Sdílet prostřednictvím

Standardní hodnoty zabezpečení Azure pro Virtual Machine Scale Sets

  • Článek

Tento standardní plán zabezpečení používá na Virtual Machine Scale Sets doprovodné materiály z srovnávacího testu cloudového zabezpečení microsoftu verze 1.0. Srovnávací test zabezpečení cloudu Microsoftu poskytuje doporučení, jak můžete zabezpečit cloudová řešení v Azure. Obsah je seskupený podle ovládacích prvků zabezpečení definovaných srovnávacím testem cloudového zabezpečení Microsoftu a souvisejících pokynů platných pro Virtual Machine Scale Sets.

Tento standardní plán zabezpečení a jeho doporučení můžete monitorovat pomocí Microsoft Defender pro cloud. Azure Policy definice budou uvedené v části Dodržování právních předpisů na stránce portálu Microsoft Defender pro cloud.

Pokud má funkce relevantní definice Azure Policy, jsou uvedené v tomto směrném plánu, aby vám pomohly měřit dodržování předpisů a doporučení srovnávacích testů zabezpečení cloudu od Microsoftu. Některá doporučení můžou vyžadovat placený plán Microsoft Defender, aby bylo možné povolit určité scénáře zabezpečení.

Poznámka

Funkce, které se nevztahují na Virtual Machine Scale Sets, byly vyloučeny. Pokud chcete zjistit, jak Virtual Machine Scale Sets zcela namapovat na srovnávací test zabezpečení cloudu Microsoftu, podívejte se na úplný soubor mapování standardních hodnot zabezpečení Virtual Machine Scale Sets.

Profil zabezpečení

Profil zabezpečení shrnuje chování Virtual Machine Scale Sets s vysokým dopadem, což může mít za následek zvýšené aspekty zabezpečení.

Atribut chování služby Hodnota
Kategorie produktu Compute
Zákazník má přístup k hostiteli nebo operačnímu systému Úplný přístup
Službu je možné nasadit do virtuální sítě zákazníka. Ano
Ukládá obsah zákazníka v klidovém stavu. Ano

Zabezpečení sítě

Další informace najdete v tématu Microsoft Cloud Security Benchmark: Zabezpečení sítě.

NS-1: Vytvoření hranic segmentace sítě

Funkce

Integrace virtuální sítě

Popis: Služba podporuje nasazení do privátní Virtual Network zákazníka (VNet). Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ano Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je tato možnost povolená ve výchozím nasazení.

Referenční informace: Virtuální sítě a virtuální počítače v Azure

Podpora skupiny zabezpečení sítě

Popis: Síťový provoz služby respektuje přiřazení pravidla skupin zabezpečení sítě ve svých podsítích. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Pomocí skupin zabezpečení sítě (NSG) můžete omezit nebo monitorovat provoz podle portu, protokolu, zdrojové IP adresy nebo cílové IP adresy. Vytvořte pravidla NSG, která omezí otevřené porty vaší služby (například zabrání přístupu k portům pro správu z nedůvěryhodných sítí). Mějte na paměti, že skupiny zabezpečení sítě ve výchozím nastavení zakazují veškerý příchozí provoz, ale povolují provoz z virtuální sítě a Azure Load Balancerů.

Při vytváření virtuálního počítače Azure musíte vytvořit virtuální síť nebo použít existující virtuální síť a nakonfigurovat virtuální počítač s podsítí. Ujistěte se, že všechny nasazené podsítě mají použitou skupinu zabezpečení sítě s řízením přístupu k síti specifickými pro důvěryhodné porty a zdroje vašich aplikací.

Referenční informace: Skupiny zabezpečení sítě

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Compute:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Na virtuálních počítačích s připojením k internetu by se měla použít adaptivní doporučení k posílení zabezpečení sítě. Azure Security Center analyzuje vzorce provozu virtuálních počítačů přístupných k internetu a poskytuje doporučení pro pravidla skupiny zabezpečení sítě, která omezují potenciální prostor pro útoky. AuditIfNotExists, Zakázáno 3.0.0

NS-2: Zabezpečení cloudových služeb pomocí ovládacích prvků sítě

Funkce

Zakázání přístupu k veřejné síti

Popis: Služba podporuje zakázání přístupu k veřejné síti buď pomocí pravidla filtrování seznamu ACL na úrovni služby (nikoli NSG nebo Azure Firewall), nebo pomocí přepínače Zakázat přístup k veřejné síti. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Poznámky k funkcím: Služby nainstalované s operačním systémem mohou být použity k poskytování filtrování sítě pro zakázaný přístup k veřejné síti.

Pokyny ke konfiguraci: Pro konfiguraci této funkce nejsou k dispozici žádné aktuální pokyny microsoftu. Zkontrolujte a určete, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

Správa identit

Další informace najdete v tématu Microsoft Cloud Security Benchmark: Správa identit.

IM-1: Použití centralizované identity a ověřovacího systému

Funkce

Azure AD ověřování vyžadované pro přístup k rovině dat

Popis: Služba podporuje použití ověřování Azure AD pro přístup k rovině dat. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Jako výchozí metodu ověřování použijte Azure Active Directory (Azure AD) k řízení přístupu k rovině dat. Azure AD chrání data pomocí silného šifrování neaktivních uložených a přenášených dat. Azure AD také solí, hash a bezpečně ukládá přihlašovací údaje uživatele. Spravované identity můžete použít k ověření ve všech službách, které podporují ověřování Azure AD, včetně Key Vault, bez jakýchkoli přihlašovacích údajů v kódu. Váš kód, který běží na virtuálním počítači, může použít svou spravovanou identitu k vyžádání přístupových tokenů pro služby, které podporují ověřování Azure AD.

Referenční informace: implementace Azure AD join

Metody místního ověřování pro přístup k rovině dat

Popis: Místní metody ověřování podporované pro přístup k rovině dat, jako je místní uživatelské jméno a heslo. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ano Microsoft

Poznámky k funkcím: Vyhněte se používání místních metod ověřování nebo účtů, měly by se zakázat, kdykoli je to možné. Místo toho k ověření použijte Azure AD, kde je to možné.

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

IM-3: Zabezpečená a automatická správa identit aplikací

Funkce

Spravované identity

Popis: Akce roviny dat podporují ověřování pomocí spravovaných identit. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Pokud je to možné, používejte spravované identity Azure místo instančních objektů, které se můžou ověřovat ve službách a prostředcích Azure podporujících ověřování Azure Active Directory (Azure AD). Přihlašovací údaje spravované identity jsou plně spravované, obměňované a chráněné platformou, takže se vyhnete pevně zakódovaným přihlašovacím údajům ve zdrojovém kódu nebo konfiguračních souborech.

Referenční informace: Spravované identity pro prostředky Azure

Instanční objekty

Popis: Rovina dat podporuje ověřování pomocí instančních objektů. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Poznámky k funkcím: Instanční objekty můžou používat aplikace spuštěné v Virtual Machine Scale Sets.

Pokyny ke konfiguraci: Microsoft v současné době neobsahuje žádné pokyny ke konfiguraci této funkce. Zkontrolujte a určete, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Compute:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Rozšíření konfigurace hosta virtuálních počítačů by se mělo nasadit se spravovanou identitou přiřazenou systémem. Rozšíření konfigurace hosta vyžaduje spravovanou identitu přiřazenou systémem. Virtuální počítače Azure v rozsahu této zásady nebudou dodržovat předpisy, pokud mají nainstalované rozšíření konfigurace hosta, ale nemají spravovanou identitu přiřazenou systémem. Další informace najdete tady: https://aka.ms/gcpol AuditIfNotExists, zakázáno 1.0.1

IM-8: Omezení odhalení přihlašovacích údajů a tajných kódů

Funkce

Integrace a úložiště přihlašovacích údajů služby a tajných kódů v Azure Key Vault

Popis: Rovina dat podporuje nativní použití Azure Key Vault pro úložiště přihlašovacích údajů a tajných kódů. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Poznámky k funkcím: V rámci roviny dat nebo operačního systému můžou služby volat Azure Key Vault pro přihlašovací údaje nebo tajné kódy.

Pokyny ke konfiguraci: Zajistěte, aby tajné kódy a přihlašovací údaje byly uložené v zabezpečených umístěních, jako je Azure Key Vault, a ne vkládejte je do kódu nebo konfiguračních souborů.

Privilegovaný přístup

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Privilegovaný přístup.

PA-1: Oddělení a omezení vysoce privilegovaných uživatelů nebo uživatelů s oprávněními pro správu

Funkce

Místní účty Správa

Popis: Služba má koncept místního účtu pro správu. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ano Microsoft

Poznámky k funkcím: Vyhněte se používání místních metod ověřování nebo účtů, měly by se zakázat, kdykoli je to možné. Místo toho k ověření použijte Azure AD, kde je to možné.

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Vytvoření virtuálních počítačů ve škálovací sadě pomocí Azure Portal

PA-7: Dodržujte pouze dostatečný princip správy (nejnižší oprávnění)

Funkce

Azure RBAC pro rovinu dat

Popis: Azure Role-Based Access Control (Azure RBAC) je možné použít ke spravovanému přístupu k akcím roviny dat služby. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Řízení přístupu na základě role v Azure (Azure RBAC) slouží ke správě přístupu k prostředkům Azure prostřednictvím předdefinovaných přiřazení rolí. Role Azure RBAC je možné přiřadit uživatelům, skupinám, instančním objektům a spravovaným identitám.

Referenční informace: Předdefinované role pro přispěvatele virtuálních počítačů

PA-8: Určení procesu přístupu pro podporu poskytovatele cloudu

Funkce

Customer Lockbox

Popis: Customer Lockbox je možné použít pro přístup k podpoře Microsoftu. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Ve scénářích podpory, kdy Microsoft potřebuje přístup k vašim datům, použijte Customer Lockbox ke kontrole a následnému schválení nebo zamítnutí všech žádostí Microsoftu o přístup k datům.

Ochrana dat

Další informace najdete v článku Microsoft Cloud Security Benchmark: Ochrana dat.

DP-1: Zjišťování, klasifikace a označování citlivých dat

Funkce

Zjišťování a klasifikace citlivých dat

Popis: Ke zjišťování a klasifikaci dat ve službě je možné použít nástroje (například Azure Purview nebo Azure Information Protection). Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ne Neuvedeno Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

DP-2: Monitorování anomálií a hrozeb cílených na citlivá data

Funkce

Ochrana před únikem nebo ztrátou dat

Popis: Služba podporuje řešení ochrany před únikem informací pro monitorování přesunu citlivých dat (v obsahu zákazníka). Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ne Neuvedeno Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

DP-3: Šifrování citlivých dat při přenosu

Funkce

Šifrování přenášených dat

Popis: Služba podporuje šifrování přenášených dat pro rovinu dat. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Poznámky k funkcím: Některé komunikační protokoly, jako je SSH, jsou ve výchozím nastavení šifrované. Služby jako RDP nebo HTTP ale musí být nakonfigurované tak, aby k šifrování používaly protokol TLS.

Pokyny ke konfiguraci: Povolte zabezpečený přenos ve službách, kde je integrovaná funkce šifrování nativních přenášených dat. Vynucujte https u všech webových aplikací a služeb a ujistěte se, že se používá protokol TLS verze 1.2 nebo novější. Starší verze, jako je SSL 3.0 nebo TLS v1.0, by měly být zakázané. Pro vzdálenou správu Virtual Machines použijte místo nešifrovaného protokolu protokol SSH (pro Linux) nebo RDP/TLS (pro Windows).

Referenční informace: Šifrování během přenosu ve virtuálních počítačích

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Compute:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Počítače s Windows by měly být nakonfigurované tak, aby používaly zabezpečené komunikační protokoly. Pokud chcete chránit soukromí informací přenášených přes internet, měly by vaše počítače používat nejnovější verzi standardního kryptografického protokolu TLS (Transport Layer Security). Protokol TLS zabezpečuje komunikaci přes síť šifrováním připojení mezi počítači. AuditIfNotExists, zakázáno 4.1.1

DP-4: Povolení šifrování neaktivních uložených dat ve výchozím nastavení

Funkce

Šifrování neaktivních uložených dat pomocí klíčů platformy

Popis: Šifrování neaktivních uložených dat pomocí klíčů platformy se podporuje. Veškerý neaktivní uložený zákaznický obsah se šifruje pomocí těchto klíčů spravovaných Microsoftem. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ano Microsoft

Poznámky k funkcím: Kromě standardního šifrování pomocí klíčů spravovaných platformou se teď zákazníci s vysokou citlivostí na zabezpečení, kteří se zabývají rizikem spojeným s konkrétním šifrovacím algoritmem, implementací nebo klíčem, který je ohrožen, nyní mohou zvolit další vrstvu šifrování pomocí jiného šifrovacího algoritmu nebo režimu ve vrstvě infrastruktury pomocí šifrovacích klíčů spravovaných platformou a klíčů spravovaných zákazníkem. Tuto novou vrstvu je možné použít na trvalé disky s operačním systémem a datové disky, snímky a image, které se budou v klidovém stavu šifrovat pomocí dvojitého šifrování.

Další informace najdete v tématu Dvojité šifrování neaktivních uložených dat.

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Azure Disk Encryption pro Virtual Machine Scale Sets

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Compute:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
[Preview]: Virtuální počítače s Linuxem by měly povolit službu Azure Disk Encryption nebo EncryptionAtHost. Ve výchozím nastavení se disky s operačním systémem a datové disky virtuálního počítače šifrují v klidovém stavu pomocí klíčů spravovaných platformou. Dočasné disky a datové mezipaměti nejsou šifrované a data nejsou při toku mezi výpočetními prostředky a prostředky úložiště šifrovaná. K šifrování všech těchto dat použijte Azure Disk Encryption nebo EncryptionAtHost. Navštivte stránku https://aka.ms/diskencryptioncomparison a porovnejte nabídky šifrování. Tato zásada vyžaduje, aby se do oboru přiřazení zásad nasadily dva požadavky. Podrobnosti najdete tady: https://aka.ms/gcpol AuditIfNotExists, zakázáno 1.2.0-preview

DP-5: Použití klíče spravovaného zákazníkem v šifrování neaktivních uložených dat v případě potřeby

Funkce

Šifrování neaktivních uložených dat pomocí cmk

Popis: Šifrování neaktivních uložených dat pomocí klíčů spravovaných zákazníkem se podporuje pro obsah zákazníka uložený službou. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: V případě potřeby pro dodržování právních předpisů definujte případ použití a obor služby, kde je potřeba šifrování pomocí klíčů spravovaných zákazníkem. Povolte a implementujte šifrování neaktivních uložených dat pomocí klíče spravovaného zákazníkem pro tyto služby.

Virtuální disky na Virtual Machines (VM) se šifrují v klidovém stavu pomocí šifrování na straně serveru nebo šifrování disků Azure (ADE). Azure Disk Encryption využívá funkci DM-Crypt Linuxu k šifrování spravovaných disků pomocí klíčů spravovaných zákazníkem na hostovaném virtuálním počítači. Šifrování na straně serveru s využitím klíčů spravovaných zákazníkem zlepšuje ADE tím, že umožňuje používat všechny typy operačních systémů a image pro virtuální počítače šifrováním dat ve službě Storage.

Když zadáte klíč spravovaný zákazníkem, použije se tento klíč k ochraně a řízení přístupu ke klíči, který šifruje vaše data. Klíče spravované zákazníkem nabízejí větší flexibilitu při správě řízení přístupu. K uložení klíčů spravovaných zákazníkem musíte použít Azure Key Vault nebo Modul spravovaného hardwarového zabezpečení (HSM) Azure Key Vault.

Klíče RSA můžete buď importovat do Key Vault, nebo vygenerovat nové klíče RSA v Azure Key Vault. Spravované disky Azure zpracovávají šifrování a dešifrování plně transparentním způsobem pomocí šifrování obálky. Data šifruje pomocí šifrovacího klíče (DEK) založeného na AES 256, který je chráněný pomocí vašich klíčů. Služba Storage generuje šifrovací klíče dat a šifruje je pomocí klíčů spravovaných zákazníkem pomocí šifrování RSA. Šifrování obálky umožňuje pravidelně obměňovat (měnit) klíče podle zásad dodržování předpisů, aniž by to mělo vliv na virtuální počítače. Při obměně klíčů služba Storage znovu zašifruje šifrovací klíče dat pomocí nových klíčů spravovaných zákazníkem.

Spravované disky a Key Vault nebo spravovaný HSM musí být ve stejné oblasti Azure, ale můžou být v různých předplatných. Musí být také ve stejném tenantovi Azure Active Directory (Azure AD), pokud nešifrujete spravované disky pomocí klíčů spravovaných zákazníkem napříč tenanty.

Referenční informace: Vytvoření a konfigurace trezoru klíčů pro službu Azure Disk Encryption

DP-6: Použití zabezpečeného procesu správy klíčů

Funkce

Správa klíčů v Azure Key Vault

Popis: Služba podporuje integraci Azure Key Vault pro všechny klíče, tajné kódy nebo certifikáty zákazníků. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Azure Key Vault použijte k vytvoření a řízení životního cyklu šifrovacích klíčů, včetně generování, distribuce a úložiště klíčů. Obměna a odvolávání klíčů v Azure Key Vault a vaší službě na základě definovaného plánu nebo v případě klíčového vyřazení nebo ohrožení zabezpečení. Pokud potřebujete použít klíč spravovaný zákazníkem (CMK) na úrovni úlohy, služby nebo aplikace, ujistěte se, že postupujete podle osvědčených postupů pro správu klíčů: Pomocí hierarchie klíčů vygenerujte samostatný šifrovací klíč dat (DEK) s šifrovacím klíčem klíče (KEK) ve svém trezoru klíčů. Ujistěte se, že jsou klíče zaregistrované ve službě Azure Key Vault a odkazované prostřednictvím ID klíčů ze služby nebo aplikace. Pokud do služby potřebujete přenést vlastní klíč (BYOK) (například importovat klíče chráněné HSM z místních modulů HSM do Azure Key Vault), postupujte podle doporučených pokynů a proveďte počáteční vygenerování a přenos klíče.

Referenční informace: Vytvoření a konfigurace trezoru klíčů pro službu Azure Disk Encryption

Správa aktiv

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Správa prostředků.

AM-2: Používejte pouze schválené služby

Funkce

Podpora služby Azure Policy

Popis: Konfigurace služeb je možné monitorovat a vynucovat prostřednictvím Azure Policy. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Azure Policy můžete použít k definování požadovaného chování pro virtuální počítače s Windows a virtuální počítače s Linuxem ve vaší organizaci. Pomocí zásad může organizace vynucovat různé konvence a pravidla v celém podniku a definovat a implementovat standardní konfigurace zabezpečení pro Azure Virtual Machine Scale Sets. Vynucení požadovaného chování může pomoct zmírnit riziko a zároveň přispět k úspěchu organizace.

Referenční informace: Předdefinované definice Azure Policy pro Virtual Machine Scale Sets

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Compute:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Virtuální počítače by se měly migrovat na nové prostředky Azure Resource Manager Použití nové služby Azure Resource Manager pro virtuální počítače k vylepšení zabezpečení, jako jsou: silnější řízení přístupu (RBAC), lepší auditování, nasazení a zásady správného řízení na základě Azure Resource Manager, přístup ke spravovaným identitám, přístup k trezoru klíčů pro tajné kódy, ověřování na základě Azure AD a podpora značek a skupin prostředků pro snadnější zabezpečení Správa Auditovat, Odepřít, Zakázáno 1.0.0

AM-5: Ve virtuálním počítači používejte jenom schválené aplikace.

Funkce

Microsoft Defender pro cloud – adaptivní řízení aplikací

Popis: Služba může omezit, jaké aplikace zákazníka běží na virtuálním počítači, pomocí adaptivního řízení aplikací v Microsoft Defender for Cloud. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Použijte Microsoft Defender pro adaptivní řízení aplikací pro cloud ke zjišťování aplikací běžících na virtuálních počítačích a vygenerování seznamu povolených aplikací, který určí, které schválené aplikace se můžou spouštět v prostředí virtuálních počítačů.

Referenční informace: Použití adaptivního řízení aplikací k omezení potenciálních oblastí útoku na počítače

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Compute:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Na vašich počítačích by mělo být povolené adaptivní řízení aplikací pro definování bezpečných aplikací. Povolte řízení aplikací, abyste definovali seznam známých bezpečných aplikací spuštěných na vašich počítačích a upozorňovali vás, když se spustí jiné aplikace. To pomáhá posílit zabezpečení počítačů proti malwaru. Aby se proces konfigurace a údržby pravidel zjednodušil, služba Security Center pomocí strojového učení analyzuje aplikace spuštěné na jednotlivých počítačích a navrhne seznam známých bezpečných aplikací. AuditIfNotExists, zakázáno 3.0.0

Protokolování a detekce hrozeb

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Protokolování a detekce hrozeb.

LT-1: Povolení funkcí detekce hrozeb

Funkce

Microsoft Defender pro službu / nabídku produktů

Popis: Služba má řešení Microsoft Defender specifické pro konkrétní nabídku, které umožňuje monitorovat a upozorňovat na problémy se zabezpečením. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Defender pro servery rozšiřuje ochranu na počítače s Windows a Linuxem spuštěné v Azure. Defender pro servery se integruje s Microsoft Defender for Endpoint, aby poskytoval detekci a reakci koncových bodů (EDR) a poskytuje také řadu dalších funkcí ochrany před hrozbami, jako jsou standardní hodnoty zabezpečení a hodnocení na úrovni operačního systému, kontrola posouzení ohrožení zabezpečení, adaptivní řízení aplikací (AAC), monitorování integrity souborů (FIM) a další.

Referenční informace: Přehled Microsoft Defender pro servery

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Compute:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Windows Defender na vašich počítačích by měla být povolená ochrana Exploit Guard. Windows Defender Exploit Guard používá agenta konfigurace hosta Azure Policy. Exploit Guard má čtyři komponenty, které jsou navržené tak, aby zařízení uzamknuly před širokou škálou vektorů útoku a blokovaly chování, které se běžně používají při malwarových útocích, a zároveň umožňují podnikům vyvážit svá bezpečnostní rizika a požadavky na produktivitu (jenom Windows). AuditIfNotExists, zakázáno 2.0.0

LT-4: Povolení protokolování pro účely šetření zabezpečení

Funkce

Protokoly prostředků Azure

Popis: Služba vytváří protokoly prostředků, které můžou poskytovat rozšířené metriky a protokolování specifické pro službu. Zákazník může tyto protokoly prostředků nakonfigurovat a odeslat je do vlastní datové jímky, jako je účet úložiště nebo pracovní prostor služby Log Analytics. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Azure Monitor při vytváření virtuálního počítače automaticky spustí shromažďování dat metrik pro hostitele virtuálního počítače. Pokud ale chcete shromažďovat protokoly a data o výkonu z hostovaného operačního systému virtuálního počítače, musíte nainstalovat agenta Azure Monitoru. Agenta můžete nainstalovat a nakonfigurovat shromažďování pomocí přehledů virtuálních počítačů nebo vytvořením pravidla shromažďování dat.

Referenční informace: Přehled agenta Log Analytics

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Compute:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
[Preview]: Na virtuálních počítačích s Linuxem by měl být nainstalovaný agent shromažďování dat síťového provozu. Security Center používá agenta Microsoft Dependency ke shromažďování dat o síťovém provozu z virtuálních počítačů Azure, aby bylo možné povolit pokročilé funkce ochrany sítě, jako je vizualizace provozu na mapě sítě, doporučení pro posílení zabezpečení sítě a konkrétní síťové hrozby. AuditIfNotExists, zakázáno 1.0.2-preview

Správa stavu a ohrožení zabezpečení

Další informace najdete ve srovnávacím testu cloudového zabezpečení Microsoftu: Stav a správa ohrožení zabezpečení.

PV-3: Definování a zřízení zabezpečených konfigurací pro výpočetní prostředky

Funkce

Služba Azure Automation State Configuration

Popis: Azure Automation State Configuration lze použít k udržování konfigurace zabezpečení operačního systému. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Pomocí Azure Automation State Configuration udržujte konfiguraci zabezpečení operačního systému. Azure Automation State Configuration je služba pro správu konfigurace Azure, která umožňuje psát, spravovat a kompilovat konfigurace Desired State Configuration PowerShellu (DSC) pro uzly.

Azure Automation State Configuration poskytuje oproti použití DSC mimo Azure několik výhod. Tato služba umožňuje snadno a rychle škálovatelnost tisíců počítačů z centrálního a zabezpečeného umístění. Počítače můžete snadno povolit, přiřadit jim deklarativní konfigurace a zobrazit sestavy zobrazující kompatibilitu jednotlivých počítačů s požadovaným stavem, který zadáte.

Referenční informace: Použití Virtual Machine Scale Sets s rozšířením Azure DSC

Azure Policy agenta konfigurace hosta

Popis: Azure Policy agenta konfigurace hosta je možné nainstalovat nebo nasadit jako rozšíření výpočetních prostředků. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Pomocí Microsoft Defender pro cloud a agenta konfigurace hosta Azure Policy pravidelně vyhodnocujte a opravujte odchylky konfigurace na virtuálních počítačích.

Referenční informace: Vysvětlení funkce konfigurace hosta Azure Policy

Vlastní image virtuálních počítačů

Popis: Služba podporuje použití uživatelem zadaných imagí virtuálních počítačů nebo předem sestavených imagí z marketplace s předem použitými konfiguracemi základních hodnot. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Použijte předem nakonfigurovanou posílenou image od důvěryhodného dodavatele, jako je Microsoft, nebo do šablony image virtuálního počítače sestavte požadované standardní hodnoty zabezpečené konfigurace.

Referenční informace: Vytvoření a použití vlastní image pro škálovací sady virtuálních počítačů s Azure PowerShell

PV-4: Auditování a vynucování zabezpečených konfigurací pro výpočetní prostředky

Funkce

Virtuální počítač s důvěryhodným spouštěním

Popis: Důvěryhodné spuštění chrání před pokročilými a trvalými technikami útoků tím, že kombinuje technologie infrastruktury, jako je zabezpečené spouštění, vTPM a monitorování integrity. Každá technologie poskytuje další vrstvu ochrany před sofistikovanými hrozbami. Důvěryhodné spuštění umožňuje zabezpečené nasazení virtuálních počítačů s ověřenými zavaděči spouštění, jádry operačního systému a ovladači a bezpečně chrání klíče, certifikáty a tajné kódy ve virtuálních počítačích. Důvěryhodné spuštění také poskytuje přehledy a jistotu o integritě celého spouštěcího řetězce a zajišťuje, aby úlohy byly důvěryhodné a ověřitelné. Důvěryhodné spuštění je integrované s Microsoft Defender for Cloud, aby se zajistilo, že virtuální počítače jsou správně nakonfigurované, a to vzdáleným ověřením správného spuštění virtuálního počítače. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Poznámka k funkci: Důvěryhodné spuštění je k dispozici pro virtuální počítače generace 2. Důvěryhodné spuštění vyžaduje vytvoření nových virtuálních počítačů. Důvěryhodné spuštění není možné povolit na existujících virtuálních počítačích, které byly původně vytvořeny bez něj.

Pokyny ke konfiguraci: Důvěryhodné spuštění může být povolené během nasazování virtuálního počítače. Povolte všechny tři možnosti – Zabezpečené spouštění, vTPM a monitorování spouštění integrity, abyste zajistili nejlepší stav zabezpečení pro virtuální počítač. Mějte na paměti, že existuje několik požadavků, mezi které patří onboarding předplatného pro Microsoft Defender pro cloud, přiřazení určitých iniciativ Azure Policy a konfigurace zásad brány firewall.

Referenční informace: Nasazení virtuálního počítače s povoleným důvěryhodným spuštěním

PV-5: Provedení posouzení ohrožení zabezpečení

Funkce

Posouzení ohrožení zabezpečení s využitím Microsoft Defender

Popis: Službu je možné zkontrolovat z hlediska ohrožení zabezpečení pomocí Microsoft Defender for Cloud nebo jiné integrované funkce posouzení ohrožení zabezpečení služby Microsoft Defender Services (včetně Microsoft Defender pro server, registr kontejneru, App Service, SQL a DNS). Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Postupujte podle doporučení z Microsoft Defender pro cloud, jak na virtuálních počítačích Azure provést posouzení ohrožení zabezpečení.

Referenční informace: Přehled Microsoft Defender pro servery

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Compute:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Na virtuálních počítačích by mělo být povolené řešení posouzení ohrožení zabezpečení. Audituje virtuální počítače, aby zjistil, jestli používají podporované řešení posouzení ohrožení zabezpečení. Základní součástí každého programu kybernetického rizika a zabezpečení je identifikace a analýza ohrožení zabezpečení. Cenová úroveň Azure Security Center Standard zahrnuje kontrolu ohrožení zabezpečení vašich virtuálních počítačů bez dalších poplatků. Security Center navíc může tento nástroj automaticky nasadit za vás. AuditIfNotExists, zakázáno 3.0.0

PV-6: Rychlá a automatická náprava ohrožení zabezpečení

Funkce

Azure Automation – Update Management

Popis: Služba může používat Azure Automation Update Management k automatickému nasazení oprav a aktualizací. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ne Neuvedeno Neuvedeno

Poznámky k funkcím: Microsoft nabízí další možnosti, které vám pomůžou se správou aktualizací virtuálních počítačů Azure nebo škálovacích sad virtuálních počítačů Azure, které byste měli zvážit v rámci celkové strategie správy aktualizací.

Pokud vás zajímá automatické vyhodnocování a aktualizace virtuálních počítačů Azure, aby se zachovalo dodržování předpisů zabezpečení pomocí důležitých aktualizací a aktualizací zabezpečení vydávaných každý měsíc, projděte si téma Automatické opravy hosta virtuálního počítače. Jde o alternativní řešení správy aktualizací pro virtuální počítače Azure, které umožňuje jejich automatickou aktualizaci mimo špičku, včetně virtuálních počítačů v rámci skupiny dostupnosti, v porovnání se správou nasazení aktualizací do těchto virtuálních počítačů z Update Managementu ve službě Azure Automation.

Pokud spravujete škálovací sady virtuálních počítačů Azure, přečtěte si, jak provést automatické upgrady imagí operačního systému, abyste mohli bezpečně a automaticky upgradovat disk s operačním systémem pro všechny instance ve škálovací sadě.

Další informace najdete v tématu Automatické upgrady imagí operačního systému služby Azure Virtual Machine Scale Set.

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

Služba oprav hosta Azure

Popis: Služba může používat opravy hosta Azure k automatickému nasazení oprav a aktualizací. Další informace.

Podporuje se Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Služby můžou využívat různé mechanismy aktualizace, jako jsou automatické upgrady imagí operačníhosystému a automatické opravy hosta. Doporučuje se použít nejnovější aktualizace zabezpečení a důležité aktualizace hostovaného operačního systému virtuálního počítače s využitím zásad bezpečného nasazení.

Automatické opravy hosta umožňují automaticky vyhodnotit a aktualizovat virtuální počítače Azure, aby se zachovalo dodržování předpisů zabezpečení u důležitých aktualizací a aktualizací zabezpečení vydaných každý měsíc. Aktualizace se používají mimo špičku, včetně virtuálních počítačů ve skupině dostupnosti. Tato možnost je dostupná pro flexibilní orchestraci škálovací sady virtuálních počítačů s budoucí podporou jednotné orchestrace.

Pokud spouštíte bezstavovou úlohu, automatické upgrady imagí operačního systému jsou ideální pro instalaci nejnovější aktualizace pro vaši službu VMSS Uniform. Díky možnosti vrácení zpět jsou tyto aktualizace kompatibilní s imagemi z Marketplace nebo s vlastními imagemi. Budoucí podpora upgradu se zajištěním provozu v plánu flexibilní orchestrace.

Referenční informace: Automatické opravy hosta virtuálního počítače pro virtuální počítače Azure

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Compute:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
[Preview]: Na vašich počítačích by měly být nainstalované aktualizace systému (používá technologii Centrum aktualizací). Ve vašich počítačích chybí aktualizace systému, zabezpečení a důležité aktualizace. Aktualizace softwaru často zahrnují důležité opravy bezpečnostních děr. Tyto díry se často využívají při malwarových útocích, takže je důležité udržovat váš software aktualizovaný. Pokud chcete nainstalovat všechny zbývající opravy a zabezpečit počítače, postupujte podle kroků pro nápravu. AuditIfNotExists, zakázáno 1.0.0-preview

Zabezpečení koncového bodu

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Zabezpečení koncových bodů.

ES-1: Použití detekce a odezvy koncových bodů (EDR)

Funkce

Řešení EDR

Popis: Do koncového bodu je možné nasadit funkci detekce a odezvy koncových bodů (EDR), jako je Azure Defender pro servery. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Azure Defender pro servery (s integrovaným Microsoft Defender for Endpoint) poskytuje funkce EDR pro prevenci, detekci, vyšetřování a reakci na pokročilé hrozby. Pomocí Microsoft Defender pro cloud nasaďte Azure Defender pro servery pro koncový bod a integrujte výstrahy do řešení SIEM, jako je Azure Sentinel.

Referenční informace: Integrovaná licence pro Microsoft Defender for Endpoint

ES-2: Použití moderního antimalwarového softwaru

Funkce

Antimalwarové řešení

Popis: Antimalwarová funkce, jako je Microsoft Defender Antivirus, Microsoft Defender for Endpoint je možné nasadit na koncový bod. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Pro Windows Server 2016 a vyšší je ve výchozím nastavení nainstalovaná Microsoft Defender pro antivirovou ochranu. Pro Windows Server 2012 R2 a vyšší můžou zákazníci nainstalovat SCEP (System Center Endpoint Protection). V případě Linuxu si zákazníci můžou zvolit instalaci Microsoft Defender pro Linux. Případně si zákazníci můžou také nainstalovat antimalwarové produkty třetích stran.

Referenční informace: Microsoft Antimalware pro Azure Cloud Services a Virtual Machines

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Compute:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Problémy se stavem služby Endpoint Protection by se měly vyřešit na vašich počítačích. Vyřešte problémy se stavem služby Endpoint Protection na virtuálních počítačích, abyste je ochránili před nejnovějšími hrozbami a ohroženími zabezpečení. Azure Security Center podporovaných řešení ochrany koncových bodů najdete tady: https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Posouzení služby Endpoint Protection je zdokumentované tady: https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, Zakázáno 1.0.0

ES-3: Zajištění aktualizace antimalwarového softwaru a podpisů

Funkce

Monitorování stavu antimalwarového řešení

Popis: Antimalwarové řešení poskytuje monitorování stavu pro aktualizace platformy, modulu a automatických podpisů. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Pokyny ke konfiguraci: Nakonfigurujte antimalwarové řešení, aby se platforma, modul a podpisy rychle a konzistentně aktualizovaly a bylo možné monitorovat jejich stav.

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Compute:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Problémy se stavem služby Endpoint Protection by se měly vyřešit na vašich počítačích. Vyřešte problémy se stavem služby Endpoint Protection na virtuálních počítačích, abyste je ochránili před nejnovějšími hrozbami a ohroženími zabezpečení. Azure Security Center podporovaných řešení ochrany koncových bodů najdete tady: https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Posouzení služby Endpoint Protection je zdokumentované tady: https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, Zakázáno 1.0.0

Backup a obnovení

Další informace najdete v tématu Srovnávací test zabezpečení cloudu Microsoftu: Zálohování a obnovení.

BR-1: Zajištění pravidelného automatizovaného zálohování

Funkce

Azure Backup

Popis: Službu může zálohovat služba Azure Backup. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Ano Ne Zákazník

Poznámky k funkcím: Podporováno pro VMSS Flex, nikoli pro VMSS Uniform

Pokyny ke konfiguraci: Povolte Azure Backup a cílový virtuální počítač Azure Virtual Machines a také požadovanou frekvenci a dobu uchovávání. To zahrnuje úplné zálohování stavu systému. Pokud používáte Azure Disk Encryption, zálohování virtuálních počítačů Azure automaticky zpracovává zálohování klíčů spravovaných zákazníkem. Pro Azure Virtual Machines můžete k povolení automatického zálohování použít Azure Policy.

Referenční informace: Jak pořídit snímek instance škálovací sady virtuálních počítačů a spravovaného disku

Microsoft Defender pro monitorování cloudu

Azure Policy předdefinovaných definic – Microsoft.Compute:

Name
(Azure Portal)		 Description Efekty Verze
(GitHub)
Azure Backup by měla být povolená pro Virtual Machines Povolením Azure Backup zajistěte ochranu Virtual Machines Azure. Azure Backup je bezpečné a nákladově efektivní řešení ochrany dat pro Azure. AuditIfNotExists, Zakázáno 3.0.0

Další kroky