Azure-säkerhetsbaslinje för Azure Monitor

Den här säkerhetsbaslinjen tillämpar vägledning från Microsoft Cloud Security Benchmark version 1.0 till Azure Monitor. Microsofts benchmark för molnsäkerhet ger rekommendationer om hur du kan skydda dina molnlösningar i Azure. Innehållet grupperas efter de säkerhetskontroller som definieras av Microsofts benchmark för molnsäkerhet och den relaterade vägledning som gäller för Azure Monitor.

Du kan övervaka den här säkerhetsbaslinjen och dess rekommendationer med hjälp av Microsoft Defender för molnet. Azure Policy definitioner visas i avsnittet Regelefterlevnad på portalsidan Microsoft Defender för molnet.

När en funktion har relevanta Azure Policy definitioner visas de i den här baslinjen för att hjälpa dig att mäta efterlevnaden av Microsofts benchmark-kontroller och rekommendationer för molnsäkerhet. Vissa rekommendationer kan kräva en betald Microsoft Defender plan för att aktivera vissa säkerhetsscenarier.

Anteckning

Funktioner som inte är tillämpliga för Azure Monitor har exkluderats. Om du vill se hur Azure Monitor mappar helt till Microsoft Cloud Security Benchmark kan du läsa den fullständiga mappningsfilen för Säkerhetsbaslinje i Azure Monitor.

Säkerhetsprofil

Säkerhetsprofilen sammanfattar funktioner med hög påverkan i Azure Monitor, vilket kan leda till ökade säkerhetsöverväganden.

Attribut för tjänstbeteende	Värde
Produktkategori	DevOps, Säkerhet
Kunden kan komma åt HOST/OS	Ingen åtkomst
Tjänsten kan distribueras till kundens virtuella nätverk	Falskt
Lagrar kundinnehåll i vila	Sant

Nätverkssäkerhet

Mer information finns i Microsoft Cloud Security Benchmark: Nätverkssäkerhet.

NS-1: Upprätta nätverkssegmenteringsgränser

Funktioner

Integrering med virtuellt nätverk

Beskrivning: Tjänsten stöder distribution till kundens privata Virtual Network (VNet). Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Konfigurationsvägledning: Distribuera tjänsten till ett virtuellt nätverk. Tilldela privata IP-adresser till resursen (om tillämpligt) om det inte finns en stark anledning att tilldela offentliga IP-adresser direkt till resursen.

Referens: Använd Azure Private Link för att ansluta nätverk till Azure Monitor

Stöd för nätverkssäkerhetsgrupp

Beskrivning: Tjänstnätverkstrafik respekterar regeltilldelningen för nätverkssäkerhetsgrupper i dess undernät. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Konfigurationsvägledning: Använd nätverkssäkerhetsgrupper (NSG) för att begränsa eller övervaka trafik efter port, protokoll, käll-IP-adress eller mål-IP-adress. Skapa NSG-regler för att begränsa tjänstens öppna portar (till exempel förhindra att hanteringsportar nås från ej betrodda nätverk). Tänk på att NSG:er som standard nekar all inkommande trafik men tillåter trafik från virtuella nätverk och Azure Load Balancers.

Referens: IP-adresser som används av Azure Monitor

NS-2: Skydda molntjänster med nätverkskontroller

Funktioner

Azure Private Link

Beskrivning: Tjänstens interna IP-filtreringsfunktion för filtrering av nätverkstrafik (ska inte förväxlas med NSG eller Azure Firewall). Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Konfigurationsvägledning: Med Azure Private Link kan du på ett säkert sätt länka Azure PaaS-resurser (plattform som en tjänst) till ditt virtuella nätverk med hjälp av privata slutpunkter. Azure Monitor är en konstellation av olika sammankopplade tjänster som arbetar tillsammans för att övervaka dina arbetsbelastningar. En Azure Monitor-Private Link ansluter en privat slutpunkt till en uppsättning Azure Monitor-resurser och definierar gränserna för ditt övervakningsnätverk. Den uppsättningen kallas azure monitor Private Link scope (AMPLS).

Referens: Använd Azure Private Link för att ansluta nätverk till Azure Monitor

Inaktivera åtkomst till offentligt nätverk

Beskrivning: Tjänsten stöder inaktivering av åtkomst till offentligt nätverk antingen via filtreringsregeln IP ACL på tjänstnivå (inte NSG eller Azure Firewall) eller med växlingsknappen Inaktivera åtkomst till offentligt nätverk. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Konfigurationsvägledning: Inaktivera åtkomst till offentligt nätverk med hjälp av filtreringsregeln för IP-åtkomst på tjänstnivå eller en växlingsväxel för åtkomst till offentligt nätverk. Se ytterligare information här: Använda Azure Monitor Private Link Scope (AMPLS)

Referens: Använd Azure Private Link för att ansluta nätverk till Azure Monitor

Identitetshantering

Mer information finns i Microsoft Cloud Security Benchmark: Identitetshantering.

IM-1: Använd centraliserat identitets- och autentiseringssystem

Funktioner

Azure AD autentisering krävs för dataplansåtkomst

Beskrivning: Tjänsten stöder användning av Azure AD-autentisering för åtkomst till dataplanet. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Sant	Microsoft

Funktionsanteckningar: Azure Monitor-agenten använder MSI\AAD som standard och dokumenteras här: Azure Log Analytics-agentkonfiguration

Application Insights måste konfigureras för att framtvinga AAD och dokumenteras här Application Insights AAD-autentisering

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Azure AD autentisering för Application Insights

Lokala autentiseringsmetoder för dataplansåtkomst

Beskrivning: Lokala autentiseringsmetoder som stöds för åtkomst till dataplanet, till exempel ett lokalt användarnamn och lösenord. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Falskt	Ej tillämpligt	Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

IM-3: Hantera programidentiteter på ett säkert och automatiskt sätt

Funktioner

Hanterade identiteter

Beskrivning: Dataplansåtgärder stöder autentisering med hanterade identiteter. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Hanterad identitet måste vara aktiverad på virtuella Azure-datorer innan du installerar Azure Monitor-agenten. Krav för Azure Monitor-agenten

Konfigurationsvägledning: Använd hanterade Azure-identiteter i stället för tjänstens huvudnamn när det är möjligt, som kan autentisera mot Azure-tjänster och resurser som stöder Azure Active Directory-autentisering (Azure AD). Autentiseringsuppgifterna för hanterade identiteter hanteras, roteras och skyddas av plattformen, vilket undviker hårdkodade autentiseringsuppgifter i källkods- eller konfigurationsfiler.

Referens: Azure AD autentisering för Application Insights

Tjänstens huvudnamn

Beskrivning: Dataplanet stöder autentisering med hjälp av tjänstens huvudnamn. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Detta gäller endast för Secure WebHooks.

Konfigurationsvägledning: Det finns ingen aktuell Microsoft-vägledning för den här funktionskonfigurationen. Granska och kontrollera om din organisation vill konfigurera den här säkerhetsfunktionen.

Referens: Skapa och hantera åtgärdsgrupper i Azure Portal

SNABBMEDDELANDE 7: Begränsa resursåtkomst baserat på villkor

Funktioner

Villkorsstyrd åtkomst för dataplan

Beskrivning: Dataplansåtkomst kan styras med hjälp av Azure AD principer för villkorsstyrd åtkomst. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Konfigurationsvägledning: Definiera tillämpliga villkor och kriterier för villkorsstyrd åtkomst i Azure Active Directory (Azure AD) i arbetsbelastningen. Överväg vanliga användningsfall som att blockera eller bevilja åtkomst från specifika platser, blockera riskfyllt inloggningsbeteende eller kräva organisationshanterade enheter för specifika program.

Referens: Översikt över Azure Monitor Log Analytics API

Privilegierad åtkomst

Mer information finns i Microsofts benchmark för molnsäkerhet: Privilegierad åtkomst.

PA-7: Följ principen för precis tillräcklig administration (lägsta behörighet)

Funktioner

Azure RBAC för dataplan

Beskrivning: Azure Role-Based Access Control (Azure RBAC) kan användas för hanterad åtkomst till tjänstens dataplansåtgärder. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Sant	Microsoft

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Roller, behörigheter och säkerhet i Azure Monitor

PA-8: Fastställa åtkomstprocess för molnleverantörssupport

Funktioner

Customer Lockbox

Beskrivning: Customer Lockbox kan användas för microsofts supportåtkomst. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Endast tillgängligt när Azure Monitor Log Analytics har konfigurerats med ett dedikerat kluster.

Konfigurationsvägledning: I supportscenarier där Microsoft behöver åtkomst till dina data använder du Customer Lockbox för att granska och sedan godkänna eller avvisa var och en av Microsofts dataåtkomstbegäranden. Detta gäller endast för loggdata i dedikerade kluster.

Referens: Customer Lockbox (förhandsversion)

Dataskydd

Mer information finns i Microsoft Cloud Security Benchmark: Dataskydd.

DP-1: Identifiera, klassificera och märka känsliga data

Funktioner

Identifiering och klassificering av känsliga data

Beskrivning: Verktyg (till exempel Azure Purview eller Azure Information Protection) kan användas för identifiering och klassificering av data i tjänsten. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Falskt	Ej tillämpligt	Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

DP-2: Övervaka avvikelser och hot mot känsliga data

Funktioner

Dataläckage/förlustskydd

Beskrivning: Tjänsten stöder DLP-lösning för att övervaka känslig dataflytt (i kundens innehåll). Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Falskt	Ej tillämpligt	Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

DP-3: Kryptera känsliga data under överföring

Funktioner

Data under överföringskryptering

Beskrivning: Tjänsten stöder datakryptering under överföring för dataplanet. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Alla konfigurerade som standard, förutom datainmatning.
För Log Analytics

För Application Insights

Konfigurationsvägledning: Aktivera säker överföring i tjänster där det finns inbyggda data i den inbyggda krypteringsfunktionen för överföring. Framtvinga HTTPS på alla webbprogram och tjänster och se till att TLS v1.2 eller senare används. Äldre versioner som SSL 3.0, TLS v1.0 bör inaktiveras. För fjärrhantering av Virtual Machines använder du SSH (för Linux) eller RDP/TLS (för Windows) i stället för ett okrypterat protokoll.

DP-4: Aktivera vilande datakryptering som standard

Funktioner

Vilande datakryptering med plattformsnycklar

Beskrivning: Vilande datakryptering med plattformsnycklar stöds, allt kundinnehåll i vila krypteras med dessa Microsoft-hanterade nycklar. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Sant	Microsoft

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

DP-5: Använd alternativet kundhanterad nyckel i vilodatakryptering vid behov

Funktioner

Vilande datakryptering med CMK

Beskrivning: Vilande datakryptering med kundhanterade nycklar stöds för kundinnehåll som lagras av tjänsten. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Azure Monitor-data är data om tjänsternas hälsotillstånd och skyddas inte av Customer Lockbox som standard. Endast loggar kan skyddas av Lockbox och endast för dedikerade kluster.

Konfigurationsvägledning: Azure Monitor-data är endast avsedda för tjänsthälsodata och endast loggdata som lagras i dedikerade kluster tillåter användning av kundhanterade nycklar för vilande datakryptering. Om det behövs för regelefterlevnad definierar du användningsfall och tjänstomfång där kryptering med kundhanterade nycklar behövs. Aktivera och implementera vilande datakryptering med hjälp av kundhanterad nyckel för dessa tjänster.

Referens: Kundhanterad nyckel i Azure Monitor

Tillgångshantering

Mer information finns i Microsoft Cloud Security Benchmark: Tillgångshantering.

AM-2: Använd endast godkända tjänster

Funktioner

Azure Policy-stöd

Beskrivning: Tjänstkonfigurationer kan övervakas och framtvingas via Azure Policy. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Konfigurationsvägledning: Använd Microsoft Defender för molnet för att konfigurera Azure Policy för att granska och tillämpa konfigurationer av dina Azure-resurser. Använd Azure Monitor för att skapa aviseringar när en konfigurationsavvikelse har identifierats på resurserna. Använd Azure Policy [neka] och [distribuera om det inte finns] effekter för att framtvinga säker konfiguration mellan Azure-resurser.

Referens: Skapa diagnostikinställningar i stor skala med Azure Policy

Loggning och hotidentifiering

Mer information finns i Microsoft Cloud Security Benchmark: Loggning och hotidentifiering.

LT-1: Aktivera funktioner för hotidentifiering

Funktioner

Microsoft Defender för tjänst/produkterbjudande

Beskrivning: Tjänsten har en erbjudandespecifik Microsoft Defender lösning för övervakning och avisering om säkerhetsproblem. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Falskt	Ej tillämpligt	Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

LT-4: Aktivera loggning för säkerhetsundersökning

Funktioner

Azure-resursloggar

Beskrivning: Tjänsten skapar resursloggar som kan ge förbättrade tjänstspecifika mått och loggning. Kunden kan konfigurera dessa resursloggar och skicka dem till sin egen datamottagare som ett lagringskonto eller en Log Analytics-arbetsyta. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Sant	Microsoft

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Diagnostikinställningar i Azure Monitor

Säkerhetskopiering och återställning

Mer information finns i Microsoft cloud security benchmark: Backup and recovery (Microsoft cloud security benchmark: Backup and recovery).

BR-1: Se till att regelbundna automatiserade säkerhetskopieringar

Funktioner

Azure Backup

Beskrivning: Tjänsten kan säkerhetskopieras av Azure Backup-tjänsten. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Falskt	Ej tillämpligt	Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Tjänstens interna säkerhetskopieringsfunktion

Beskrivning: Tjänsten stöder sin egen interna säkerhetskopieringsfunktion (om den inte använder Azure Backup). Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Falskt	Ej tillämpligt	Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Nästa steg

• Se översikten över Microsoft Cloud Security Benchmark
• Läs mer om säkerhetsbaslinjer för Azure