Standardní hodnoty zabezpečení Azure pro Azure Resource Manager

Tento standardní plán zabezpečení použije pokyny z srovnávacího testu cloudového zabezpečení Microsoftu verze 1.0 na Azure Resource Manager. Srovnávací test zabezpečení cloudu Microsoftu poskytuje doporučení, jak můžete zabezpečit cloudová řešení v Azure. Obsah je seskupený podle ovládacích prvků zabezpečení definovaných srovnávacím testem cloudového zabezpečení Microsoftu a souvisejících pokynů platných pro Azure Resource Manager.

Tento standardní plán zabezpečení a jeho doporučení můžete monitorovat pomocí Microsoft Defender pro cloud. Azure Policy definice budou uvedené v části Dodržování právních předpisů na stránce portálu Microsoft Defender pro cloud.

Pokud má funkce relevantní definice Azure Policy, jsou uvedené v tomto směrném plánu, aby vám pomohly měřit dodržování předpisů a doporučení srovnávacích testů zabezpečení cloudu od Microsoftu. Některá doporučení můžou vyžadovat placený plán Microsoft Defender, aby bylo možné povolit určité scénáře zabezpečení.

Poznámka

Funkce, které se nevztahují na Azure Resource Manager, byly vyloučeny. Pokud chcete zjistit, jak se Azure Resource Manager zcela mapovat na srovnávací test cloudového zabezpečení Microsoftu, podívejte se na úplný soubor mapování standardních hodnot zabezpečení Azure Resource Manager.

Profil zabezpečení

Profil zabezpečení shrnuje chování Azure Resource Manager s vysokým dopadem, což může mít za následek zvýšené aspekty zabezpečení.

Atribut chování služby	Hodnota
Kategorie produktu	MGMT/ zásady správného řízení
Zákazník má přístup k hostiteli nebo operačnímu systému	Zakázaný přístup
Službu je možné nasadit do virtuální sítě zákazníka.	Ne
Ukládá obsah zákazníka v klidovém stavu.	Ne

Zabezpečení sítě

Další informace najdete v tématu Microsoft Cloud Security Benchmark: Zabezpečení sítě.

NS-2: Zabezpečení cloudových služeb pomocí ovládacích prvků sítě

Funkce

Azure Private Link

Popis: Funkce nativního filtrování IP adres služby pro filtrování síťového provozu (nezaměňovat se skupinou zabezpečení sítě nebo Azure Firewall). Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Nasazením privátních koncových bodů vytvoříte privátní přístupový bod pro správu prostředků v kořenové skupině pro správu (tenanta).

Poznámka: Správa prostředků Private Link prostředky se dají připojit k privátnímu koncovému bodu a umožnit tak zabezpečený privátní přístup pro správu prostředků Azure.

Referenční informace: Vytvoření privátního propojení pro správu prostředků Azure

Zakázání přístupu k veřejné síti

Popis: Služba podporuje zakázání přístupu k veřejné síti buď pomocí pravidla filtrování seznamu ACL na úrovni služby (nikoli NSG nebo Azure Firewall), nebo pomocí přepínače Zakázat přístup k veřejné síti. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Poznámky k funkcím: Azure Resource Manager podporuje privátní připojení prostřednictvím privátních koncových bodů Azure a prostředku Privátní propojení správy prostředků. Možnost zakázat přístup k veřejné síti ale zatím není k dispozici.

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

Privilegovaný přístup

Další informace najdete v tématu Srovnávací test zabezpečení cloudu Microsoftu: Privilegovaný přístup.

PA-8: Určení procesu přístupu pro podporu poskytovatele cloudu

Funkce

Customer Lockbox

Popis: Customer Lockbox je možné použít pro přístup k podpoře Microsoftu. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

Ochrana dat

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Ochrana dat.

DP-3: Šifrování přenášených citlivých dat

Funkce

Šifrování dat při přenosu

Popis: Služba podporuje šifrování přenášených dat pro rovinu dat. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je tato možnost povolená ve výchozím nasazení.

Referenční informace: Migrace na protokol TLS 1.2 pro Azure Resource Manager

DP-4: Ve výchozím nastavení povolte šifrování neaktivních uložených dat.

Funkce

Šifrování dat v klidovém stavu pomocí klíčů platformy

Popis: Šifrování neaktivních uložených dat pomocí klíčů platformy je podporováno. Veškerý uložený obsah zákazníka se šifruje pomocí těchto klíčů spravovaných Microsoftem. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je tato možnost povolená ve výchozím nasazení.

Správa aktiv

Další informace najdete v tématu Microsoft Cloud Security Benchmark: Správa prostředků.

AM-2: Používejte jenom schválené služby

Funkce

Podpora služby Azure Policy

Popis: Konfigurace služeb je možné monitorovat a vynucovat prostřednictvím Azure Policy. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Pro konfiguraci této funkce nejsou k dispozici žádné aktuální pokyny microsoftu. Zkontrolujte a určete, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

Referenční informace: Azure Policy předdefinovaných definic pro Azure Resource Manager

Protokolování a detekce hrozeb

Další informace najdete v tématu Microsoft Cloud Security Benchmark: Protokolování a detekce hrozeb.

LT-1: Povolení možností detekce hrozeb

Funkce

Microsoft Defender pro službu / nabídku produktů

Popis: Služba má řešení Microsoft Defender specifické pro konkrétní nabídku, které umožňuje monitorovat a upozorňovat na problémy se zabezpečením. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Microsoft Defender pro Resource Manager monitorují operace správy prostředků ve vaší organizaci, ať už se provádějí prostřednictvím Azure Portal, rozhraní Azure REST API, Azure CLI nebo jiných programových klientů Azure. Defender for Cloud spouští pokročilé analýzy zabezpečení, které detekují hrozby a upozorní vás na podezřelou aktivitu.

Referenční informace: Přehled Microsoft Defender pro Resource Manager

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Resources:

Name (Azure Portal)	Description	Efekty	Verze (GitHub)
Azure Defender for App Service by měl být povolený.	Azure Defender for App Service využívá škálování cloudu a viditelnost, kterou Má Azure jako poskytovatel cloudu, k monitorování běžných útoků na webové aplikace.	AuditIfNotExists, Zakázáno	1.0.3

LT-4: Povolení protokolování pro šetření zabezpečení

Funkce

Protokoly prostředků Azure

Popis: Služba vytváří protokoly prostředků, které můžou poskytovat rozšířené metriky a protokolování specifické pro službu. Zákazník může tyto protokoly prostředků nakonfigurovat a odeslat je do vlastní datové jímky, jako je účet úložiště nebo pracovní prostor služby Log Analytics. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Povolte protokoly prostředků pro Azure Resource Manager. Při vytváření a správě prostředků v Azure se vaše požadavky orchestrují prostřednictvím řídicí roviny Azure, Azure Resource Manager. Pomocí protokolování prostředků můžete monitorovat objem a latenci požadavků řídicí roviny provedených do Azure. S těmito metrikami můžete sledovat provoz a latenci požadavků řídicí roviny v rámci vašich předplatných. Teď můžete například zjistit, kdy byly vaše požadavky omezené nebo neúspěšné, filtrováním konkrétních stavových kódů.

Referenční informace: Metriky Azure Resource Manager ve službě Azure Monitor

Backup a obnovení

Další informace najdete v tématu Srovnávací test zabezpečení cloudu Microsoftu: Zálohování a obnovení.

BR-1: Zajištění pravidelného automatizovaného zálohování

Funkce

Funkce nativního zálohování služby

Popis: Služba podporuje vlastní nativní zálohování (pokud nepoužíváte Azure Backup). Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Poznámky k funkcím: Export šablon Azure Resource Manager nejde použít k zachycení neaktivních uložených dat. Pro konfigurace prostředků doporučujeme vytvořit infrastrukturu ze zdrojových šablon a v případě potřeby znovu nasadit z tohoto zdroje pravdy. Export šablony může pomoct spustit tento proces, ale není dostatečně robustní, aby mohl zohlednit zotavení po havárii.

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

Další kroky

• Podívejte se na přehled srovnávacích testů zabezpečení cloudu Microsoftu.
• Další informace o základních úrovních zabezpečení Azure