Standardní hodnoty zabezpečení Azure pro Logic Apps

Důležité

Tento směrný plán zabezpečení vychází z předchozí verze srovnávacího testu Microsoft Cloud Security (v1.0) a může obsahovat zastaralé pokyny. Nejnovější pokyny k zabezpečení najdete v dokumentaci k Logic Apps.

Tento směrný plán zabezpečení používá pokyny z srovnávacího testu zabezpečení cloudu Microsoftu verze 1.0 na Logic Apps. Srovnávací test zabezpečení cloudu Microsoftu poskytuje doporučení týkající se zabezpečení cloudových řešení v Azure. Obsah je seskupený kontrolními prvky zabezpečení definovanými srovnávacím testem zabezpečení cloudu Microsoftu a souvisejícími pokyny pro Logic Apps.

Tento standardní plán zabezpečení a jeho doporučení můžete monitorovat pomocí programu Microsoft Defender for Cloud. Definice azure Policy budou uvedené v části Dodržování právních předpisů na stránce portálu Microsoft Defender for Cloud.

Pokud má funkce relevantní definice zásad Azure Policy, jsou uvedeny v této základní linii, což vám pomůže měřit shodu s kontrolními mechanismy a doporučeními bezpečnostního standardu Microsoft Cloud. Některá doporučení můžou vyžadovat placený plán Microsoft Defenderu, aby bylo možné povolit určité scénáře zabezpečení.

Poznámka:

Funkce , které se nevztahují na Logic Apps, byly vyloučeny. Pokud chcete zjistit, jak služba Logic Apps kompletně odpovídá srovnávacímu testu zabezpečení cloudu Microsoftu, podívejte se na úplný soubor mapování baseline zabezpečení pro Logic Apps.

Profil zabezpečení

Profil zabezpečení shrnuje chování Logic Apps s vysokým dopadem, což může mít za následek zvýšené aspekty zabezpečení.

Atribut chování služby Hodnota
Kategorie produktu Integration
Zákazník má přístup k hostiteli nebo operačnímu systému Žádný přístup
Službu je možné nasadit do virtuální sítě zákazníka. Pravdivé
Ukládá obsah zákazníka v klidu. Pravdivé

Zabezpečení sítě

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu: Zabezpečení sítě.

NS-1: Vytvoření hranic segmentace sítě

Features

Integrace virtuální sítě

Popis: Služba podporuje nasazení do privátní virtuální sítě zákazníka. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Tato funkce se podporuje prostřednictvím App Services pro standardní nabídku Logic Apps. Zákazníci můžou také používat ASE V3 k nasazení aplikací Logic Apps Standard.

Pokyny ke konfiguraci: Nasaďte aplikaci Logic Apps Standard do libovolného pracovního postupu standardu ASP nebo ASE v3 založeného na ASP. Zákazníci můžou nakonfigurovat integraci virtuální sítě a privátní koncové body s oběma výše uvedenými možnostmi.

Referenční informace: Integrace virtuální sítě Logic Apps

Podpora skupin zabezpečení sítě

Popis: Síťový provoz služby dodržuje pravidla přiřazená skupinám zabezpečení sítě na svých podsítích. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Pro Logic Apps Standard je tato podpora zajištěna prostřednictvím App Services a Functions.

Pokyny ke konfiguraci: Pomocí skupin zabezpečení sítě (NSG) omezte nebo monitorujte provoz podle portu, protokolu, zdrojové IP adresy nebo cílové IP adresy. Vytvořte pravidla NSG pro omezení otevřených portů vaší služby (například zabránění přístupu portů pro správu z nedůvěryhodných sítí). Mějte na paměti, že skupiny zabezpečení sítě ve výchozím nastavení zakazují veškerý příchozí provoz, ale povolují provoz z virtuální sítě a služby Azure Load Balancers.

Poznámka: Nasaďte aplikaci Logic Apps Standard do některého ze Workflow Standard ASPs nebo ASP založené na ASE V3. Zákazníci můžou nakonfigurovat integraci virtuální sítě a privátní koncové body s oběma výše uvedenými možnostmi. Potom můžou zákazníci nakonfigurovat požadovaná pravidla NSG ve svých podsítích.

NS-2: Zabezpečení cloudových služeb pomocí síťových ovládacích prvků

Features

Popis: Funkce filtrování nativních IP adres pro filtrování síťového provozu (nezaměňovat se se skupinou zabezpečení sítě nebo službou Azure Firewall). Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Pro Logic Apps Standard se to podporuje prostřednictvím App Services a Functions.

Pokyny ke konfiguraci: Nasaďte aplikaci Logic Apps Standard do libovolného pracovního postupu standardu ASP nebo ASE v3 založeného na ASP. Zákazníci můžou nakonfigurovat integraci virtuální sítě a privátní koncové body s oběma výše uvedenými možnostmi.

Referenční informace: Privátní odkazy Logic Apps

Zakázání přístupu k veřejné síti

Popis: Služba podporuje zakázání přístupu k veřejné síti buď prostřednictvím pravidla filtrování seznamu ACL na úrovni služby (ne NSG nebo Azure Firewall), nebo pomocí přepínače Zakázat přístup k veřejné síti. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Tato funkce se podporuje prostřednictvím Azure App Services pro Logic Apps Standard.

Pokyny ke konfiguraci: Zakázat přístup k veřejné síti pomocí služby Logic Apps Standard v prostředí ASE v3 nebo použitím plánu služby App Service Standard pro pracovní tok. Se službou ASE v3 mohou zákazníci nakonfigurovat výběr interní verze ASE V3. S plánem běžného pracovního postupu služby App Service standard můžou zákazníci zakázat přístup k veřejné síti, pokud mají povoleny soukromé koncové body.

Referenční informace: Použití privátních koncových bodů pro aplikace App Service

Správa identit

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu: Správa identit.

IM-1: Použití centralizovaného systému identit a ověřování

Features

Vyžadováno ověřování Azure AD pro přístup k rovině dat

Popis: Služba podporuje použití ověřování Azure AD pro přístup k rovině dat. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Tato funkce je podporována ve službě Logic Apps Consumption a Standard s využitím různých modelů, protože model Logic Apps Standard běží nad Službami App Services.

Další informace najdete tady: Consumption a Standard.

Pokyny ke konfiguraci: Jako výchozí metodu ověřování použijte Azure Active Directory (Azure AD) k řízení přístupu k rovině dat.

Referenční informace: Ověřování AAD v Azure Logic Apps

Místní metody ověřování pro přístup k rovině dat

Popis: Místní metody ověřování podporované pro přístup k rovině dat, například místní uživatelské jméno a heslo. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Tato funkce se podporuje prostřednictvím služeb Azure App Services a Functions pro Logic Apps Standard. Vyhněte se používání místních metod ověřování nebo účtů, měly by být zakázány všude, kde je to možné. Místo toho použijte Azure AD k ověření, pokud je to možné.

Pokyny ke konfiguraci: Omezte použití místních metod ověřování pro přístup k rovině dat. Místo toho jako výchozí metodu ověřování použijte Azure Active Directory (Azure AD) k řízení přístupu k rovině dat.

Referenční informace: Ověřování a autorizace ve službě Azure App Service a Azure Functions

IM-3: Zabezpečená a automatická správa identit aplikací

Features

Spravované identity

Popis: Akce roviny dat podporují ověřování pomocí spravovaných identit. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Podporuje se ověřování prostřednictvím spravované identity do Logic Apps. Kromě toho může služba (Consumption i Standard) využívat spravovanou identitu k ověření v jiných službách.

Další informace najdete v tématu Ověřování Logic Apps pomocí spravované identity.

Pokyny ke konfiguraci: Pokud je to možné, používejte spravované identity Azure místo instančních objektů, které se můžou ověřovat ve službách a prostředcích Azure podporujících ověřování Azure Active Directory (Azure AD). Přihlašovací údaje pro spravovanou identitu jsou plně spravovány, rotovány a chráněny platformou, což vám umožňuje vyhnout se pevně zakódovaným přihlašovacím údajům ve zdrojovém kódu nebo konfiguračních souborech.

Referenční informace: Typy ověřování pro konektory, které podporují ověřování

Principál služby

Popis: Rovina dat podporuje ověřování pomocí instančních objektů. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Zákazník může použít Easy Auth ve službě App Services k nakonfigurování této podpory v nabídce Standard. Nebo můžou v nabídce Consumption používat podporu ověřování AAD.

Pokyny ke konfiguraci konfigurace: Pro tuto konfiguraci funkcí nejsou žádné aktuální pokyny Microsoftu. Zkontrolujte a zjistěte, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

Referenční informace: Ověřování AAD pro triggery požadavků Logic Apps

IM-8: Omezení vystavení přihlašovacích údajů a tajných kódů

Features

Podpora integrace a úložiště ověřovacích údajů a tajných informací ve službě Azure Key Vault

Popis: Rovina dat podporuje nativní použití služby Azure Key Vault pro úložiště přihlašovacích údajů a tajných kódů. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Nabídka Logic Apps Standard je doporučeným produktem, který zákazníci používají pro všechny scénáře podnikové integrace.

Ve službě Logic Apps Standard, protože je založená na App Services, můžou zákazníci odkazovat na tajné kódy ve službě Key Vault pomocí nastavení aplikace a následně odkazovat na nastavení aplikace ve svých pracovních postupech.

Další informace najdete v tématu: Programmatický přístup k nastavení aplikace pomocí výrazů Logic Apps.

Pokyny ke konfiguraci: Ujistěte se, že jsou tajné kódy a přihlašovací údaje uložené v zabezpečených umístěních, jako je Azure Key Vault, a ne jejich vkládání do kódu nebo konfiguračních souborů.

Referenční informace: Standardní nastavení aplikace Logic Apps

Privilegovaný přístup

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu: Privilegovaný přístup.

PA-7: Dodržujte princip minimální správy (princip nejmenších privilegií).

Features

Azure RBAC pro datovou vrstvu

Popis: Azure Role-Based Řízení přístupu (Azure RBAC) se dá použít ke správě přístupu k akcím roviny dat služby. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

PA-8: Určení procesu přístupu pro podporu poskytovatele cloudu

Features

Customer Lockbox

Popis: Customer Lockbox je možné použít pro přístup k podpoře Microsoftu. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Pokyny ke konfiguraci: Ve scénářích podpory, ve kterých Microsoft potřebuje přístup k vašim datům, zkontrolujte pomocí Customer Lockboxu a pak schvalte nebo odmítněte všechny žádosti o přístup k datům Microsoftu.

Referenční informace: Customer Lockbox pro Logic Apps

Ochrana dat

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu: Ochrana dat.

DP-2: Monitorování anomálií a hrozeb, které cílí na citlivá data

Features

Únik dat / Ochrana před únikem informací

Popis: Služba podporuje řešení DLP pro monitorování pohybu citlivých dat (v obsahu zákazníka). Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

DP-3: Šifrování citlivých dat během přenosu

Features

Šifrování dat při přenosu

Popis: Služba podporuje šifrování přenášených dat pro rovinu dat. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Pravdivé Microsoft

Pokyny ke konfiguraci: Pro výchozí nasazení nejsou vyžadovány žádné další konfigurace.

Referenční informace: Zabezpečení aplikací logiky

DP-4: Povolení šifrování neaktivních uložených dat ve výchozím nastavení

Features

Šifrování neaktivních uložených dat pomocí klíčů platformy

Popis: Šifrování neaktivních uložených dat pomocí klíčů platformy je podporováno, veškerý neaktivní uložený obsah zákazníka je šifrovaný pomocí těchto klíčů spravovaných Microsoftem. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Pravdivé Microsoft

Poznámky k funkcím: Pro nabídku Consumption se data pro zákazníky ukládají do účtů úložiště spravovaných Microsoftem a data se šifrují v klidovém stavu pomocí funkce šifrování neaktivních uložených dat.

Pro nabídku Standard spravují zákazníci úložiště.

Pokyny ke konfiguraci: Pro výchozí nasazení nejsou vyžadovány žádné další konfigurace.

DP-5: Při šifrování dat v klidu použijte možnost klíče spravovaného zákazníkem, když je to vyžadováno

Features

Šifrování neaktivních uložených dat pomocí cmk

Popis: Šifrování neaktivních uložených dat pomocí klíčů spravovaných zákazníkem je podporováno pro obsah zákazníka uložený službou. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Tato funkce se podporuje prostřednictvím standardu Logic Apps. Zákazníci můžou v nabídce Standard nakonfigurovat vlastní účty úložiště pro ukládání dat modulu runtime. Zákazníci, kteří vlastní úložiště, mohou konfigurovat zásady CMK podle potřeby na svých účtech úložiště.

Pokyny ke konfiguraci: V případě potřeby dodržování právních předpisů definujte případ použití a obor služby, kde je potřeba šifrování pomocí klíčů spravovaných zákazníkem. Povolte a implementujte šifrování neaktivních uložených dat pomocí klíče spravovaného zákazníkem pro tyto služby.

DP-6: Použití zabezpečeného procesu správy klíčů

Features

Správa klíčů ve službě Azure Key Vault

Popis: Služba podporuje integraci služby Azure Key Vault pro všechny klíče zákazníka, tajné kódy nebo certifikáty. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Vzhledem k tomu, že Služba App Services a Functions běží na standardu Logic Apps, podporuje se tato funkce prostřednictvím App Services.

Pokyny ke konfiguraci: Použití služby Azure Key Vault k vytvoření a řízení životního cyklu šifrovacích klíčů, včetně generování klíčů, distribuce a úložiště. Obměna a odvolávání klíčů ve službě Azure Key Vault a vaší službě na základě definovaného plánu nebo v případech, kdy dojde k vyřazení klíče nebo ohrožení zabezpečení. Pokud je potřeba použít klíč spravovaný zákazníkem (CMK) na úrovni úlohy, služby nebo aplikace, ujistěte se, že dodržujete osvědčené postupy pro správu klíčů: Pomocí hierarchie klíčů vygenerujte samostatný šifrovací klíč dat (DEK) s šifrovacím klíčem klíče (KEK) ve vašem trezoru klíčů. Ujistěte se, že jsou klíče zaregistrované ve službě Azure Key Vault a jsou referencovány pomocí ID klíčů, zejména ze služby nebo aplikace. Pokud potřebujete do služby použít vlastní klíč (BYOK) (například import klíčů chráněných HSM z místních HSM do služby Azure Key Vault), postupujte podle doporučených pokynů k provedení počátečního generování klíčů a přenosu klíčů.

DP-7: Použití zabezpečeného procesu správy certifikátů

Features

Správa certifikátů ve službě Azure Key Vault

Popis: Služba podporuje integraci služby Azure Key Vault pro všechny certifikáty zákazníků. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Ve službě Logic Apps Standard se tato funkce podporuje prostřednictvím podpory služby App Services pro odkazování na certifikáty ze služby Key Vault.

Další informace najdete v tématu: Import certifikátu ze služby Key Vault.

Pokyny ke konfiguraci: Použití služby Azure Key Vault k vytvoření a řízení životního cyklu certifikátu, včetně vytvoření, importu, obměny, odvolání, úložiště a vymazání certifikátu. Ujistěte se, že generování certifikátů dodržuje definované standardy bez použití nezabezpečených vlastností, například: nedostatečná velikost klíče, delší doba platnosti, nezabezpečená kryptografie. Nastavení automatické obměny certifikátu ve službě Azure Key Vault a služby Azure (pokud je podporováno) na základě definovaného plánu nebo vypršení platnosti certifikátu. Pokud v aplikaci není automatická rotace podporovaná, ujistěte se, že klíče případně neustále rotují pomocí ručních metod ve službě Azure Key Vault a v aplikaci.

Správa aktiv

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu: Správa prostředků.

AM-2: Používejte pouze schválené služby.

Features

Podpora služby Azure Policy

Popis: Konfigurace služeb je možné monitorovat a vynucovat prostřednictvím služby Azure Policy. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Vzhledem k tomu, že služba Logic Apps úrovně Standard běží nad App Services, můžou zákazníci nakonfigurovat zásady podobné tomu, jak můžou nakonfigurovat služby App Services a funkce. Kromě toho jsou k dispozici také konkrétní zásady Logic Apps.

Předdefinované zásady služby App Service

Pokyny ke konfiguraci: Pomocí Microsoft Defenderu pro cloud nakonfigurujte Azure Policy tak, aby auditovali a vynucovali konfigurace vašich prostředků Azure. Pomocí služby Azure Monitor můžete vytvářet výstrahy, když se u prostředků zjistí odchylka konfigurace. Pokud chcete vynutit zabezpečenou konfiguraci napříč prostředky Azure, použijte azure Policy [odepřít] a [nasadit, pokud neexistuje].

Referenční informace: Integrované zásady Logic Apps

Protokolování a detekce hrozeb

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu: Protokolování a detekce hrozeb.

LT-1: Povolení možností detekce hrozeb

Features

Microsoft Defender for Service / Nabídka produktů

Popis: Služba má řešení Microsoft Defenderu specifické pro konkrétní nabídku pro monitorování a upozorňování na problémy se zabezpečením. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Tato funkce je podporovaná prostřednictvím App Services pro Logic Apps Standard.

Pokyny ke konfiguraci: Jako výchozí metodu ověřování použijte Azure Active Directory (Azure AD) k řízení přístupu k rovině správy. Když dostanete upozornění z Programu Microsoft Defender for Key Vault, prošetřete upozornění a odpovězte na ně.

Referenční informace: Přehled služby Defender for App Service za účelem ochrany webových aplikací a rozhraní API služby Azure App Service

LT-4: Povolení protokolování pro vyšetřování bezpečnosti

Features

Protokoly prostředků Azure

Popis: Služba vytváří protokoly prostředků, které mohou nabízet rozšířené metriky a protokolování specifické pro službu. Zákazník může tyto protokoly prostředků nakonfigurovat a odeslat je do vlastní jímky dat, jako je účet úložiště nebo pracovní prostor služby Log Analytics. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Pokyny ke konfiguraci: Povolte protokoly prostředků pro službu Key Vault například podporuje další protokoly prostředků pro akce, které z trezoru klíčů získávají tajný kód, nebo Azure SQL obsahuje protokoly prostředků, které sledují požadavky na databázi. Obsah protokolů prostředků se liší podle služby Azure a typu prostředku.

Referenční informace: Monitorování a shromažďování diagnostických dat pro pracovní postupy v Azure Logic Apps

Zálohování a obnovování

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu: Zálohování a obnovení.

BR-1: Zajištění pravidelných automatizovaných záloh

Features

Azure Backup

Popis: Službu může zálohovat služba Azure Backup. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Další kroky

  • Last updated on