Azure-säkerhetsbaslinje för Batch

  • Artikel

Den här säkerhetsbaslinjen tillämpar vägledning från Microsoft Cloud Security Benchmark version 1.0 till Batch. Microsofts benchmark för molnsäkerhet ger rekommendationer om hur du kan skydda dina molnlösningar i Azure. Innehållet grupperas efter de säkerhetskontroller som definieras av Microsofts benchmark för molnsäkerhet och den relaterade vägledning som gäller för Batch.

Du kan övervaka den här säkerhetsbaslinjen och dess rekommendationer med hjälp av Microsoft Defender för molnet. Azure Policy definitioner visas i avsnittet Regelefterlevnad på portalsidan Microsoft Defender för molnet.

När en funktion har relevanta Azure Policy definitioner visas de i den här baslinjen för att hjälpa dig att mäta efterlevnaden av Microsofts benchmark-kontroller och rekommendationer för molnsäkerhet. Vissa rekommendationer kan kräva en betald Microsoft Defender plan för att aktivera vissa säkerhetsscenarier.

Anteckning

Funktioner som inte är tillämpliga för Batch har exkluderats. Om du vill se hur Batch helt mappar till Microsofts prestandamått för molnsäkerhet kan du läsa den fullständiga mappningsfilen för Batch-säkerhetsbaslinjen.

Säkerhetsprofil

Säkerhetsprofilen sammanfattar beteendet med hög påverkan i Batch, vilket kan leda till ökade säkerhetsöverväganden.

Attribut för tjänstbeteende Värde
Produktkategori Compute
Kunden kan komma åt HOST/OS Skrivskydd
Tjänsten kan distribueras till kundens virtuella nätverk Sant
Lagrar kundinnehåll i vila Falskt

Nätverkssäkerhet

Mer information finns i Microsoft Cloud Security Benchmark: Nätverkssäkerhet.

NS-1: Upprätta nätverkssegmenteringsgränser

Funktioner

Integrering med virtuellt nätverk

Beskrivning: Tjänsten stöder distribution till kundens privata Virtual Network (VNet). Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Distribuera Azure Batch pooler i ett virtuellt nätverk. Överväg att etablera poolen utan offentliga IP-adresser för att begränsa åtkomsten till noder i det privata nätverket och för att minska nodernas identifiering från Internet.

Referens: Skapa en Azure Batch pool i ett virtuellt nätverk

Stöd för nätverkssäkerhetsgrupp

Beskrivning: Tjänstnätverkstrafik respekterar regeltilldelningen för nätverkssäkerhetsgrupper i dess undernät. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Sant Microsoft

Funktionsanteckningar: Som standard lägger Batch till nätverkssäkerhetsgrupper (NSG:er) på nätverksgränssnittsnivå (NIC) som är kopplade till beräkningsnoder.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Skapa en Azure Batch pool i ett virtuellt nätverk

NS-2: Skydda molntjänster med nätverkskontroller

Funktioner

Beskrivning: Tjänstens interna IP-filtreringsfunktion för filtrering av nätverkstrafik (ska inte förväxlas med NSG eller Azure Firewall). Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Distribuera privata slutpunkter för Azure Batch-konton. Detta begränsar åtkomsten till Batch-kontona till det virtuella nätverk där de finns eller till ett peer-kopplat virtuellt nätverk.

Referens: Använda privata slutpunkter med Azure Batch-konton

Inaktivera åtkomst till offentligt nätverk

Beskrivning: Tjänsten stöder inaktivering av åtkomst till offentligt nätverk antingen via filtreringsregeln IP ACL på tjänstnivå (inte NSG eller Azure Firewall) eller med växlingsknappen Inaktivera åtkomst till offentligt nätverk. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Inaktivera offentlig nätverksåtkomst till Batch-konton genom att ange inställningen Offentlig nätverksåtkomst till inaktiverad.

Referens: Inaktivera åtkomst till offentligt nätverk

Identitetshantering

Mer information finns i Microsoft Cloud Security Benchmark: Identitetshantering.

IM-1: Använd centraliserat identitets- och autentiseringssystem

Funktioner

Azure AD autentisering krävs för dataplansåtkomst

Beskrivning: Tjänsten stöder användning av Azure AD-autentisering för åtkomst till dataplanet. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd Azure Active Directory (Azure AD) som standardautentiseringsmetod för att styra åtkomsten till dataplanet i stället för att använda delade nycklar.

Referens: Autentisera med Azure AD

Lokala autentiseringsmetoder för dataplansåtkomst

Beskrivning: Lokala autentiseringsmetoder som stöds för åtkomst till dataplanet, till exempel ett lokalt användarnamn och lösenord. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: Undvik användning av lokala autentiseringsmetoder eller konton. Dessa bör inaktiveras när det är möjligt. Använd i stället Azure AD för att autentisera där det är möjligt.

Konfigurationsvägledning: Begränsa användningen av lokala autentiseringsmetoder för dataplansåtkomst. Använd i stället Azure Active Directory (Azure AD) som standardautentiseringsmetod för att styra åtkomsten till dataplanet.

Referens: Autentisering via delad nyckel

SNABBMEDDELANDE 3: Hantera programidentiteter på ett säkert och automatiskt sätt

Funktioner

Hanterade identiteter

Beskrivning: Dataplansåtgärder stöder autentisering med hanterade identiteter. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Delad

Konfigurationsvägledning: Använd azure-hanterade identiteter i stället för tjänstens huvudnamn när det är möjligt, som kan autentisera till Azure-tjänster och resurser som stöder Azure Active Directory-autentisering (Azure AD). Autentiseringsuppgifter för hanterade identiteter hanteras, roteras och skyddas av plattformen, vilket undviker hårdkodade autentiseringsuppgifter i källkods- eller konfigurationsfiler.

Referens: Konfigurera hanterade identiteter i Batch-pooler

Tjänstens huvudnamn

Beskrivning: Dataplanet stöder autentisering med hjälp av tjänstens huvudnamn. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Ytterligare vägledning: Om du vill autentisera ett program som körs obevakat kan du använda tjänstens huvudnamn. När du har registrerat ditt program gör du lämpliga konfigurationer i Azure-portalen för tjänstens huvudnamn, till exempel begär en hemlighet för programmet och tilldelar Azure RBAC-roller.

Referens: Autentisera Batch-tjänstlösningar med Azure Active Directory

SNABBMEDDELANDE 7: Begränsa resursåtkomst baserat på villkor

Funktioner

Villkorsstyrd åtkomst för dataplanet

Beskrivning: Åtkomst till dataplan kan styras med hjälp av Azure AD principer för villkorlig åtkomst. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

IM-8: Begränsa exponeringen av autentiseringsuppgifter och hemligheter

Funktioner

Stöd för integrering och lagring av tjänstautentiseringsuppgifter och hemligheter i Azure Key Vault

Beskrivning: Dataplanet stöder intern användning av Azure Key Vault för lagring av autentiseringsuppgifter och hemligheter. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Privilegierad åtkomst

Mer information finns i Microsoft cloud security benchmark: Privileged access (Microsoft cloud security benchmark: Privileged access).

PA-7: Följ principen för precis tillräckligt med administration (minst behörighet)

Funktioner

Azure RBAC för dataplan

Beskrivning: Azure Role-Based Access Control (Azure RBAC) kan användas för hanterad åtkomst till tjänstens dataplansåtgärder. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd rollbaserad åtkomstkontroll i Azure (Azure RBAC) för att hantera Åtkomst till Azure-resurser via inbyggda rolltilldelningar. Azure Batch har stöd för Azure RBAC för att hantera åtkomst till dessa resurstyper: konton, jobb, uppgifter och pooler.

Referens: Tilldela Azure RBAC till ditt program

Dataskydd

Mer information finns i Microsoft Cloud Security Benchmark: Dataskydd.

DP-2: Övervaka avvikelser och hot mot känsliga data

Funktioner

Dataläckage/förlustskydd

Beskrivning: Tjänsten stöder DLP-lösning för att övervaka förflyttning av känsliga data (i kundens innehåll). Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

DP-3: Kryptera känsliga data under överföring

Funktioner

Data under överföringskryptering

Beskrivning: Tjänsten stöder datakryptering under överföring för dataplanet. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Sant Microsoft

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

DP-4: Aktivera vilande datakryptering som standard

Funktioner

Vilande datakryptering med plattformsnycklar

Beskrivning: Vilande datakryptering med plattformsnycklar stöds, allt kundinnehåll i vila krypteras med dessa Microsoft-hanterade nycklar. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Sant Microsoft

Funktionsanteckningar: En del av informationen som anges i Batch-API:er, till exempel kontocertifikat, jobb- och uppgiftsmetadata och aktivitetskommandorader, krypteras automatiskt när de lagras av Batch-tjänsten. Som standard krypteras dessa data med Azure Batch plattformshanterade nycklar som är unika för varje Batch-konto.

Du kan också kryptera dessa data med hjälp av kundhanterade nycklar. Azure Key Vault används för att generera och lagra nyckeln, med nyckelidentifieraren registrerad med ditt Batch-konto.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

DP-5: Använd alternativet kundhanterad nyckel i vilodatakryptering vid behov

Funktioner

Vilande datakryptering med CMK

Beskrivning: Vilande datakryptering med kundhanterade nycklar stöds för kundinnehåll som lagras av tjänsten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Om det behövs för regelefterlevnad definierar du användningsfall och tjänstomfång där kryptering med kundhanterade nycklar behövs. Aktivera och implementera vilande datakryptering med hjälp av kundhanterad nyckel för dessa tjänster.

Referens: Konfigurera kundhanterade nycklar

DP-6: Använd en säker nyckelhanteringsprocess

Funktioner

Nyckelhantering i Azure Key Vault

Beskrivning: Tjänsten stöder Azure Key Vault integrering för kundnycklar, hemligheter eller certifikat. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Delad

Konfigurationsvägledning: Använd Azure Key Vault för att skapa och kontrollera livscykeln för dina krypteringsnycklar, inklusive nyckelgenerering, distribution och lagring. Rotera och återkalla dina nycklar i Azure Key Vault och din tjänst baserat på ett definierat schema eller när det finns en viktig tillbakadragning eller kompromiss. När du behöver använda kundhanterad nyckel (CMK) på arbetsbelastnings-, tjänst- eller programnivå bör du följa metodtipsen för nyckelhantering: Använd en nyckelhierarki för att generera en separat datakrypteringsnyckel (DEK) med nyckelkrypteringsnyckeln (KEK) i nyckelvalvet. Kontrollera att nycklarna är registrerade med Azure Key Vault och refereras via nyckel-ID:t från tjänsten eller programmet. Om du behöver ta med din egen nyckel (BYOK) till tjänsten (till exempel importera HSM-skyddade nycklar från dina lokala HSM:er till Azure Key Vault) följer du de rekommenderade riktlinjerna för att utföra inledande nyckelgenerering och nyckelöverföring.

Obs! Kunden måste anmäla sig för att använda kundhanterade nycklar, annars använder tjänsten som standard plattformsnycklar som hanteras av Microsoft.

Referens: Konfigurera kundhanterade nycklar för ditt Azure Batch-konto med Azure Key Vault och hanterad identitet

DP-7: Använd en säker certifikathanteringsprocess

Funktioner

Certifikathantering i Azure Key Vault

Beskrivning: Tjänsten stöder Azure Key Vault integrering för alla kundcertifikat. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Delad

Konfigurationsvägledning: Använd Azure Key Vault för att skapa och kontrollera certifikatets livscykel, inklusive att skapa, importera, rotera, återkalla, lagra och rensa certifikatet. Se till att certifikatgenereringen följer definierade standarder utan att använda några osäkra egenskaper, till exempel: otillräcklig nyckelstorlek, alltför lång giltighetsperiod, osäker kryptografi. Konfigurera automatisk rotation av certifikatet i Azure Key Vault och Azure-tjänsten (om det stöds) baserat på ett definierat schema eller när ett certifikat upphör att gälla. Om automatisk rotation inte stöds i programmet kontrollerar du att de fortfarande roteras med manuella metoder i Azure Key Vault och programmet.

Referens: Använd certifikat och få säker åtkomst till Azure Key Vault med Batch

Tillgångshantering

Mer information finns i Microsoft Cloud Security Benchmark: Tillgångshantering.

AM-2: Använd endast godkända tjänster

Funktioner

Azure Policy-stöd

Beskrivning: Tjänstkonfigurationer kan övervakas och framtvingas via Azure Policy. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd Microsoft Defender för molnet för att konfigurera Azure Policy för att granska och tillämpa konfigurationer av dina Azure-resurser. Använd Azure Monitor för att skapa aviseringar när en konfigurationsavvikelse har identifierats på resurserna. Använd Azure Policy [neka] och [distribuera om det inte finns] effekter för att framtvinga en säker konfiguration mellan Azure-resurser.

För alla scenarier där inbyggda principdefinitioner inte finns kan du använda Azure Policy alias i namnområdet "Microsoft.Batch" för att skapa anpassade principer.

Referens: Azure Policy inbyggda definitioner för Azure Batch

AM-5: Använd endast godkända program på en virtuell dator

Funktioner

Microsoft Defender för molnet – Anpassningsbara programkontroller

Beskrivning: Tjänsten kan begränsa vilka kundprogram som körs på den virtuella datorn med hjälp av anpassningsbara programkontroller i Microsoft Defender för molnet. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Loggning och hotidentifiering

Mer information finns i Microsoft Cloud Security Benchmark: Loggning och hotidentifiering.

LT-1: Aktivera funktioner för hotidentifiering

Funktioner

Microsoft Defender för tjänst/produkterbjudande

Beskrivning: Tjänsten har en erbjudandespecifik Microsoft Defender lösning för övervakning och avisering om säkerhetsproblem. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

LT-4: Aktivera loggning för säkerhetsundersökning

Funktioner

Azure-resursloggar

Beskrivning: Tjänsten skapar resursloggar som kan ge förbättrade tjänstspecifika mått och loggning. Kunden kan konfigurera dessa resursloggar och skicka dem till sin egen datamottagare som ett lagringskonto eller en Log Analytics-arbetsyta. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Aktivera Azure-resursloggar för Azure Batch för följande loggtyper: ServiceLog och AllMetrics.

Referens: Batchmått, aviseringar och loggar för diagnostisk utvärdering och övervakning

Status- och sårbarhetshantering

Mer information finns i Microsofts benchmark för molnsäkerhet: Hantering av hållning och sårbarhet.

PV-3: Definiera och upprätta säkra konfigurationer för beräkningsresurser

Funktioner

Azure Automation State Configuration

Beskrivning: Azure Automation State Configuration kan användas för att upprätthålla operativsystemets säkerhetskonfiguration. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Azure Policy gästkonfigurationsagent

Beskrivning: Azure Policy gästkonfigurationsagent kan installeras eller distribueras som ett tillägg till beräkningsresurser. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Anpassade VM-avbildningar

Beskrivning: Tjänsten stöder användning av vm-avbildningar från användare eller fördefinierade avbildningar från Marketplace med vissa baslinjekonfigurationer förinställda. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Delad

Konfigurationsvägledning: Använd när det är möjligt en förkonfigurerad förstärkt avbildning från en betrodd leverantör, till exempel Microsoft, eller skapa en önskad säker konfigurationsbaslinje i mallen för VM-avbildningar.

Kunder kan också använda anpassade operativsystemavbildningar för Azure Batch. När du använder konfigurationen av den virtuella datorn för din Azure Batch ska du se till att anpassade avbildningar är förstärkta efter organisationens behov. För livscykelhantering lagrar poolerna avbildningarna i ett delat bildgalleri. Du kan konfigurera en säker avbildningsgenereringsprocess med hjälp av Azure Automation-verktyg, till exempel Azure Image Builder.

Referens: Använd en hanterad avbildning för att skapa en anpassad avbildningspool

Avbildningar av anpassade containrar

Beskrivning: Tjänsten stöder användning av containeravbildningar från användare eller fördefinierade avbildningar från Marketplace med vissa baslinjekonfigurationer förinställda. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Delad

Konfigurationsvägledning: Om du använder Batch-pool för att köra uppgifter i Docker-kompatibla containrar på noderna använder du förkonfigurerade härdade containeravbildningar från en betrodd leverantör som Microsoft eller skapar önskad säker konfigurationsbaslinje i containeravbildningsmallen.

Referens: Köra containerprogram på Azure Batch

PV-5: Utföra sårbarhetsbedömningar

Funktioner

Sårbarhetsbedömning med hjälp av Microsoft Defender

Beskrivning: Tjänsten kan genomsökas efter sårbarhetsgenomsökning med hjälp av Microsoft Defender för molnet eller andra Microsoft Defender services inbäddade sårbarhetsbedömningsfunktioner (inklusive Microsoft Defender för server, containerregister, App Service, SQL och DNS). Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

PV-6: Åtgärda säkerhetsrisker snabbt och automatiskt

Funktioner

Azure Automation – Uppdateringshantering

Beskrivning: Tjänsten kan använda Azure Automation Uppdateringshantering för att distribuera korrigeringar och uppdateringar automatiskt. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Slutpunktsskydd

Mer information finns i Microsoft Cloud Security Benchmark: Endpoint Security.

ES-1: Använd slutpunktsidentifiering och svar (EDR)

Funktioner

EDR-lösning

Beskrivning: EDR-funktionen (Endpoint Detection and Response), till exempel Azure Defender för servrar, kan distribueras till slutpunkten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

ES-2: Använd modern programvara mot skadlig kod

Funktioner

Lösning mot skadlig kod

Beskrivning: Funktionen mot skadlig kod, till exempel Microsoft Defender Antivirus, Microsoft Defender för Endpoint kan distribueras på slutpunkten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

ES-3: Se till att programvara och signaturer mot skadlig kod uppdateras

Funktioner

Hälsoövervakning av lösning mot skadlig kod

Beskrivning: Lösningen mot skadlig kod ger hälsostatusövervakning för uppdateringar av plattform, motor och automatisk signatur. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Säkerhetskopiering och återställning

Mer information finns i Microsoft cloud security benchmark: Backup and recovery (Microsoft cloud security benchmark: Backup and recovery).

BR-1: Se till att regelbundna automatiserade säkerhetskopieringar

Funktioner

Azure Backup

Beskrivning: Tjänsten kan säkerhetskopieras av Azure Backup-tjänsten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Tjänstens interna säkerhetskopieringsfunktion

Beskrivning: Tjänsten stöder sin egen interna säkerhetskopieringsfunktion (om den inte använder Azure Backup). Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Nästa steg