваших виртуальных машин Azure и реализации расширенных функций защиты, например визуализации трафика на карте сети, выдачи рекомендаций по улучшению безопасности и обработки конкретных сетевых угроз.	AuditIfNotExists, Disabled	1.0.2-preview
[Предварительная версия]. На виртуальных машинах Windows должен быть установлен агент сбора данных сетевого трафика	Центр безопасности использует Microsoft Dependency Agent для сбора данных сетевого трафика с ваших виртуальных машин Azure и реализации расширенных функций защиты, например визуализации трафика на карте сети, выдачи рекомендаций по улучшению безопасности и обработки конкретных сетевых угроз.	AuditIfNotExists, Disabled	1.0.2-preview
В приложениях Службы приложений должны быть включены журналы ресурсов	Аудит включения журналов ресурсов для приложений. Это позволит воссоздать следы действий для расследования в случае инцидентов безопасности или компрометации сети.	AuditIfNotExists, Disabled	2.0.1
Аудит параметра диагностики для выбранных типов ресурсов	Аудит параметров диагностики для выбранных типов ресурсов. Не забудьте выбрать только типы ресурсов, поддерживающие параметры диагностика.	Проверить, если не существует	2.0.1
Необходимо включить аудит на сервере SQL	Для отслеживания действий во всех базах данных на сервере и сохранения их в журнал аудита должен быть включен аудит вашего SQL Server.	AuditIfNotExists, Disabled	2.0.0
В подписке должна быть включена автоматическая подготовка агента Log Analytics	Чтобы отслеживать уязвимости и угрозы безопасности, Центр безопасности Azure собирает данные из виртуальных машин Azure. Для сбора данных используется агент Log Analytics (ранее — Microsoft Monitoring Agent, или MMA), который считывает разные конфигурации, связанные с безопасностью, и журналы событий с компьютера, а также копирует данные в рабочую область Log Analytics для анализа. Мы рекомендуем включить автоматическую подготовку для автоматического развертывания агента на всех поддерживаемых виртуальных машинах Azure, включая те, которые созданы недавно.	AuditIfNotExists, Disabled	1.0.1
Azure Defender для Службы приложений должен быть включен	Azure Defender для Службы приложений использует масштаб облака, а также видимость, характерную для Azure как поставщика облачных служб, для отслеживания распространенных атак на веб-приложения.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для серверов Базы данных SQL Azure должен быть включен	Azure Defender для SQL предоставляет возможности для выявления и устранения потенциальных уязвимостей баз данных, обнаружения необычных действий, которые могут представлять угрозу в базах данных SQL, а также для определения и классификации конфиденциальных данных.	AuditIfNotExists, Disabled	1.0.2
Azure Defender для Key Vault должен быть включен	Azure Defender для Key Vault обеспечивает дополнительный уровень защиты в виде механизма обнаружения угроз, который позволяет выявить необычные и потенциально опасные попытки получения и использования учетных записей хранилища ключей.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для Resource Manager должен быть включен	Azure Defender для Resource Manager автоматически отслеживает операции управления ресурсами в организации. Azure Defender обнаруживает угрозы и предупреждает о подозрительных действиях. Дополнительные сведения о возможностях Azure Defender для Resource Manager: https://aka.ms/defender-for-resource-manager. Включение этого плана Azure Defender подразумевает определенные расходы. Подробно о ценах для каждого региона см. на странице цен Центра безопасности: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender для серверов должен быть включен	Azure Defender для серверов обеспечивает защиту рабочих нагрузок сервера в реальном времени и создает рекомендации по улучшению безопасности, а также оповещения о подозрительных действиях.	AuditIfNotExists, Disabled	1.0.3
Azure Defender для серверов SQL на компьютерах должен быть включен	Azure Defender для SQL предоставляет возможности для выявления и устранения потенциальных уязвимостей баз данных, обнаружения необычных действий, которые могут представлять угрозу в базах данных SQL, а также для определения и классификации конфиденциальных данных.	AuditIfNotExists, Disabled	1.0.2
Для незащищенных серверов Azure SQL следует включить Azure Defender для SQL	Аудит серверов SQL без Расширенной защиты данных	AuditIfNotExists, Disabled	2.0.1
Для незащищенных управляемых экземпляров SQL следует включить Azure Defender для SQL	Проверка всех Управляемых экземпляров SQL без Расширенной защиты данных.	AuditIfNotExists, Disabled	1.0.2
В Azure Front Door должны быть включены журналы ресурсов	Включите журналы ресурсов для Azure Front Door (плюс WAF) и выполните потоковую передачу в рабочую область Log Analytics. Получите подробные сведения о входящего веб-трафика и действиях, принятых для устранения атак.	AuditIfNotExists, Disabled	1.0.0
В Azure Front Door уровня "Стандартный" или "Премиум" (плюс WAF) должны быть включены журналы ресурсов.	Включите журналы ресурсов для Azure Front Door Уровня "Стандартный" или "Премиум" (плюс WAF) и потоковую передачу в рабочую область Log Analytics. Получите подробные сведения о входящего веб-трафика и действиях, принятых для устранения атак.	AuditIfNotExists, Disabled	1.0.0
Dependency Agent должен быть включен для перечисленных образов виртуальных машин	Помечает виртуальные машины как несовместимые, если образ виртуальной машины не находится в заданном списке, а агент не установлен. Список образов ОС обновляется по мере расширения поддержки.	AuditIfNotExists, Disabled	2.0.0
Dependency Agent должен быть включен в масштабируемых наборах виртуальных машин для перечисленных образов виртуальных машин	Помечает масштабируемые наборы виртуальных машин как несоответствующие, если образ виртуальной машины не находится в заданном списке, а агент не установлен. Список образов ОС обновляется по мере расширения поддержки.	AuditIfNotExists, Disabled	2.0.0
На ваших компьютерах должно быть установлено расширение "Гостевая конфигурация"	Чтобы обеспечить безопасность конфигураций гостевых параметров компьютера, установите расширение "Гостевая конфигурация". К гостевым параметрам, которые отслеживает расширение, относятся конфигурация операционной системы, конфигурация или наличие приложения и настройки среды. После установки станут доступны гостевые политики, например требование включить Windows Exploit Guard. Узнайте больше по адресу https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.3
На виртуальной машине должен быть установлен агент Log Analytics для мониторинга Центра безопасности Azure	Эта политика выполняет аудит всех виртуальных машин Windows и Linux, если не установлен агент Log Analytics, который Центр безопасности использует для отслеживания уязвимостей и угроз безопасности.	AuditIfNotExists, Disabled	1.0.0
В масштабируемых наборах виртуальных машин должен быть установлен агент Log Analytics для мониторинга Центра безопасности Azure	Центр безопасности собирает данные с виртуальных машин Azure для мониторинга уязвимостей и угроз безопасности.	AuditIfNotExists, Disabled	1.0.0
Расширение Log Analytics должно быть включено в масштабируемых наборах виртуальных машин для перечисленных образов виртуальных машин	Помечает масштабируемые наборы виртуальных машин как несовместимые, если образ виртуальной машины не находится в заданном списке и расширение не установлено.	AuditIfNotExists, Disabled	2.0.1
Microsoft Defender для контейнеров должен быть включен	Microsoft Defender для контейнеров обеспечивает повышение надежности, оценку уязвимостей и защиту во время выполнения для сред Azure, гибридных сред и сред Kubernetes в нескольких облаках.	AuditIfNotExists, Disabled	1.0.0
Необходимо включить Microsoft Defender для службы хранилища	Microsoft Defender для служба хранилища обнаруживает потенциальные угрозы для учетных записей хранения. Это помогает предотвратить три основных воздействия на данные и рабочую нагрузку: вредоносные отправки файлов, кражу конфиденциальных данных и повреждение данных. Новый план Defender для служба хранилища включает сканирование вредоносных программ и обнаружение угроз конфиденциальных данных. Этот план также предоставляет прогнозируемую структуру ценообразования (для каждой учетной записи хранения) для контроля над покрытием и затратами.	AuditIfNotExists, Disabled	1.0.0
Необходимо включить Наблюдатель за сетями	Наблюдатель за сетями — это региональная служба, обеспечивающая мониторинг и диагностику условий на уровне сетевого сценария на платформе Azure. Мониторинг на уровне сценария позволяет диагностировать проблемы в сети с помощью комплексного представления сетевого уровня. В каждом регионе, где присутствует виртуальная сеть, должна быть создана группа ресурсов Наблюдателя за сетями. Оповещение включается, если группа ресурсов Наблюдателя за сетями недоступна в определенном регионе.	AuditIfNotExists, Disabled	3.0.0
В Azure Data Lake Storage должны быть включены журналы ресурсов	Выполняйте аудит для включения журналов ресурсов. Это позволит воссоздать действия для расследования в случае инцидентов безопасности или компрометации сети.	AuditIfNotExists, Disabled	5.0.0
Журналы ресурсов в рабочих областях Azure Databricks должны быть включены	Журналы ресурсов позволяют повторно создавать тропы действий, которые используются для расследования, когда возникает инцидент безопасности или когда сеть скомпрометирована.	AuditIfNotExists, Disabled	1.0.1
Журналы ресурсов в Службе Azure Kubernetes должны быть включены	Журналы ресурсов Службы Azure Kubernetes позволяют восстановить порядок действий при расследовании инцидентов с безопасностью. Включите ведение этих журналов, чтобы воспользоваться ими при необходимости.	AuditIfNotExists, Disabled	1.0.0
Журналы ресурсов в рабочих областях Машинное обучение Azure должны быть включены	Журналы ресурсов позволяют повторно создавать тропы действий, которые используются для расследования, когда возникает инцидент безопасности или когда сеть скомпрометирована.	AuditIfNotExists, Disabled	1.0.1
В Azure Stream Analytics должны быть включены журналы ресурсов	Выполняйте аудит для включения журналов ресурсов. Это позволит воссоздать действия для расследования в случае инцидентов безопасности или компрометации сети.	AuditIfNotExists, Disabled	5.0.0
В учетных записях пакетной службы должны быть включены журналы ресурсов	Выполняйте аудит для включения журналов ресурсов. Это позволит воссоздать действия для расследования в случае инцидентов безопасности или компрометации сети.	AuditIfNotExists, Disabled	5.0.0
В Data Lake Analytics должны быть включены журналы ресурсов	Выполняйте аудит для включения журналов ресурсов. Это позволит воссоздать действия для расследования в случае инцидентов безопасности или компрометации сети.	AuditIfNotExists, Disabled	5.0.0
В Центре событий должны быть включены журналы ресурсов	Выполняйте аудит для включения журналов ресурсов. Это позволит воссоздать действия для расследования в случае инцидентов безопасности или компрометации сети.	AuditIfNotExists, Disabled	5.0.0
В Центре Интернета вещей должны быть включены журналы ресурсов	Выполняйте аудит для включения журналов ресурсов. Это позволит воссоздать действия для расследования в случае инцидентов безопасности или компрометации сети.	AuditIfNotExists, Disabled	3.1.0
В Key Vault должны быть включены журналы ресурсов	Выполняйте аудит для включения журналов ресурсов. Это позволит воссоздать действия для анализа инцидентов безопасности или компрометации сети.	AuditIfNotExists, Disabled	5.0.0
В Logic Apps должны быть включены журналы ресурсов	Выполняйте аудит для включения журналов ресурсов. Это позволит воссоздать действия для расследования в случае инцидентов безопасности или компрометации сети.	AuditIfNotExists, Disabled	5.1.0
В службах "Поиск" должны быть включены журналы ресурсов	Выполняйте аудит для включения журналов ресурсов. Это позволит воссоздать действия для расследования в случае инцидентов безопасности или компрометации сети.	AuditIfNotExists, Disabled	5.0.0
В Служебной шине должны быть включены журналы ресурсов	Выполняйте аудит для включения журналов ресурсов. Это позволит воссоздать действия для расследования в случае инцидентов безопасности или компрометации сети.	AuditIfNotExists, Disabled	5.0.0
Необходимо развернуть расширение "Гостевая конфигурация" виртуальных машин с управляемым удостоверением, назначаемым системой	Для расширения гостевой конфигурации требуется управляемое удостоверение, назначаемое системой. Виртуальные машины Azure в области действия этой политики будут несоответствующими, если на них установлено расширение "Гостевая конфигурация", но отсутствует управляемое удостоверение, назначаемое системой. Дополнительные сведения см. на странице https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.1

Ведение журнала и мониторинг u.15.3 — события регистрируются

CSP поддерживает список всех ресурсов, критически важных для ведения журнала и мониторинга, и проверяет этот список.

Идентификатор: NL BIO Cloud Theme U.15.3 Ownership: Shared

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
[Предварительная версия]. Расширение Log Analytics должно быть включено для перечисленных образов виртуальных машин	Помечает виртуальные машины как несовместимые, если образ виртуальной машины не находится в заданном списке и расширение не установлено.	AuditIfNotExists, Disabled	2.0.1-preview
Аудит параметра диагностики для выбранных типов ресурсов	Аудит параметров диагностики для выбранных типов ресурсов. Не забудьте выбрать только типы ресурсов, поддерживающие параметры диагностика.	Проверить, если не существует	2.0.1
Необходимо включить аудит на сервере SQL	Для отслеживания действий во всех базах данных на сервере и сохранения их в журнал аудита должен быть включен аудит вашего SQL Server.	AuditIfNotExists, Disabled	2.0.0
Dependency Agent должен быть включен для перечисленных образов виртуальных машин	Помечает виртуальные машины как несовместимые, если образ виртуальной машины не находится в заданном списке, а агент не установлен. Список образов ОС обновляется по мере расширения поддержки.	AuditIfNotExists, Disabled	2.0.0
Dependency Agent должен быть включен в масштабируемых наборах виртуальных машин для перечисленных образов виртуальных машин	Помечает масштабируемые наборы виртуальных машин как несоответствующие, если образ виртуальной машины не находится в заданном списке, а агент не установлен. Список образов ОС обновляется по мере расширения поддержки.	AuditIfNotExists, Disabled	2.0.0
Расширение Log Analytics должно быть включено в масштабируемых наборах виртуальных машин для перечисленных образов виртуальных машин	Помечает масштабируемые наборы виртуальных машин как несовместимые, если образ виртуальной машины не находится в заданном списке и расширение не установлено.	AuditIfNotExists, Disabled	2.0.1

Архитектура с несколькими клиентами U.17.1 — зашифрована

Данные CSC для транспорта и неактивных данных шифруются.

Идентификатор: NL BIO Cloud Theme U.17.1 Ответственность: Майкрософт

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Подписке должно быть назначено не более 3 владельцев	Мы рекомендуем назначать подписке не более трех владельцев, чтобы снизить вероятность нарушения безопасности при компрометации владельца.	AuditIfNotExists, Disabled	3.0.0
Аудит виртуальных машин без аварийного восстановления	Аудит виртуальных машин, где не настроено аварийное восстановление. Дополнительные сведения об аварийном восстановлении см. здесь: https://aka.ms/asr-doc.	auditIfNotExists	1.0.0
Необходимо включить Azure Backup для Виртуальных машин	Обеспечьте защиту виртуальных машин Azure, включив Azure Backup — Azure Backup — это безопасное и экономичное решение для защиты данных в Azure.	AuditIfNotExists, Disabled	3.0.0
Подписке должно быть назначено более одного владельца	Мы рекомендуем назначить более одного владельца подписки, чтобы обеспечить избыточность для административного доступа.	AuditIfNotExists, Disabled	3.0.0
В рабочих областях Synapse должна быть включена оценка уязвимостей	Обнаруживайте, отслеживайте и устраняйте потенциальные уязвимости, настроив регулярную оценку уязвимостей SQL для рабочих областей Synapse.	AuditIfNotExists, Disabled	1.0.0

Следующие шаги

Дополнительные статьи о Политике Azure:

• Обзор соответствия нормативным требованиям.
• См. структуру определения инициативы.
• См. другие примеры шаблонов для Политики Azure.
• Изучите сведения о действии политик.
• Узнайте, как исправлять несоответствующие ресурсы.