Proteja su implementación de Azure Attestation

Microsoft Azure Attestation es un servicio que le ayuda a comprobar la confiabilidad de los componentes de plataforma y las aplicaciones que se ejecutan en entornos de ejecución de confianza (TEE). Azure Attestation ayuda a establecer una raíz de confianza mediante la validación de que las TEE son originales, sin modificar y ejecutar el software esperado. Al usar Azure Attestation para flujos de trabajo de comprobación críticos para la seguridad, siga los pasos necesarios para maximizar la seguridad de los proveedores de atestación y los datos procesados a través de ellos.

Las recomendaciones de seguridad de este artículo implementan principios de confianza cero: "Comprobar explícitamente", "Usar acceso con privilegios mínimos" y "Asumir vulneración de seguridad". Para obtener instrucciones de Confianza cero completas, consulte el Centro de instrucciones Confianza cero.

En este artículo se proporcionan recomendaciones de seguridad para ayudar a proteger la implementación de Azure Attestation.

Seguridad de red

Azure Attestation admite características de seguridad de red para ayudar a proteger los proveedores de atestación y sus datos frente al acceso no autorizado.

  • Uso de Azure Private Link para el acceso seguro: configure Azure Private Link para conectarse de forma segura a Azure Attestation desde la red virtual, lo que impide la exposición de puntos de conexión de atestación a la red pública de Internet. Private Link proporciona una conexión privada que usa direcciones IP privadas, lo que aporta de forma eficaz Azure Attestation a la red virtual. Para más información, consulte Creación de un punto de conexión privado para Azure Attestation mediante PowerShell.

  • Deshabilite el acceso a la red pública cuando no sea necesario: Azure Attestation admite la publicNetworkAccess propiedad en los proveedores de atestación. Establézcalo en Disabled para los proveedores accesibles exclusivamente a través de Private Link, de modo que ningún tráfico del plano de datos pueda llegar desde la Internet pública. Para obtener más información, vea Azure Private Link.

Administración de identidades y acceso

La administración adecuada de identidades y acceso es fundamental para proteger el acceso a los proveedores de atestación, sus directivas y sus certificados de firma. Azure Attestation usa Microsoft Entra ID para la autenticación del plano de datos y Azure RBAC para la autorización.

  • Usar la autenticación de Microsoft Entra ID: Azure Attestation autentica de forma predeterminada a quienes realizan llamadas al plano de datos mediante Microsoft Entra ID. Use esta integración integrada para aplicar los controles de gobernanza de identidades de la organización (acceso condicional, MFA, directivas de sesión) a las operaciones de atestación. Para más información, consulte Requisitos de roles y permisos para la administración de directivas en Azure Attestation.

  • Use identidades administradas para las aplicaciones: cuando las aplicaciones necesiten llamar a Azure Attestation, autentíquelas con identidades administradas de Azure para no almacenar secretos ni certificados en el código. Azure Attestation admite el uso de identidades administradas en operaciones del plano de datos. Para obtener más información, consulte ¿Qué son las identidades administradas para los recursos de Azure?.

  • Use entidades de servicio solo cuando no se puedan usar identidades administradas: en escenarios de automatización en los que las identidades administradas no se aplican (por ejemplo, escenarios entre inquilinos), cree entidades de servicio dedicadas con permisos con privilegios mínimos. Rota las credenciales periódicamente y supervisa su actividad de inicio de sesión. Para más información, consulte Creación de una entidad de servicio de Azure.

  • Aplica el modelo RBAC de Azure con el rol Attestation Contributor: asigna el rol integrado Attestation Contributor únicamente a los usuarios y entidades de servicio que necesiten administrar directivas o certificados de firma de directivas en un proveedor de certificación. Conceda acceso de solo lectura con el rol Attestation Reader. Para más información, consulte Requisitos de roles y permisos para la administración de directivas en Azure Attestation.

  • Exigir PIM para asignaciones privilegiadas: Use Microsoft Entra Privileged Identity Management (PIM) para que el rol Colaborador de atestación sea elegible en lugar de estar asignado permanentemente, y exija autenticación multifactor y aprobación al activarlo. Para obtener más información, consulte Introducción a la administración de identidades con privilegios.

Protección de los datos

Azure Attestation procesa la evidencia de atestación y las directivas cuya integridad es fundamental para establecer la confianza en los TEE. El cifrado de datos en reposo y de datos en tránsito está habilitado de forma predeterminada y los controles accionables están en torno a la firma de directivas.

  • Firme sus políticas de atestación personalizadas: utilice políticas firmadas (en lugar de políticas sin firmar) cuando su carga de trabajo requiera una sólida trazabilidad de los cambios en las políticas. Las directivas firmadas te permiten verificar que una directiva procede de un firmante de confianza y que no ha sido alterada durante la transmisión. Para obtener más información, consulte Cómo crear y firmar una directiva de atestación.

  • Proteger las claves privadas del certificado de firma de directivas: almacene las claves privadas usadas para firmar directivas de atestación en Azure Key Vault (o un HSM que controle) y conceda acceso solo a las identidades que deben firmar directivas. Gire estas claves según una programación alineada con la directiva criptográfica de su organización. Para obtener más información, consulte About Azure Key Vault.

  • Descripción del comportamiento de cifrado predeterminado: Azure Attestation cifra automáticamente todos los datos en reposo mediante claves administradas por Microsoft y todos los datos en tránsito usan TLS 1.2 o superior. No es necesario configurar nada para la posición predeterminada. Compruebe que sus aplicaciones cliente negocian TLS 1.2 o una versión posterior con el punto de conexión de atestación. Para obtener más información, consulte Cifrado de datos en reposo.

Registro y supervisión

La supervisión y el registro son componentes clave de una estrategia de seguridad completa para Azure Attestation.

  • Habilitación del registro de diagnóstico: configure los registros de recursos de Azure para capturar información detallada sobre las operaciones de atestación. Estos registros admiten investigaciones de seguridad, requisitos de cumplimiento y solución de problemas operativos. Para obtener más información, consulte el registro en Azure Attestation.

  • Configurar alertas para actividades sospechosas: configure Azure Monitor alertas para notificarle patrones inusuales o posibles incidentes de seguridad que impliquen a los proveedores de atestación. Céntrese en operaciones de alto riesgo, como cambios de directiva, rotaciones de certificados de firmante de directivas y errores de autenticación inesperados. Para obtener más información, vea Alertas de Azure Monitor.

Cumplimiento y gobernanza

Los controles de gobernanza le ayudan a aplicar una postura de seguridad coherente en todos los proveedores de certificación a medida que crece su entorno.

  • Aplicar la configuración con Azure Policy: use definiciones de Azure Policy para auditar o aplicar configuraciones necesarias en proveedores de atestación; por ejemplo, requerir publicNetworkAccess: Disabled o restringir las regiones en las que se pueden crear proveedores. Para obtener más información, consulte definiciones integradas de Azure Policy para Azure Attestation.

  • Adopte el banco de pruebas de seguridad en la nube Microsoft: alinee la posición de atestación con la prueba comparativa de seguridad en la nube (MCSB) Microsoft, que proporciona controles horizontales para la seguridad de red, la identidad, la protección de datos y la supervisión que también se aplican a Azure Attestation.

Copia de seguridad y recuperación

Azure Attestation administra la infraestructura subyacente. Las responsabilidades de recuperación se limitan a las directivas de atestación personalizadas y a los certificados de firma de directivas.

  • Controle las versiones de los artefactos de directiva: almacene los archivos fuente de la directiva de atestación (y el código fuente utilizado para generar directivas firmadas) en un repositorio con control de versiones para que pueda recrear de forma determinista cualquier directiva desplegada. Junto con las directivas firmadas, este enfoque proporciona una ruta de recuperación auditable.

  • Haga una copia de seguridad de los certificados de firma de directivas: si utiliza directivas firmadas, almacene el certificado de firma de directivas en un almacén respaldado por un HSM, como Azure Key Vault, y haga una copia de seguridad de él de acuerdo con los procedimientos de administración de claves de su organización. Si pierde la clave de firma, no puede crear nuevas versiones de directiva firmadas en la misma identidad del firmante.

  • Pruebe periódicamente la recuperación: practique periódicamente el proceso de volver a implementar la directiva de atestación en un proveedor de atestación de pruebas, para contar con un procedimiento validado en caso de que se pierda o se dañe una directiva de producción.

Pasos siguientes

  • Se actualizó por última vez el