Podrobnosti o integrované iniciativě UK OFFICIAL a UK NHS Regulatory Compliance

  • Článek

Následující článek podrobně popisuje, jak se předdefinovaná definice iniciativy azure Policy mapuje na domény dodržování předpisů a ovládací prvky v UK OFFICIAL a UK NHS. Další informace o této normě dodržování předpisů naleznete v tématu UK OFFICIAL a UK NHS. Informace o vlastnictví najdete v tématu Definice zásad Azure Policy a Sdílená odpovědnost v cloudu.

Následující mapování jsou na kontroly UK OFFICIAL a UK NHS . Mnoho ovládacích prvků se implementuje s definicí iniciativy Azure Policy . Pokud chcete zkontrolovat úplnou definici iniciativy, otevřete zásady na webu Azure Portal a vyberte stránku Definice . Pak vyhledejte a vyberte definici iniciativy UK OFFICIAL a UK NHS Regulatory Compliance.

Důležité

Každý následující ovládací prvek je přidružený k jedné nebo více definici služby Azure Policy . Tyto zásady vám můžou pomoct vyhodnotit dodržování předpisů ovládacích prvků, ale často mezi ovládacím prvek a jednou nebo více zásadami není shoda 1:1 nebo úplná shoda. Dodržování předpisů v Azure Policy proto odkazuje jenom na samotné definice zásad. Tím se nezajistí, že plně splňujete všechny požadavky ovládacího prvku. Kromě toho standard dodržování předpisů zahrnuje ovládací prvky, které nejsou v tuto chvíli adresovány žádnými definicemi služby Azure Policy. Dodržování předpisů ve službě Azure Policy je proto jen částečné zobrazení celkového stavu dodržování předpisů. Přidružení mezi doménami dodržování předpisů, ovládacími prvky a definicemi služby Azure Policy pro tento standard dodržování předpisů se můžou v průběhu času měnit. Pokud chcete zobrazit historii změn, podívejte se na historii potvrzení GitHubu.

Ochrana dat při přenosu

Ochrana dat při přenosu

ID: Vlastnictví UK NCSC CSP 1: Sdílené

Název
(Azure Portal)		 Popis Účinek Verze
(GitHub)
Aplikace služby App Service by měly být přístupné jenom přes PROTOKOL HTTPS. Použití protokolu HTTPS zajišťuje ověřování serveru nebo služby a chrání přenášená data před útoky na odposlouchávání vrstvy sítě. Audit, Zakázáno, Odepřít 4.0.0
Aplikace funkcí by měly být přístupné jenom přes HTTPS. Použití protokolu HTTPS zajišťuje ověřování serveru nebo služby a chrání přenášená data před útoky na odposlouchávání vrstvy sítě. Audit, Zakázáno, Odepřít 5.0.0
Měla by být povolena pouze zabezpečená připojení ke službě Azure Cache for Redis. Audit povolení pouze připojení přes PROTOKOL SSL ke službě Azure Cache for Redis Použití zabezpečených připojení zajišťuje ověřování mezi serverem a službou a chrání přenášená data před útoky na síťovou vrstvu, jako jsou man-in-the-middle, odposlouchávání a napadení relace Audit, Odepřít, Zakázáno 1.0.0
Zabezpečený přenos do účtů úložiště by měl být povolený. Požadavek na audit zabezpečeného přenosu v účtu úložiště Zabezpečený přenos je možnost, která vynutí, aby váš účet úložiště přijímal požadavky pouze ze zabezpečených připojení (HTTPS). Použití protokolu HTTPS zajišťuje ověřování mezi serverem a službou a chrání přenášená data před útoky na vrstvu sítě, jako jsou man-in-the-middle, odposlouchávání a napadení relace. Audit, Odepřít, Zakázáno 2.0.0
Počítače s Windows by měly být nakonfigurované tak, aby používaly zabezpečené komunikační protokoly. K ochraně soukromí informací předávaných přes internet by vaše počítače měly používat nejnovější verzi standardního kryptografického protokolu TLS (Transport Layer Security). Protokol TLS zabezpečuje komunikaci přes síť šifrováním připojení mezi počítači. AuditIfNotExists, zakázáno 4.1.1

Identita a ověřování

Identita a ověřování

ID: Uk NCSC CSP 10 Vlastnictví: Sdílené

Název
(Azure Portal)		 Popis Účinek Verze
(GitHub)
Účty s oprávněními vlastníka k prostředkům Azure by měly být povolené vícefaktorové ověřování Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními vlastníka, aby nedošlo k narušení účtů nebo prostředků. AuditIfNotExists, zakázáno 1.0.0
Účty s oprávněními ke čtení u prostředků Azure by měly být povolené vícefaktorové ověřování Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními ke čtení, aby nedošlo k narušení účtů nebo prostředků. AuditIfNotExists, zakázáno 1.0.0
Účty s oprávněním k zápisu prostředků Azure by měly být povolené vícefaktorové ověřování. Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními k zápisu, aby nedošlo k narušení účtů nebo prostředků. AuditIfNotExists, zakázáno 1.0.0
Přidání spravované identity přiřazené systémem pro povolení přiřazení konfigurace hosta na virtuálních počítačích bez identit Tato zásada přidá spravovanou identitu přiřazenou systémem k virtuálním počítačům hostovaným v Azure, které jsou podporovány konfigurací hosta, ale nemají žádné spravované identity. Spravovaná identita přiřazená systémem je předpokladem pro všechna přiřazení konfigurace hosta a musí být před použitím definic zásad konfigurace hosta přidána do počítačů. Další informace o konfiguraci hosta naleznete v tématu https://aka.ms/gcpol. modify (úprava) 4.1.0
Přidání spravované identity přiřazené systémem pro povolení přiřazení konfigurace hosta na virtuálních počítačích s identitou přiřazenou uživatelem Tato zásada přidá spravovanou identitu přiřazenou systémem k virtuálním počítačům hostovaným v Azure, které jsou podporovány konfigurací hosta a mají aspoň jednu identitu přiřazenou uživatelem, ale nemají spravovanou identitu přiřazenou systémem. Spravovaná identita přiřazená systémem je předpokladem pro všechna přiřazení konfigurace hosta a musí být před použitím definic zásad konfigurace hosta přidána do počítačů. Další informace o konfiguraci hosta naleznete v tématu https://aka.ms/gcpol. modify (úprava) 4.1.0
Správce Azure Active Directory by měl být zřízený pro sql servery. Audit zřizování správce Azure Active Directory pro váš SQL server za účelem povolení ověřování Azure AD Ověřování Azure AD umožňuje zjednodušenou správu oprávnění a centralizovanou správu identit uživatelů databáze a dalších služby Microsoft AuditIfNotExists, zakázáno 1.0.0
Auditování počítačů s Linuxem, které umožňují vzdálená připojení z účtů bez hesel Vyžaduje, aby byly požadavky nasazené do oboru přiřazení zásad. Podrobnosti najdete na adrese https://aka.ms/gcpol. Počítače nedodržují předpisy, pokud počítače s Linuxem, které umožňují vzdálená připojení z účtů bez hesel AuditIfNotExists, zakázáno 3.1.0
Auditování počítačů s Linuxem, které nemají nastavená oprávnění k souboru passwd nastavená na 0644 Vyžaduje, aby byly požadavky nasazené do oboru přiřazení zásad. Podrobnosti najdete na adrese https://aka.ms/gcpol. Počítače nedodržují předpisy, pokud počítače s Linuxem, u kterých nejsou nastavená oprávnění k souborům passwd nastavená na 0644 AuditIfNotExists, zakázáno 3.1.0
Auditování počítačů s Linuxem, které mají účty bez hesel Vyžaduje, aby byly požadavky nasazené do oboru přiřazení zásad. Podrobnosti najdete na adrese https://aka.ms/gcpol. Počítače nedodržují předpisy, pokud počítače s Linuxem, které mají účty bez hesel AuditIfNotExists, zakázáno 3.1.0
Audit virtuálních počítačů, které nepoužívají spravované disky Tato zásada audituje virtuální počítače, které nevyužívají spravované disky. audit 1.0.0
Auditujte počítače s Windows, které umožňují opakované použití hesel po zadaném počtu jedinečných hesel. Vyžaduje, aby byly požadavky nasazené do oboru přiřazení zásad. Podrobnosti najdete na adrese https://aka.ms/gcpol. Počítače nedodržují předpisy, pokud počítače s Windows, které umožňují opakované použití hesel po zadaném počtu jedinečných hesel. Výchozí hodnota pro jedinečná hesla je 24 AuditIfNotExists, zakázáno 2.1.0
Auditování počítačů s Windows, které nemají maximální stáří hesla nastavené na zadaný počet dnů Vyžaduje, aby byly požadavky nasazené do oboru přiřazení zásad. Podrobnosti najdete na adrese https://aka.ms/gcpol. Počítače nedodržují předpisy, pokud počítače s Windows, které nemají nastavený maximální věk hesla na zadaný počet dní. Výchozí hodnota maximálního stáří hesla je 70 dnů. AuditIfNotExists, zakázáno 2.1.0
Auditovat počítače s Windows, které nemají nastavený minimální věk hesla na zadaný počet dnů Vyžaduje, aby byly požadavky nasazené do oboru přiřazení zásad. Podrobnosti najdete na adrese https://aka.ms/gcpol. Počítače nedodržují předpisy, pokud počítače s Windows, u kterých není nastavený minimální věk hesla nastavený na zadaný počet dní. Výchozí hodnota pro minimální stáří hesla je 1 den. AuditIfNotExists, zakázáno 2.1.0
Auditovat počítače s Windows, které nemají povolené nastavení složitosti hesla Vyžaduje, aby byly požadavky nasazené do oboru přiřazení zásad. Podrobnosti najdete na adrese https://aka.ms/gcpol. Počítače nedodržují předpisy, pokud počítače s Windows, které nemají povolené nastavení složitosti hesla AuditIfNotExists, zakázáno 2.0.0
Auditovat počítače s Windows, které neomezují minimální délku hesla na zadaný počet znaků Vyžaduje, aby byly požadavky nasazené do oboru přiřazení zásad. Podrobnosti najdete na adrese https://aka.ms/gcpol. Počítače nedodržují předpisy, pokud počítače s Windows neomezují minimální délku hesla na zadaný počet znaků. Výchozí hodnota minimální délky hesla je 14 znaků. AuditIfNotExists, zakázáno 2.1.0
Blokované účty s oprávněními vlastníka k prostředkům Azure by se měly odebrat. Zastaralé účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení. AuditIfNotExists, zakázáno 1.0.0
Blokované účty s oprávněními ke čtení a zápisu u prostředků Azure by se měly odebrat. Zastaralé účty by se měly z předplatných odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení. AuditIfNotExists, zakázáno 1.0.0
Nasazení rozšíření Konfigurace hosta s Linuxem pro povolení přiřazení konfigurace hosta na virtuálních počítačích s Linuxem Tato zásada nasadí rozšíření Konfigurace hosta linuxu do virtuálních počítačů s Linuxem hostovaných v Azure, které jsou podporovány konfigurací hosta. Rozšíření Konfigurace hosta linuxu je předpokladem pro všechna přiřazení konfigurace hosta Linuxu a musí být nasazena na počítače před použitím jakékoli definice zásad konfigurace hosta Linuxu. Další informace o konfiguraci hosta naleznete v tématu https://aka.ms/gcpol. deployIfNotExists 3.1.0
Nasazení rozšíření Konfigurace hosta systému Windows pro povolení přiřazení konfigurace hosta na virtuálních počítačích s Windows Tato zásada nasadí rozšíření Konfigurace hosta systému Windows do virtuálních počítačů s Windows hostovaných v Azure, které jsou podporovány konfigurací hosta. Rozšíření Konfigurace hosta systému Windows je předpokladem pro všechna přiřazení konfigurace hosta systému Windows a musí být nasazena na počítače před použitím jakékoli definice zásad konfigurace hosta systému Windows. Další informace o konfiguraci hosta naleznete v tématu https://aka.ms/gcpol. deployIfNotExists 1.2.0
Účty hostů s oprávněními vlastníka k prostředkům Azure by se měly odebrat. Externí účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu. AuditIfNotExists, zakázáno 1.0.0
Účty hostů s oprávněními ke čtení u prostředků Azure by se měly odebrat. Externí účty s oprávněními ke čtení by se z vašeho předplatného měly odebrat, aby se zabránilo nemonitorovanému přístupu. AuditIfNotExists, zakázáno 1.0.0
Účty hostů s oprávněním k zápisu prostředků Azure by se měly odebrat. Externí účty s oprávněním k zápisu by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu. AuditIfNotExists, zakázáno 1.0.0
Clustery Service Fabric by měly používat pouze Azure Active Directory pro ověřování klientů. Auditování využití ověřování klientů pouze přes Azure Active Directory v Service Fabric Audit, Odepřít, Zakázáno 1.1.0
Účty úložiště by se měly migrovat na nové prostředky Azure Resource Manageru. Pomocí nového Azure Resource Manageru pro účty úložiště můžete poskytovat vylepšení zabezpečení, jako jsou: silnější řízení přístupu (RBAC), lepší auditování, nasazení a zásady správného řízení na základě Azure Resource Manageru, přístup ke spravovaným identitám, přístup k trezoru klíčů pro tajné kódy, ověřování na základě Azure AD a podpora značek a skupin prostředků pro snadnější správu zabezpečení. Audit, Odepřít, Zakázáno 1.0.0
Virtuální počítače by se měly migrovat na nové prostředky Azure Resource Manageru. Pomocí nového Azure Resource Manageru pro virtuální počítače můžete poskytovat vylepšení zabezpečení, jako je například silnější řízení přístupu (RBAC), lepší auditování, nasazení a zásady správného řízení na základě Azure Resource Manageru, přístup ke spravovaným identitám, přístup k trezoru klíčů pro tajné kódy, ověřování na základě Azure AD a podpora značek a skupin prostředků pro snadnější správu zabezpečení. Audit, Odepřít, Zakázáno 1.0.0

Ochrana externího rozhraní

Ochrana externího rozhraní

ID: Vlastnictví UK NCSC CSP 11: Sdílené

Název
(Azure Portal)		 Popis Účinek Verze
(GitHub)
Na počítačích by se měly povolit adaptivní řízení aplikací pro definování bezpečných aplikací. Povolte řízení aplikací, abyste definovali seznam známých bezpečných aplikací spuštěných na vašich počítačích a upozorňovali vás při spuštění jiných aplikací. To pomáhá posílit zabezpečení počítačů proti malwaru. Aby se zjednodušilo proces konfigurace a údržby pravidel, Security Center pomocí strojového učení analyzuje aplikace spuštěné na každém počítači a navrhne seznam známých bezpečných aplikací. AuditIfNotExists, zakázáno 3.0.0
Doporučení adaptivního posílení zabezpečení sítě by se měla použít na internetových virtuálních počítačích. Azure Security Center analyzuje vzorce provozu internetových virtuálních počítačů a poskytuje doporučení k pravidlům skupiny zabezpečení sítě, která snižují potenciální prostor pro útoky. AuditIfNotExists, zakázáno 3.0.0
Všechny síťové porty by měly být omezeny na skupiny zabezpečení sítě přidružené k vašemu virtuálnímu počítači. Služba Azure Security Center zjistila, že některá příchozí pravidla skupin zabezpečení sítě jsou příliš trvalá. Příchozí pravidla by neměla umožňovat přístup z rozsahů Any nebo Internet. To může útočníkům potenciálně umožnit, aby cílili na vaše prostředky. AuditIfNotExists, zakázáno 3.0.0
Aplikace app Service by měly mít vypnuté vzdálené ladění Vzdálené ladění vyžaduje, aby se v aplikaci App Service otevíraly příchozí porty. Vzdálené ladění by mělo být vypnuté. AuditIfNotExists, zakázáno 2.0.0
Řešení endpoint protection by mělo být nainstalované ve škálovacích sadách virtuálních počítačů. Auditujte existenci a stav řešení ochrany koncových bodů ve škálovacích sadách virtuálních počítačů, abyste je ochránili před hrozbami a ohroženími zabezpečení. AuditIfNotExists, zakázáno 3.0.0
Aplikace funkcí by měly mít vypnuté vzdálené ladění. Vzdálené ladění vyžaduje otevření příchozích portů v aplikacích funkcí. Vzdálené ladění by mělo být vypnuté. AuditIfNotExists, zakázáno 2.0.0
Porty pro správu virtuálních počítačů by měly být chráněné pomocí řízení přístupu k síti za běhu. Azure Security Center bude monitorovat možný přístup podle potřeby (JIT) sítě jako doporučení. AuditIfNotExists, zakázáno 3.0.0
Účty úložiště by měly omezit přístup k síti Přístup k síti k účtům úložiště by měl být omezený. Nakonfigurujte pravidla sítě, aby k účtu úložiště mohly přistupovat jenom aplikace z povolených sítí. Pokud chcete povolit připojení z konkrétního internetu nebo místních klientů, je možné udělit přístup k provozu z konkrétních virtuálních sítí Azure nebo k rozsahům veřejných internetových IP adres. Audit, Odepřít, Zakázáno 1.1.1

Informace o auditu pro uživatele

Informace o auditu pro uživatele

ID: Vlastnictví CSP 13 UK NCSC: Sdílené

Název
(Azure Portal)		 Popis Účinek Verze
(GitHub)
Audit nastavení diagnostiky pro vybrané typy prostředků Auditovat nastavení diagnostiky pro vybrané typy prostředků Nezapomeňte vybrat pouze typy prostředků, které podporují nastavení diagnostiky. AuditIfNotExists 2.0.1
Auditování na SQL Serveru by mělo být povolené. Auditování sql Serveru by mělo být povolené ke sledování databázových aktivit ve všech databázích na serveru a jejich uložení do protokolu auditu. AuditIfNotExists, zakázáno 2.0.0
Azure Defender pro SQL by měl být povolený pro nechráněné servery Azure SQL. Audit sql serverů bez rozšířeného zabezpečení dat AuditIfNotExists, zakázáno 2.0.1

Ochrana prostředků a odolnost proti chybám

Ochrana neaktivních uložených dat

ID: Vlastnictví UK NCSC CSP 2.3: Sdílené

Název
(Azure Portal)		 Popis Účinek Verze
(GitHub)
Proměnné účtu Automation by měly být šifrované. Při ukládánícitlivýchch Audit, Odepřít, Zakázáno 1.1.0
Clustery Service Fabric by měly mít vlastnost ClusterProtectionLevel nastavenou na EncryptAndSign. Service Fabric poskytuje tři úrovně ochrany (None, Sign and EncryptAndSign) pro komunikaci mezi uzly pomocí primárního certifikátu clusteru. Nastavte úroveň ochrany, aby se zajistilo, že všechny zprávy node-to-node jsou šifrované a digitálně podepsané. Audit, Odepřít, Zakázáno 1.1.0
transparentní šifrování dat v databázích SQL by měly být povolené Transparentní šifrování dat by mělo být povolené pro ochranu neaktivních uložených dat a splnění požadavků na dodržování předpisů. AuditIfNotExists, zakázáno 2.0.0
Virtuální počítače by měly šifrovat dočasné disky, mezipaměti a toky dat mezi výpočetními prostředky a prostředky úložiště. Ve výchozím nastavení se operační systém a datové disky virtuálního počítače šifrují neaktivní uložená data pomocí klíčů spravovaných platformou. Dočasné disky, mezipaměti dat a tok dat mezi výpočetními prostředky a úložištěm se nešifrují. Toto doporučení ignorujte, pokud: 1. pomocí šifrování na hostiteli nebo 2. Šifrování na straně serveru na Spravované disky splňuje vaše požadavky na zabezpečení. Další informace najdete v tématu: Šifrování Azure Disk Storage na straně serveru: https://aka.ms/disksse, různé nabídky šifrování disků: https://aka.ms/diskencryptioncomparison AuditIfNotExists, zakázáno 2.0.3

Provozní zabezpečení

Správa ohrožení zabezpečení

ID: Vlastnictví UK NCSC CSP 5.2: Sdílené

Název
(Azure Portal)		 Popis Účinek Verze
(GitHub)
Na virtuálních počítačích by mělo být povolené řešení posouzení ohrožení zabezpečení. Audituje virtuální počítače, aby zjistil, jestli používají podporované řešení posouzení ohrožení zabezpečení. Základní součástí každého programu kybernetického rizika a zabezpečení je identifikace a analýza ohrožení zabezpečení. Cenová úroveň Azure Security Center úrovně Standard zahrnuje kontrolu ohrožení zabezpečení pro vaše virtuální počítače bez dalších poplatků. Security Center navíc může tento nástroj automaticky nasadit za vás. AuditIfNotExists, zakázáno 3.0.0
Azure Defender pro SQL by měl být povolený pro nechráněné servery Azure SQL. Audit sql serverů bez rozšířeného zabezpečení dat AuditIfNotExists, zakázáno 2.0.1
Azure Defender pro SQL by měl být povolený pro nechráněné spravované instance SQL. Auditujte každou spravovanou instanci SQL bez pokročilého zabezpečení dat. AuditIfNotExists, zakázáno 1.0.2
Monitorování chybějící služby Endpoint Protection ve službě Azure Security Center Servery bez nainstalovaného agenta Endpoint Protection budou monitorovány službou Azure Security Center jako doporučení. AuditIfNotExists, zakázáno 3.0.0
Databáze SQL by měly mít vyřešené zjištění ohrožení zabezpečení Monitorujte výsledky kontroly posouzení ohrožení zabezpečení a doporučení, jak napravit ohrožení zabezpečení databáze. AuditIfNotExists, zakázáno 4.1.0
Aktualizace systému ve škálovacích sadách virtuálních počítačů by se měly nainstalovat. Umožňuje auditovat, jestli chybí nějaké aktualizace zabezpečení systému nebo důležité aktualizace, které by se měly nainstalovat, aby bylo jisté, že škálovací sady virtuálních počítačů s Windows a Linuxem jsou zabezpečené. AuditIfNotExists, zakázáno 3.0.0
Na počítačích by se měly nainstalovat aktualizace systému. Azure Security Center bude monitorovat chybějící aktualizace systému zabezpečení na vašich serverech jako doporučení. AuditIfNotExists, zakázáno 4.0.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení na vašich počítačích. Servery, které nesplňují nakonfigurovaný směrný plán, budou monitorovány službou Azure Security Center jako doporučení. AuditIfNotExists, zakázáno 3.1.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení ve škálovacích sadách virtuálních počítačů. Auditujte ohrožení zabezpečení operačního systému ve škálovacích sadách virtuálních počítačů, abyste je ochránili před útoky. AuditIfNotExists, zakázáno 3.0.0
Ve službě SQL Managed Instance by se mělo povolit posouzení ohrožení zabezpečení. Auditujte každou spravovanou instanci SQL, která nemá povolené opakované kontroly posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze. AuditIfNotExists, zakázáno 1.0.1
Na sql serverech by se mělo povolit posouzení ohrožení zabezpečení. Auditujte servery Azure SQL, které nemají správně nakonfigurované posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze. AuditIfNotExists, zakázáno 3.0.0

Ochranné monitorování

ID: Vlastnictví UK NCSC CSP 5.3: Sdílené

Název
(Azure Portal)		 Popis Účinek Verze
(GitHub)
Na počítačích by se měly povolit adaptivní řízení aplikací pro definování bezpečných aplikací. Povolte řízení aplikací, abyste definovali seznam známých bezpečných aplikací spuštěných na vašich počítačích a upozorňovali vás při spuštění jiných aplikací. To pomáhá posílit zabezpečení počítačů proti malwaru. Aby se zjednodušilo proces konfigurace a údržby pravidel, Security Center pomocí strojového učení analyzuje aplikace spuštěné na každém počítači a navrhne seznam známých bezpečných aplikací. AuditIfNotExists, zakázáno 3.0.0
Auditování virtuálních počítačů bez nakonfigurovaného zotavení po havárii Auditujte virtuální počítače, které nemají nakonfigurované zotavení po havárii. Další informace o zotavení po havárii najdete v tématu https://aka.ms/asr-doc. auditIfNotExists 1.0.0
Měla by být povolená služba Azure DDoS Protection. Ochrana před útoky DDoS by měla být povolená pro všechny virtuální sítě s podsítí, která je součástí aplikační brány s veřejnou IP adresou. AuditIfNotExists, zakázáno 3.0.1
Účty úložiště by měly omezit přístup k síti Přístup k síti k účtům úložiště by měl být omezený. Nakonfigurujte pravidla sítě, aby k účtu úložiště mohly přistupovat jenom aplikace z povolených sítí. Pokud chcete povolit připojení z konkrétního internetu nebo místních klientů, je možné udělit přístup k provozu z konkrétních virtuálních sítí Azure nebo k rozsahům veřejných internetových IP adres. Audit, Odepřít, Zakázáno 1.1.1

Zabezpečení správy uživatelů

Ověřování uživatelů k rozhraním pro správu a kanálů podpory

ID: Vlastnictví UK NCSC CSP 9.1: Sdílené

Název
(Azure Portal)		 Popis Účinek Verze
(GitHub)
Účty s oprávněními vlastníka k prostředkům Azure by měly být povolené vícefaktorové ověřování Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními vlastníka, aby nedošlo k narušení účtů nebo prostředků. AuditIfNotExists, zakázáno 1.0.0
Účty s oprávněními ke čtení u prostředků Azure by měly být povolené vícefaktorové ověřování Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními ke čtení, aby nedošlo k narušení účtů nebo prostředků. AuditIfNotExists, zakázáno 1.0.0
Účty s oprávněním k zápisu prostředků Azure by měly být povolené vícefaktorové ověřování. Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními k zápisu, aby nedošlo k narušení účtů nebo prostředků. AuditIfNotExists, zakázáno 1.0.0
Účty hostů s oprávněními vlastníka k prostředkům Azure by se měly odebrat. Externí účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu. AuditIfNotExists, zakázáno 1.0.0
Účty hostů s oprávněními ke čtení u prostředků Azure by se měly odebrat. Externí účty s oprávněními ke čtení by se z vašeho předplatného měly odebrat, aby se zabránilo nemonitorovanému přístupu. AuditIfNotExists, zakázáno 1.0.0
Účty hostů s oprávněním k zápisu prostředků Azure by se měly odebrat. Externí účty s oprávněním k zápisu by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu. AuditIfNotExists, zakázáno 1.0.0

Další kroky

Další články o službě Azure Policy: