Azure-Sicherheitsbaseline für Azure Migrate
Diese Sicherheitsbaseline wendet Anleitungen des Microsoft Cloud Security Benchmark Version 1.0 auf Azure Migrate an. Der Microsoft Clout-Sicherheitsvergleichstest enthält Empfehlungen zum Schutz Ihrer Cloudlösungen in Azure. Der Inhalt wird nach den Sicherheitskontrollen gruppiert, die vom Microsoft Cloud Security Benchmark und den zugehörigen Anleitungen für Azure Migrate definiert sind.
Diese Sicherheitsbaseline und ihre Empfehlungen können Sie mithilfe von Microsoft Defender for Cloud überwachen. Azure Policy Definitionen werden im Abschnitt Einhaltung gesetzlicher Bestimmungen der Portalseite Microsoft Defender für Cloud aufgeführt.
Wenn ein Feature über relevante Azure Policy Definitionen verfügt, werden diese in dieser Baseline aufgeführt, damit Sie die Konformität mit den Microsoft Cloud Security Benchmark-Kontrollen und Empfehlungen messen können. Einige Empfehlungen erfordern möglicherweise einen kostenpflichtigen Microsoft Defender Plan, um bestimmte Sicherheitsszenarien zu ermöglichen.
Hinweis
Features , die nicht für Azure Migrate gelten, wurden ausgeschlossen. Informationen dazu, wie Azure Migrate vollständig dem Microsoft Cloud Security Benchmark zugeordnet ist, finden Sie in der vollständigen Zuordnungsdatei für die Azure Migrate-Sicherheitsbaseline.
Sicherheitsprofil
Das Sicherheitsprofil fasst das Verhalten von Azure Migrate mit hohen Auswirkungen zusammen, was zu erhöhten Sicherheitsüberlegungen führen kann.
Dienstverhaltensattribut | Wert |
---|---|
Produktkategorie | Migration |
Der Kunde kann auf HOST/OS zugreifen | Kein Zugriff |
Der Dienst kann im virtuellen Netzwerk des Kunden bereitgestellt werden. | True |
Speichert kundenbezogene Inhalte im Ruhezustand | True |
Netzwerksicherheit
Weitere Informationen finden Sie unter Microsoft Cloud Security Benchmark: Netzwerksicherheit.
NS-2: Schützen von Clouddiensten mit Netzwerkkontrollen
Features
Azure Private Link
Beschreibung: Dienstnative IP-Filterfunktion zum Filtern von Netzwerkdatenverkehr (nicht zu verwechseln mit NSG oder Azure Firewall). Weitere Informationen
Unterstützt | Standardmäßig aktiviert | Konfigurationsverantwortung |
---|---|---|
True | False | Kunde |
Featurehinweise: Der Kunde kann Azure Migrate so konfigurieren, dass Private Link erforderlich ist.
Konfigurationsleitfaden: Stellen Sie private Endpunkte für alle Azure-Ressourcen bereit, die das feature Private Link unterstützen, um einen privaten Zugriffspunkt für die Ressourcen einzurichten.
Azure Migrate Private Link Support ermöglicht Es Kunden, Server über ein privates Netzwerk sicher zu ermitteln, zu bewerten und zu migrieren, während gleichzeitig Schutz vor Datenexfiltrationsrisiken und eine höhere Migrationsgeschwindigkeit ermöglicht wird.
Sie können eine private und sichere Verbindung mit Azure Migrate über ein privates Azure ExpressRoute-Peering oder eine Site-to-Site-VPN-Verbindung (S2S) herstellen, indem Sie Private Link verwenden.
Referenz: Verwenden von Azure Migrate mit Azure Private Link
Deaktivieren des Zugriffs aus öffentlichen Netzwerken
Beschreibung: Der Dienst unterstützt das Deaktivieren des Zugriffs auf öffentliche Netzwerke entweder mithilfe einer IP-ACL-Filterregel auf Dienstebene (nicht NSG oder Azure Firewall) oder mithilfe eines Umschaltschalters "Öffentlichen Netzwerkzugriff deaktivieren". Weitere Informationen
Unterstützt | Standardmäßig aktiviert | Konfigurationsverantwortung |
---|---|---|
True | False | Kunde |
Featurehinweise: Der Kunde kann Azure Migrate mit Private Link konfigurieren und dadurch den Zugriff auf öffentliche Endpunkte deaktivieren.
Konfigurationsleitfaden: Deaktivieren Sie den Zugriff auf öffentliche Netzwerke mithilfe von, indem Sie den Switch für den Zugriff auf öffentliche Netzwerke umschalten.
Sie können die Konnektivitätsmethode für Ihr Azure Migrate-Projekt konfigurieren und den Zugriff über öffentliche Netzwerke auf das Migrate-Projekt aktivieren oder deaktivieren.
Referenz: Verwenden von Azure Migrate mit privaten Endpunkten
Identitätsverwaltung
Weitere Informationen finden Sie unter Microsoft Cloud Security Benchmark: Identitätsverwaltung.
IM-1: Verwenden eines zentralen Identitäts- und Authentifizierungssystems
Features
Azure AD-Authentifizierung für den Zugriff auf Datenebene erforderlich
Beschreibung: Der Dienst unterstützt die Verwendung der Azure AD-Authentifizierung für den Zugriff auf Datenebene. Weitere Informationen
Unterstützt | Standardmäßig aktiviert | Konfigurationsverantwortung |
---|---|---|
True | True | Microsoft |
Featurehinweise: Azure Migrate nutzt verwaltete Identitäten und Dienstprinzipale in Azure AD für bestimmte Vorgänge auf Datenebene. Azure Migrate unterstützt auch Azure AD für den Benutzerzugriff auf die Steuerungsebene über das Azure-Portal.
Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies in einer Standardbereitstellung aktiviert ist.
IM-3: Sicheres und automatisches Verwalten von Anwendungsidentitäten
Features
Verwaltete Identitäten
Beschreibung: Aktionen auf Datenebene unterstützen die Authentifizierung mit verwalteten Identitäten. Weitere Informationen
Unterstützt | Standardmäßig aktiviert | Konfigurationsverantwortung |
---|---|---|
True | False | Microsoft |
Featurehinweise: Azure Migrate verwendet eine verwaltete Identität, um sicher auf migrierte Daten zuzugreifen, die in einem Speicherkonto gespeichert sind. Dies wird derzeit in einem Szenario verwendet, in dem ein privater Endpunkt konfiguriert ist.
Konfigurationsleitfaden: Verwenden Sie verwaltete Azure-Identitäten anstelle von Dienstprinzipalen, die sich bei Azure-Diensten und -Ressourcen authentifizieren können, die die Azure Active Directory-Authentifizierung (Azure AD) unterstützen. Anmeldeinformationen für verwaltete Identitäten werden vollständig verwaltet, rotiert und von der Plattform geschützt. Hierbei werden hartcodierte Anmeldeinformationen im Quellcode oder in Konfigurationsdateien vermieden.
Dienstprinzipale
Beschreibung: Die Datenebene unterstützt die Authentifizierung mithilfe von Dienstprinzipalen. Weitere Informationen
Unterstützt | Standardmäßig aktiviert | Konfigurationsverantwortung |
---|---|---|
True | False | Kunde |
Featurehinweise: Die Ermittlungs- und Bewertungsdienste in Azure Migrate verwenden keine Dienstprinzipale, der Migrationsdienst verwendet jedoch Dienstprinzipale in einem Szenario mit öffentlichen Endpunkten, um mithilfe der Hyper-V-Wiederherstellungs-Manager-App eine Verbindung mit dem Schlüsseltresor des Kunden herzustellen.
Konfigurationsleitfaden: Es gibt keine aktuelle Microsoft-Anleitung für diese Featurekonfiguration. Überprüfen Sie, ob Ihr organization dieses Sicherheitsfeature konfigurieren möchte.
IM-8: Einschränken der Gefährdung von Anmeldeinformationen und Geheimnissen
Features
Unterstützung von Integration und Speicher in Azure Key Vault durch Dienstanmeldeinformationen und Geheimnisse
Beschreibung: Datenebene unterstützt die native Verwendung von Azure Key Vault für Anmeldeinformationen und Geheimnisspeicher. Weitere Informationen
Unterstützt | Standardmäßig aktiviert | Konfigurationsverantwortung |
---|---|---|
True | True | Microsoft |
Featurehinweise: Die Azure Migrate-Anwendung nutzt Key Vault, um Verbindungszeichenfolgen für den Service Bus zu verwalten, und Zugriffsschlüssel für die Speicherkonten werden für die Replikation verwendet.
Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies in einer Standardbereitstellung aktiviert ist.
Schutz von Daten
Weitere Informationen finden Sie unter Microsoft Cloud Security Benchmark: Datenschutz.
DP-3: Verschlüsseln in Übertragung begriffener vertraulicher Daten
Features
Verschlüsselung von Daten während der Übertragung
Beschreibung: Der Dienst unterstützt die Datenverschlüsselung während der Übertragung für die Datenebene. Weitere Informationen
Unterstützt | Standardmäßig aktiviert | Konfigurationsverantwortung |
---|---|---|
True | True | Microsoft |
Featurehinweise: Die Verschlüsselung von Daten während der Übertragung ist standardmäßig aktiviert. Azure Migrate unterstützt die Datenverschlüsselung während der Übertragung mit TLS v1.2 oder höher.
Obwohl dies bei Datenverkehr in privaten Netzwerken optional ist, ist es für den Datenverkehr in externen und öffentlichen Netzwerken von entscheidender Bedeutung. Stellen Sie bei HTTP-Datenverkehr sicher, dass alle Clients (einschließlich der Azure Migrate-Appliance und anderer Computer, auf denen Sie Azure Migrate-Software installiert haben), die Verbindungen mit Ihren Azure-Ressourcen herstellen, TLS 1.2 oder höher aushandeln können. Verwenden Sie für die Remoteverwaltung SSH (für Linux) bzw. RDP/TLS (für Windows) anstelle eines unverschlüsselten Protokolls. Veraltete SSL-, TLS- und SSH-Versionen und -Protokolle sowie schwache Verschlüsselungsverfahren sollten deaktiviert werden.
Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies in einer Standardbereitstellung aktiviert ist.
DP-4: Aktivieren einer standardmäßigen Verschlüsselung für ruhende Daten
Features
Verschlüsselung ruhender Daten mithilfe von Plattformschlüsseln
Beschreibung: Die Verschlüsselung ruhender Daten mithilfe von Plattformschlüsseln wird unterstützt, alle ruhenden Kundeninhalte werden mit diesen verwalteten Microsoft-Schlüsseln verschlüsselt. Weitere Informationen
Unterstützt | Standardmäßig aktiviert | Konfigurationsverantwortung |
---|---|---|
True | True | Microsoft |
Featurehinweise: Alle in Azure Migrate gespeicherten Daten werden im Ruhezustand mit von Microsoft verwalteten Schlüsseln verschlüsselt.
Das Servermigrationstool in Azure Migrate repliziert Daten von den Datenträgern der Server, die migriert werden, in Speicherkonten und auf verwalteten Datenträgern in Ihrem Azure-Abonnement. Die Datenverarbeitung ist vorübergehend, bis sie in Speicherkonten oder verwaltete Datenträger im Abonnement geschrieben wird und nicht in Azure Migrate beibehalten wird. Replizierte Daten im Speicherkonto und auf den verwalteten Datenträgern werden im Ruhezustand mit von Microsoft verwalteten Schlüsseln verschlüsselt. Für streng vertrauliche Daten können Sie eine zusätzliche Verschlüsselung im Ruhezustand mit kundenseitig verwalteten Schlüsseln für das Speicherkonto und die verwalteten Datenträger implementieren.
Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies in einer Standardbereitstellung aktiviert ist.
DP-5: Verwenden der Option kundenseitig verwalteter Schlüssel bei der Verschlüsselung ruhender Daten bei Bedarf
Features
Verschlüsselung ruhender Daten mithilfe von CMK
Beschreibung: Die Verschlüsselung ruhender Daten mithilfe von kundenseitig verwalteten Schlüsseln wird für Kundeninhalte unterstützt, die vom Dienst gespeichert werden. Weitere Informationen
Unterstützt | Standardmäßig aktiviert | Konfigurationsverantwortung |
---|---|---|
True | False | Kunde |
Konfigurationsleitfaden: Aktivieren und implementieren Sie die Verschlüsselung ruhender Daten für Ihre replizierten Daten mithilfe von kundenseitig verwalteten Schlüsseln.
Um VMs mit CMK zu replizieren, müssen Sie unter der Zielressourcengruppe einen Datenträgerverschlüsselungssatz erstellen. Ein Datenträgerverschlüsselungssatz-Objekt ordnet verwaltete Datenträger einer Key Vault-Instanz zu, die den für SSE zu verwendenden CMK enthält.
Referenz: Migrieren von VMware-VMs zu Azure (ohne Agent)
DP-6: Verwenden eines sicheren Schlüsselverwaltungsprozesses
Features
Schlüsselverwaltung in Azure Key Vault
Beschreibung: Der Dienst unterstützt die Azure Key Vault-Integration für alle Kundenschlüssel, Geheimnisse oder Zertifikate. Weitere Informationen
Unterstützt | Standardmäßig aktiviert | Konfigurationsverantwortung |
---|---|---|
True | True | Microsoft |
Featurehinweise: Die Azure Migrate-Anwendung nutzt Key Vault, um Verbindungszeichenfolgen für den Service Bus zu verwalten, und Zugriffsschlüssel für die Speicherkonten werden für die Replikation verwendet.
Konfigurationsleitfaden: Es sind keine zusätzlichen Konfigurationen erforderlich, da dies in einer Standardbereitstellung aktiviert ist.
Referenz: Einrichten des Azure Migrate-Anwendung
Asset-Management
Weitere Informationen finden Sie unter Microsoft Cloud Security Benchmark: Asset Management.
AM-2: Ausschließliches Verwenden genehmigter Dienste
Features
Azure Policy-Unterstützung
Beschreibung: Dienstkonfigurationen können über Azure Policy überwacht und erzwungen werden. Weitere Informationen
Unterstützt | Standardmäßig aktiviert | Konfigurationsverantwortung |
---|---|---|
True | False | Kunde |
Featurehinweise: Azure Migrate kann Azure Policy nutzen, muss jedoch vom Kunden konfiguriert werden, um erzwungen zu werden.
Konfigurationsleitfaden: Verwenden Sie Microsoft Defender für Cloud, um Azure Policy zum Überwachen und Erzwingen von Konfigurationen Ihrer Azure-Ressourcen zu konfigurieren. Verwenden Sie Azure Monitor, um Warnungen zu erstellen, wenn eine Konfigurationsabweichung für die Ressourcen erkannt wird. Verwenden Sie Azure Policy [Verweigern] und [Bereitstellen, falls nicht vorhanden] Effekte, um eine sichere Konfiguration für Azure-Ressourcen zu erzwingen.
Referenz: Azure Policy integrierten Definitionen für Azure Migrate
Protokollierung und Bedrohungserkennung
Weitere Informationen finden Sie unter Microsoft Cloud Security Benchmark: Protokollierung und Bedrohungserkennung.
LT-4: Aktivieren der Protokollierung für die Sicherheitsuntersuchung
Features
Azure-Ressourcenprotokolle
Beschreibung: Der Dienst erzeugt Ressourcenprotokolle, die erweiterte dienstspezifische Metriken und Protokollierung bereitstellen können. Der Kunde kann diese Ressourcenprotokolle konfigurieren und sie an seine eigene Datensenke wie ein Speicherkonto oder einen Log Analytics-Arbeitsbereich senden. Weitere Informationen
Unterstützt | Standardmäßig aktiviert | Konfigurationsverantwortung |
---|---|---|
False | Nicht zutreffend | Nicht zutreffend |
Konfigurationsleitfaden: Dieses Feature wird nicht unterstützt, um diesen Dienst zu schützen.
Nächste Schritte
- Weitere Informationen finden Sie unter Microsoft Cloud Security Benchmark –Übersicht.
- Erfahren Sie mehr über Azure-Sicherheitsbaselines.