Standardní hodnoty zabezpečení Azure pro řešení Azure VMware

Důležité

Tento směrný plán zabezpečení vychází z předchozí verze srovnávacího testu Microsoft Cloud Security (v1.0) a může obsahovat zastaralé pokyny. Nejnovější pokyny k zabezpečení najdete v dokumentaci k řešení Azure VMware.

Tento směrný plán zabezpečení používá pokyny z srovnávacího testu zabezpečení cloudu Microsoftu verze 1.0 na Azure VMware Solution. Srovnávací test zabezpečení cloudu Microsoftu poskytuje doporučení týkající se zabezpečení cloudových řešení v Azure. Obsah se seskupí podle kontrolních mechanismů zabezpečení definovaných srovnávacím testem zabezpečení cloudu Microsoftu a souvisejícími pokyny, které platí pro Azure VMware Solution.

Tento standardní plán zabezpečení a jeho doporučení můžete monitorovat pomocí programu Microsoft Defender for Cloud. Definice azure Policy budou uvedené v části Dodržování právních předpisů na stránce portálu Microsoft Defender for Cloud.

Pokud má funkce relevantní definice zásad Azure Policy, jsou uvedeny v této základní linii, což vám pomůže měřit shodu s kontrolními mechanismy a doporučeními bezpečnostního standardu Microsoft Cloud. Některá doporučení můžou vyžadovat placený plán Microsoft Defenderu, aby bylo možné povolit určité scénáře zabezpečení.

Poznámka:

Funkce , které se nevztahují na řešení Azure VMware, byly vyloučeny. Pokud chcete zjistit, jak Azure VMware Solution kompletně mapuje na benchmark zabezpečení cloudu Microsoftu, podívejte se do úplného souboru mapování standardních hodnot zabezpečení řešení Azure VMware.

Profil zabezpečení

Profil zabezpečení shrnuje chování azure VMware Solution s vysokým dopadem, což může mít za následek zvýšené aspekty zabezpečení.

Atribut chování služby Hodnota
Kategorie produktu Compute
Zákazník má přístup k hostiteli nebo operačnímu systému Žádný přístup
Službu je možné nasadit do virtuální sítě zákazníka. Pravdivé
Ukládá obsah zákazníka v klidu. Pravdivé

Zabezpečení sítě

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu: Zabezpečení sítě.

NS-1: Vytvoření hranic segmentace sítě

Features

Integrace virtuální sítě

Popis: Služba podporuje nasazení do privátní virtuální sítě zákazníka. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Pokyny ke konfiguraci: Nasaďte službu do virtuální sítě. Pokud neexistuje silný důvod k přiřazení veřejných IP adres přímo k prostředku, přiřaďte k prostředku privátní IP adresy (pokud je to možné).

Poznámka: Privátní cloud Azure VMware Solution vyžaduje virtuální síť Azure. Vzhledem k tomu, že Azure VMware Solution nepodporuje místní vCenter Server, budete muset provést další kroky pro integraci s místním prostředím. Vyžaduje se také nastavení okruhu ExpressRoute a brány virtuální sítě.

Referenčníinformace: Kurz: Konfigurace sítí pro privátní cloud VMware v Azure

Podpora skupin zabezpečení sítě

Popis: Síťový provoz služby respektuje přiřazená pravidla skupin zabezpečení sítě na svých podsítích. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Pokyny ke konfiguraci: Přestože je skupina zabezpečení sítě (NSG) podporovaná, zamyslete se nad příchozím a odchozím propojením vaší sítě k ExpressRoute nebo jiným zabezpečeným sítím. Vyhněte se zveřejnění služeb pro správu, jako je například vCenter Server, například na internetu.

NS-2: Zabezpečení cloudových služeb pomocí síťových ovládacích prvků

Features

Popis: Služba nativního filtrování IP adres pro filtrování síťového provozu (není zaměňováno s NSG nebo službou Azure Firewall). Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Zakázání přístupu k veřejné síti

Popis: Služba podporuje zakázání přístupu k veřejné síti buď prostřednictvím pravidla filtrování seznamu ACL na úrovni služby (ne NSG nebo Azure Firewall), nebo pomocí přepínače Zakázat přístup k veřejné síti. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Pravdivé Microsoft

Pokyny ke konfiguraci: Pro výchozí nasazení nejsou vyžadovány žádné další konfigurace.

Referenční informace: Koncepty sítí a propojení řešení Azure VMware

Správa identit

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu: Správa identit.

IM-1: Použití centralizovaného systému identit a ověřování

Features

Vyžadováno ověřování Azure AD pro přístup k ploše dat

Popis: Služba podporuje použití ověřování Azure AD pro přístup k rovině dat. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Místní metody ověřování pro přístup k datovému rozhraní

Popis: Místní metody ověřování podporované pro přístup k rovině dat, například místní uživatelské jméno a heslo. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Vyhněte se používání místních metod ověřování nebo účtů, měly by být zakázány všude, kde je to možné. Místo toho použijte Azure AD k ověření, pokud je to možné.

Pokyny ke konfiguraci: Informace o konfiguraci správy přístupu k identitě řešení Azure VMware najdete na následujícím odkazu.

Referenční informace: Přístup k vCenter Serveru a identita

IM-3: Zabezpečená a automatická správa identit aplikací

Features

Spravované identity

Popis: Akce roviny dat podporují ověřování pomocí spravovaných identit. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Principál služby

Popis: Datová vrstva podporuje ověřování pomocí služebních identit. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

IM-7: Omezení přístupu k prostředkům na základě podmínek

Features

Podmíněný přístup pro datovou rovinu

Popis: Přístup k rovině dat je možné řídit pomocí zásad podmíněného přístupu Azure AD. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Poznámky k funkcím: Přístup AVS řídí VMware vSphere RBAC

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

IM-8: Omezení vystavení přihlašovacích údajů a tajných kódů

Features

Integrace podpory přístupových údajů a tajemství a jejich úložiště ve službě Azure Key Vault

Popis: Rovina dat podporuje nativní použití služby Azure Key Vault pro úložiště přihlašovacích údajů a tajných kódů. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Privilegovaný přístup

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu: Privilegovaný přístup.

PA-1: Oddělení a omezení vysoce privilegovaných nebo administrativních uživatelů

Features

Účty místního správce

Popis: Služba má koncept lokálního administrativního účtu. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Poznámky k funkcím: Vyhněte se používání místních metod ověřování nebo účtů, měly by být zakázány všude, kde je to možné. Místo toho použijte Azure AD k ověření, pokud je to možné.

Pokyny ke konfiguraci: Zobrazte oprávnění udělená roli Azure VMware Solution CloudAdmin ve vašem privátním cloudu vCenter služby Azure VMware Solution. Podrobnosti najdete na odkazu.

Referenční informace: Přístup k vCenter Serveru a identita

PA-7: Dodržujte princip minimální správy (princip nejmenších privilegií).

Features

Azure RBAC pro datovou vrstvu

Popis: Řízení přístupu na základě role v Azure (Azure RBAC) se dá použít ke správě přístupu k akcím roviny dat služby. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Poznámky k funkcím: Azure RBAC se nepodporuje. Řešení Azure VMware využívá role RBAC vCenter, které zákazníkům poskytují možnost integrace s Azure AD.

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

PA-8: Určení procesu přístupu pro podporu poskytovatele cloudu

Features

Customer Lockbox

Popis: Customer Lockbox je možné použít pro přístup k podpoře Microsoftu. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Ochrana dat

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu: Ochrana dat.

DP-3: Šifrování citlivých dat během přenosu

Features

Šifrování dat při přenosu

Popis: Služba podporuje šifrování dat při přenosu v datové vrstvě. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Pravdivé Microsoft

Pokyny ke konfiguraci: Pro výchozí nasazení nejsou vyžadovány žádné další konfigurace.

DP-4: Povolení šifrování neaktivních uložených dat ve výchozím nastavení

Features

Šifrování neaktivních uložených dat pomocí klíčů platformy

Popis: Šifrování neaktivních uložených dat pomocí klíčů platformy je podporováno, veškerý neaktivní uložený obsah zákazníka je šifrovaný pomocí těchto klíčů spravovaných Microsoftem. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Pravdivé Microsoft

Pokyny ke konfiguraci: Pro výchozí nasazení nejsou vyžadovány žádné další konfigurace.

Referenční informace: Šifrování neaktivních uložených dat

DP-5: Při šifrování dat v klidu použijte možnost klíče spravovaného zákazníkem, když je to vyžadováno

Features

Šifrování neaktivních uložených dat pomocí cmk

Popis: Šifrování neaktivních uložených dat pomocí klíčů spravovaných zákazníkem je podporováno pro obsah zákazníka uložený službou. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Poznámky k funkcím: Tato funkce se momentálně pracuje, ale nemáme ETA pro privátní verzi Preview.

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

DP-6: Použití zabezpečeného procesu správy klíčů

Features

Správa klíčů ve službě Azure Key Vault

Popis: Služba podporuje integraci služby Azure Key Vault pro všechny klíče zákazníka, tajné kódy nebo certifikáty. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

DP-7: Použití zabezpečeného procesu správy certifikátů

Features

Správa certifikátů ve službě Azure Key Vault

Popis: Služba podporuje integraci služby Azure Key Vault pro všechny certifikáty zákazníků. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Poznámky k funkcím: V budoucnu budeme přidávat konkrétní funkce, které to podporují, ale prozatím to nepodporujeme.

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Správa aktiv

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu: Správa prostředků.

AM-2: Používejte pouze schválené služby.

Features

Podpora služby Azure Policy

Popis: Konfigurace služeb je možné monitorovat a vynucovat prostřednictvím služby Azure Policy. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Poznámky k funkcím: Řešení Azure VMWare v současné době podporuje Azure Policy ke správě prostředků virtuálních počítačů úloh. Pokud se rozhodnete nasadit Azure Arc Server pro řešení VMWare, bude součástí podpory azure Policy.

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Protokolování a detekce hrozeb

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu: Protokolování a detekce hrozeb.

LT-1: Povolení možností detekce hrozeb

Features

Microsoft Defender for Service / Nabídka produktů

Popis: Služba má řešení Microsoft Defenderu specifické pro konkrétní nabídku pro monitorování a upozorňování na problémy se zabezpečením. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Pokyny ke konfiguraci: Použití serveru s podporou Azure Arc pro váš virtuální počítač ve VMware, který umožňuje Microsoft Defenderu pro cloud poskytovat následující funkce:

  • Monitorování integrity souborů
  • Detekce útoků bez souborů
  • Posouzení oprav operačního systému
  • Posouzení chyb konfigurace zabezpečení
  • Posouzení ochrany koncových bodů

Referenční informace: Integrace Microsoft Defenderu pro cloud se službou Azure VMware Solution

LT-4: Aktivujte protokolování pro vyšetřování bezpečnosti

Features

Protokoly prostředků Azure

Popis: Služba vytváří záznamy zdrojů, které můžou poskytovat rozšířené metriky a protokolování specifické pro službu. Zákazník může tyto protokoly prostředků nakonfigurovat a odeslat je do vlastního datového úložiště, jako je účet pro ukládání nebo pracovní prostor služby Log Analytics. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Nepravda Nevztahuje se Nevztahuje se

Poznámky k funkcím: Protokolování pro řešení Azure VMware Povolte konfiguraci v syslogu VMware. Další podrobnosti najdete na odkazu: Konfigurace syslogů VMware pro Azure VMware Solution

Pokyny ke konfiguraci: Tato funkce není podporována pro zabezpečení této služby.

Zálohování a obnovování

Další informace najdete v srovnávacím testu zabezpečení cloudu Microsoftu : Zálohování a obnovení.

BR-1: Zajištění pravidelných automatizovaných záloh

Features

Azure Backup

Popis: Službu může zálohovat služba Azure Backup. Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Pokyny ke konfiguraci: K provedení zálohování na úrovni virtuálního počítače použijte Azure Backup Server (jako součást služby Azure Backup). Azure Backup Server může ukládat zálohovaná data do: Disk: Pro krátkodobé úložiště Azure Backup Server zálohuje data do fondů disků. Cloud Azure: V případě krátkodobého i dlouhodobého úložiště mimo místní úložiště je možné zálohovat data Azure Backup Serveru uložená ve fondech disků do cloudu Microsoft Azure pomocí služby Azure Backup.

Referenční informace: Nastavení Azure Backup Serveru pro řešení Azure VMware

Funkce nativního zálohování služby

Popis: Služba podporuje svou vlastní nativní funkci zálohování (pokud nepoužíváte Azure Backup). Další informace.

Podporováno Povoleno ve výchozím nastavení Odpovědnost za konfiguraci
Pravdivé Nepravda Zákazník

Pokyny ke konfiguraci: Pro tuto konfiguraci funkcí neexistují žádné pokyny Microsoftu. Zkontrolujte a zjistěte, jestli vaše organizace chce tuto funkci zabezpečení nakonfigurovat.

Referenční informace: Nasazení zotavení po havárii pomocí VMware Site Recovery Manageru

Další kroky

  • Last updated on