Detalles de la iniciativa integrada de cumplimiento normativo de RMIT Malasia

En el siguiente artículo, se detalla la correspondencia entre la definición de la iniciativa integrada de cumplimiento normativo de Azure Policy y los dominios de cumplimiento y controles de RMIT Malasia. Para más información sobre este estándar de cumplimiento, vea RMIT Malasia. Para entender el concepto de Propiedad, consulte Definición de directivas de Azure Policy y Responsabilidad compartida en la nube.

Las siguientes asignaciones son para los controles de RMIT Malasia. Muchos de los controles se implementan con una definición de iniciativa de Azure Policy. Para revisar la definición de iniciativa completa, abra Policy en Azure Portal y seleccione la página Definiciones. A continuación, busque y seleccione la definición de la iniciativa integrada de cumplimiento normativo de RMIT Malasia.

Importante

Cada control que se muestra a continuación está asociado a una o varias definiciones de Azure Policy. Estas directivas pueden ayudarle a evaluar el cumplimiento mediante el control. Sin embargo, con frecuencia no hay una correspondencia completa o exacta entre un control y una o varias directivas. Como tal, el cumplimiento en Azure Policy solo se refiere a las propias definiciones de directiva; esto no garantiza que se cumpla totalmente con todos los requisitos de un control. Además, el estándar de cumplimiento incluye controles que no se abordan con las definiciones de Azure Policy en este momento. Por lo tanto, el cumplimiento en Azure Policy es solo una vista parcial del estado general de cumplimiento. Las asociaciones entre los dominios de cumplimiento, los controles y las definiciones de Azure Policy para este estándar de cumplimiento pueden cambiar con el tiempo. Para ver el historial de cambios, consulte el historial de confirmación de GitHub.

Criptografía

Criptografía: 10.16

Id.: RMiT 10.16 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
El HSM administrado de Azure Key Vault debe tener habilitada la protección contra purgas.	La eliminación malintencionada de un HSM administrado de Azure Key Vault puede provocar una pérdida de datos permanente. Un usuario malintencionado de la organización puede eliminar y purgar HSM administrados de Azure Key Vault. La protección contra purgas le protege frente a ataques internos mediante la aplicación de un período de retención obligatorio para HSM administrados de Azure Key Vault eliminados temporalmente. Ningún usuario de su organización o Microsoft podrá purgar HSM administrados de Azure Key Vault durante el período de retención de eliminación temporal.	Audit, Deny, Disabled	1.0.0
La aplicación de la conexión SSL debe estar habilitada para los servidores de base de datos PostgreSQL	Azure Database for PostgreSQL permite conectar el servidor de Azure Database for PostgreSQL a las aplicaciones cliente mediante la Capa de sockets seguros (SSL). La aplicación de conexiones SSL entre el servidor de bases de datos y las aplicaciones cliente facilita la protección frente a ataques de tipo "Man in the middle" al cifrar el flujo de datos entre el servidor y la aplicación. Esta configuración exige que SSL esté siempre habilitado para el acceso al servidor de bases de datos.	Audit, Disabled	1.0.1
El cifrado de infraestructura debe estar habilitado para los servidores de Azure Database for MySQL	Habilite el cifrado de infraestructura para que los servidores de Azure Database for MySQL tengan mayor garantía de que los datos están seguros. Cuando se habilita el cifrado de infraestructura, los datos en reposo se cifran dos veces con las claves administradas de Microsoft compatibles con FIPS 140-2.	Audit, Deny, Disabled	1.0.0
El cifrado de infraestructura debe estar habilitado para los servidores de Azure Database for PostgreSQL	Habilite el cifrado de infraestructura para que los servidores de Azure Database for PostgreSQL tengan mayor garantía de que los datos están seguros. Cuando se habilita el cifrado de infraestructura, los datos en reposo se cifran dos veces con las claves administradas por Microsoft compatibles con FIPS 140-2.	Audit, Deny, Disabled	1.0.0
Los almacenes de claves deben tener habilitada la protección contra eliminación	La eliminación malintencionada de un almacén de claves puede provocar una pérdida de datos permanente. Puede evitar la pérdida permanente de datos habilitando la protección de purga y la eliminación temporal. La protección contra purgas le protege frente a ataques internos mediante la aplicación de un período de retención obligatorio para almacenes de claves eliminados temporalmente. Ningún usuario de su organización o Microsoft podrá purgar los almacenes de claves durante el período de retención de eliminación temporal. Tenga en cuenta que los almacenes de claves creados después del 1 de septiembre de 2019 tienen habilitada la eliminación temporal de manera predeterminada.	Audit, Deny, Disabled	2.1.0
Los almacenes de claves deben tener habilitada la eliminación temporal	Si se elimina un almacén de claves que no tenga habilitada la eliminación temporal, se eliminarán permanentemente todos los secretos, claves y certificados almacenados en ese almacén de claves. La eliminación accidental de un almacén de claves puede provocar una pérdida de datos permanente. La eliminación temporal permite recuperar un almacén de claves eliminado accidentalmente durante un período de retención configurable.	Audit, Deny, Disabled	3.0.0
Se debe habilitar la transferencia segura a las cuentas de almacenamiento	Permite auditar el requisito de transferencia segura en la cuenta de almacenamiento. La transferencia segura es una opción que obliga a la cuenta de almacenamiento a aceptar solamente solicitudes de conexiones seguras (HTTPS). El uso de HTTPS garantiza la autenticación entre el servidor y el servicio, y protege los datos en tránsito de ataques de nivel de red, como los de tipo "Man in the middle", interceptación y secuestro de sesión	Audit, Deny, Disabled	2.0.0
Las instancias administradas de SQL deben usar claves administradas por el cliente para cifrar los datos en reposo	La implementación de Cifrado de datos transparente (TDE) con una clave propia proporciona una mayor transparencia y control sobre el protector de TDE, ofrece mayor seguridad con un servicio externo respaldado con HSM y permite la separación de tareas. Esta recomendación se aplica a las organizaciones con un requisito de cumplimiento relacionado.	Audit, Deny, Disabled	2.0.0
Las cuentas de almacenamiento deben tener un cifrado de infraestructura	Habilite el cifrado de la infraestructura para aumentar la garantía de que los datos son seguros. Cuando el cifrado de infraestructura está habilitado, los datos de las cuentas de almacenamiento se cifran dos veces.	Audit, Deny, Disabled	1.0.0
El cifrado de datos transparente en bases de datos SQL debe estar habilitado	El cifrado de datos transparente debe estar habilitado para proteger los datos en reposo y satisfacer los requisitos de cumplimiento.	AuditIfNotExists, Disabled	2.0.0

Criptografía: 10.19

Id.: RMiT 10.19 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Se debe habilitar Azure Defender para Key Vault	Azure Defender para Key Vault proporciona un nivel de protección adicional de inteligencia de seguridad, ya que detecta intentos inusuales y potencialmente dañinos de obtener acceso a las cuentas de Key Vault o aprovechar sus vulnerabilidades de seguridad.	AuditIfNotExists, Disabled	1.0.3
Los sistemas operativos y los discos de datos de los clústeres de Azure Kubernetes Service deben cifrarse mediante claves administradas por el cliente	El cifrado de los sistemas operativos y los discos de datos mediante claves administradas por el cliente proporciona más control y mayor flexibilidad para la administración de claves. Este es un requisito común de muchos estándares de cumplimiento normativo y del sector.	Audit, Deny, Disabled	1.0.1
La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for MySQL	Azure Database for MySQL le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor.	Audit, Disabled	1.0.1
Key Vault debe usar un punto de conexión del servicio de red virtual	Esta directiva audita toda instancia de Key Vault no configurada para usar un punto de conexión del servicio de red virtual.	Audit, Disabled	1.0.0
Los servidores PostgreSQL deben usar claves administradas por el cliente para cifrar los datos en reposo.	Use claves administradas por el cliente para administrar el cifrado en reposo de los servidores PostgreSQL. De manera predeterminada, los datos se cifran en reposo con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración.	AuditIfNotExists, Disabled	1.0.4
Los servidores SQL deben usar claves administradas por el cliente para cifrar los datos en reposo	La implementación de Cifrado de datos transparente (TDE) con una clave propia proporciona una mayor transparencia y control sobre el protector de TDE, ofrece mayor seguridad con un servicio externo respaldado con HSM y permite la separación de tareas. Esta recomendación se aplica a las organizaciones con un requisito de cumplimiento relacionado.	Audit, Deny, Disabled	2.0.1

Criptografía: 10.20

Id.: RMiT 10.20 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
[en desuso]: Las aplicaciones de funciones deben tener habilitados los "Certificados de cliente (certificados de cliente entrantes)"	Los certificados de cliente permiten que la aplicación solicite un certificado para las solicitudes entrantes. Solo los clientes con certificados válidos pueden acceder a la aplicación. Esta directiva se ha reemplazado por una nueva directiva con el mismo nombre porque HTTP 2.0 no admite certificados de cliente.	Audit, Disabled	3.1.0 en desuso
Aplicaciones de App Service deben tener habilitados certificados de cliente (certificados de cliente entrantes)	Los certificados de cliente permiten que la aplicación solicite un certificado para las solicitudes entrantes. Solo los clientes que tienen un certificado válido podrán acceder a la aplicación. Esta directiva se aplica a las aplicaciones con la versión Http establecida en 1.1.	AuditIfNotExists, Disabled	1.0.0

Operaciones del centro de datos

Operaciones de centros de datos: 10.27

Id.: RMiT 10.27 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Implementación: configuración de la extensión de Log Analytics para habilitarla en los conjuntos de escalado de máquinas virtuales Windows	Implemente la extensión de Log Analytics en conjuntos de escalado de máquinas virtuales Windows si la imagen de la máquina virtual está en la lista definida y la extensión no está instalada. Si establece upgradePolicy del conjunto de escalado en Manual, debe aplicar la extensión a todas las máquinas virtuales del conjunto mediante su actualización. Aviso de desuso: los agentes de Log Analytics están en ruta de desuso y dejarán de tener soporte técnico el 31 de agosto de 2024. Debe migrar al "agente de Azure Monitor" de reemplazo antes de esa fecha.	DeployIfNotExists, Disabled	3.1.0
Se deben migrar las máquinas virtuales a nuevos recursos de Azure Resource Manager	Use el nuevo Azure Resource Manager para las máquinas virtuales a fin de proporcionar mejoras de seguridad como las siguientes: mayor control de acceso (RBAC), mejor auditoría, gobernanza e implementación basados en Azure Resource Manager, acceso a identidades administradas, acceso a secretos de Key Vault, autenticación basada en Azure AD y compatibilidad con etiquetas y grupos de recursos para facilitar la administración de seguridad.	Audit, Deny, Disabled	1.0.0

Operaciones de centros de datos: 10.30

Id.: RMiT 10.30 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Azure Backup debe estar habilitado para Virtual Machines.	Asegúrese que Azure Virtual Machines está protegido; para ello, habilite Azure Backup. Azure Backup es una solución de protección de datos segura y rentable para Azure.	AuditIfNotExists, Disabled	3.0.0
Las consultas guardadas de Azure Monitor deben guardarse en la cuenta de almacenamiento del cliente para el cifrado de registros	Vincule la cuenta de almacenamiento al área de trabajo de Log Analytics para proteger las consultas guardadas con el cifrado de la cuenta de almacenamiento. Las claves administradas por el cliente suelen ser necesarias para satisfacer el cumplimiento normativo y para tener un mayor control sobre el acceso a las consultas guardadas en Azure Monitor. Para más información sobre lo anterior, consulte https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0

Resistencia de la red

Resistencia de la red: 10.33

Id.: RMiT 10.33 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Todos los recursos del registro de flujo deben estar en estado habilitado	Audite los recursos del registro de flujo para comprobar si está habilitado el estado del registro de flujo. Habilitar los registros de flujo permite registrar información sobre el tráfico IP que fluye. Se puede utilizar para optimizar flujos de red, supervisar el rendimiento, comprobar el cumplimiento, detectar intrusiones y mucho más.	Audit, Disabled	1.0.1
Todos los puertos de red deben estar restringidos en los grupos de seguridad de red asociados a la máquina virtual	Azure Security Center identificó que algunas de las reglas de entrada de sus grupos de seguridad de red son demasiado permisivas. Las reglas de entrada no deben permitir el acceso desde los intervalos "Cualquiera" o "Internet". Esto podría permitir que los atacantes pudieran acceder a sus recursos.	AuditIfNotExists, Disabled	3.0.0
Los servicios de API Management deben usar una red virtual	La implementación de Azure Virtual Network ofrece una seguridad y aislamiento mejorados, y permite colocar el servicio de API Management en una red enrutable sin conexión a Internet cuyo acceso puede controlar. Estas redes se pueden conectar a las redes locales mediante diversas tecnologías de VPN, lo que permite el acceso a los servicios de back-end dentro de la red o de forma local. El portal para desarrolladores y la puerta de enlace de API pueden configurarse para que sea accesible desde Internet o solo dentro de la red virtual.	Audit, Deny, Disabled	1.0.2
El grupo de contenedores de la instancia de Azure Container Instances se debe implementar en una red virtual	Proteja la comunicación entre los contenedores con redes virtuales de Azure. Cuando se especifica una red virtual, los recursos de la red virtual pueden comunicarse entre sí de forma segura y privada.	Audit, Disabled, Deny	2.0.0
Las instancias de Azure VPN Gateway no deben usar la SKU "básica".	Esta directiva garantiza que las instancias de VPN Gateway no usan la SKU "básica".	Audit, Disabled	1.0.0
Configurar App Configuration para deshabilitar el acceso a la red pública	Deshabilite el acceso a la red pública en App Configuration de modo que no sea accesible a través de la red pública de Internet. Esta configuración le ayudará a protegerlo contra los riesgos de pérdida de datos. En su lugar, puede limitar la exposición de los recursos mediante la creación de puntos de conexión privados. Más información en: https://aka.ms/appconfig/private-endpoint.	Modificar, Deshabilitado	1.0.0
Configurar Azure SQL Server para deshabilitar el acceso a la red pública	Al deshabilitar la propiedad de acceso a la red pública se cierra la conectividad pública, de modo que solo se puede tener acceso a Azure SQL Server desde un punto de conexión privado. Esta configuración deshabilita el acceso a la red pública para todas las bases de datos de Azure SQL Server.	Modificar, Deshabilitado	1.0.0
Configurar Azure SQL Server para habilitar conexiones de punto de conexión privado	Una conexión de punto de conexión privado habilita la conectividad privada con Azure SQL Database a través de una dirección IP privada dentro de una red virtual. Esta configuración mejora su posición de seguridad y admite las herramientas y los escenarios de redes de Azure.	DeployIfNotExists, Disabled	1.0.0
Configurar las instancias de Container Registry para deshabilitar el acceso a la red pública	Deshabilite el acceso a la red pública para el recurso de Container Registry de modo que no sea accesible a través de la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en https://aka.ms/acr/portal/public-network y https://aka.ms/acr/private-link.	Modificar, Deshabilitado	1.0.0
Configurar discos administrados para deshabilitar el acceso a la red pública	Deshabilite el acceso a la red pública para el recurso de disco administrado para que no sea accesible a través de Internet de acceso público. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/disksprivatelinksdoc.	Modificar, Deshabilitado	2.0.0
Las instancias de Container Registry no deben permitir el acceso de red sin restricciones	De manera predeterminada, las instancias de Azure Container Registry aceptan conexiones a través de Internet de hosts de cualquier red. Para proteger sus registros de posibles amenazas, permita el acceso solo desde determinados puntos de conexión privados, direcciones IP públicas o intervalos de direcciones. Si su registro no tiene reglas de red configuradas, aparecerá en los recursos no incorrectos. Obtenga más información sobre las reglas de red de Container Registry aquí: https://aka.ms/acr/privatelink,https://aka.ms/acr/portal/public-network y https://aka.ms/acr/vnet.	Audit, Deny, Disabled	2.0.0
Cosmos DB debe usar un punto de conexión del servicio de red virtual	Esta directiva audita toda instancia de Cosmos DB no configurada para usar un punto de conexión del servicio de red virtual.	Audit, Disabled	1.0.0
El centro de eventos debe usar un punto de conexión del servicio de red virtual	Esta directiva audita todo centro de eventos no configurado para usar un punto de conexión del servicio de red virtual.	AuditIfNotExists, Disabled	1.0.0
Los registros de flujo se deben configurar para cada grupo de seguridad de red	Audite los grupos de seguridad de red para comprobar si se han configurado los registros de flujo. Habilitar los registros de flujo permite registrar información sobre el tráfico IP que fluye a través de un grupo de seguridad de red. Se puede utilizar para optimizar flujos de red, supervisar el rendimiento, comprobar el cumplimiento, detectar intrusiones y mucho más.	Audit, Disabled	1.1.0
Las máquinas virtuales accesibles desde Internet deben estar protegidas con grupos de seguridad de red	Proteja sus máquinas virtuales de posibles amenazas limitando el acceso a ellas con grupos de seguridad de red (NSG). Más información sobre cómo controlar el tráfico con los grupos de seguridad de red en https://aka.ms/nsg-doc.	AuditIfNotExists, Disabled	3.0.0
El reenvío de IP en la máquina virtual debe estar deshabilitado	Habilitar el reenvío de IP en la NIC de la máquina virtual permite que la máquina reciba tráfico dirigido a otros destinos. El reenvío de IP rara vez es necesario (por ejemplo, cuando se usa la máquina virtual como una aplicación virtual de red) y, por lo tanto, el equipo de seguridad de red debe revisarlo.	AuditIfNotExists, Disabled	3.0.0
Los discos administrados deben deshabilitar el acceso a la red pública	Deshabilitar el acceso a la red pública mejora la seguridad al garantizar que un disco administrado no esté expuesto en Internet de acceso público. La creación de puntos de conexión privados permite limitar el nivel de exposición de los discos administrados. Más información en: https://aka.ms/disksprivatelinksdoc.	Audit, Disabled	2.0.0
Modificación: configurar Azure File Sync para deshabilitar el acceso a la red pública	La directiva de la organización deshabilita el punto de conexión público accesible a Internet de Azure File Sync. Todavía puede acceder al servicio de sincronización de almacenamiento a través de sus puntos de conexión privados.	Modificar, Deshabilitado	1.0.0
Las máquinas virtuales sin conexión a Internet deben protegerse con grupos de seguridad de red	Proteja las máquinas virtuales no accesibles desde Internet de posibles amenazas limitando el acceso con grupos de seguridad de red (NSG). Más información sobre cómo controlar el tráfico con los grupos de seguridad de red en https://aka.ms/nsg-doc.	AuditIfNotExists, Disabled	3.0.0
Las conexiones de punto de conexión privado en Azure SQL Database deben estar habilitadas	Las conexiones de punto de conexión privado garantizan una comunicación segura al habilitar la conectividad privada con Azure SQL Database.	Audit, Disabled	1.1.0
El punto de conexión privado debe estar habilitado para servidores MariaDB	Las conexiones de punto de conexión privado garantizan una comunicación segura al permitir la conectividad privada con Azure Database for MariaDB. Configure una conexión de punto de conexión privado para permitir el acceso al tráfico que solo proviene de redes conocidas y evitar el acceso desde todas las demás direcciones IP, incluido desde Azure.	AuditIfNotExists, Disabled	1.0.2
El punto de conexión privado debe estar habilitado para servidores MySQL	Las conexiones de punto de conexión privado garantizan una comunicación segura al permitir la conectividad privada a Azure Database for MySQL. Configure una conexión de punto de conexión privado para permitir el acceso al tráfico que solo proviene de redes conocidas y evitar el acceso desde todas las demás direcciones IP, incluido desde Azure.	AuditIfNotExists, Disabled	1.0.2
El punto de conexión privado debe estar habilitado para servidores PostgreSQL	Las conexiones de punto de conexión privado garantizan una comunicación segura al permitir la conectividad privada con Azure Database for PostgreSQL. Configure una conexión de punto de conexión privado para permitir el acceso al tráfico que solo proviene de redes conocidas y evitar el acceso desde todas las demás direcciones IP, incluido desde Azure.	AuditIfNotExists, Disabled	1.0.2
El acceso a la red pública debe estar deshabilitado en las instancias de Container Registry	Al deshabilitar el acceso a la red pública, se mejora la seguridad, ya que los registros de contenedor no se exponen en la red pública de Internet. La creación de puntos de conexión privados puede limitar la exposición de los recursos del registro de contenedor. Más información en https://aka.ms/acr/portal/public-network y https://aka.ms/acr/private-link.	Audit, Deny, Disabled	1.0.0
Las subredes deben estar asociadas con un grupo de seguridad de red.	Proteja la subred de posibles amenazas mediante la restricción del acceso con un grupo de seguridad de red (NSG). Estos grupos contienen las reglas de la lista de control de acceso (ACL) que permiten o deniegan el tráfico de red a la subred.	AuditIfNotExists, Disabled	3.0.0
Las máquinas virtuales deben estar conectadas a una red virtual aprobada	Esta directiva audita cualquier máquina virtual conectada a una red virtual que no esté aprobada.	Audit, Deny, Disabled	1.0.0
Las máquinas virtuales deben cifrar los discos temporales, las cachés y los flujos de datos entre los recursos de Proceso y Almacenamiento	De manera predeterminada, los discos del sistema operativo y de datos de una máquina virtual se cifran en reposo mediante claves administradas por la plataforma. Los discos temporales, las memorias caché de datos y los datos que fluyen entre el proceso y el almacenamiento no se cifran. Ignore esta recomendación si: 1. Se utiliza el cifrado en el host, o 2. El cifrado del lado servidor en Managed Disks cumple sus requisitos de seguridad. Obtenga más información en: Cifrado del lado servidor de Azure Disk Storage: https://aka.ms/disksse, Diferentes ofertas de cifrado de disco: https://aka.ms/diskencryptioncomparison	AuditIfNotExists, Disabled	2.0.3
Las redes virtuales deben usar la puerta de enlace de red virtual especificada	Esta directiva audita cualquier red virtual cuya ruta predeterminada no apunte a la puerta de enlace de red virtual especificada.	AuditIfNotExists, Disabled	1.0.0

Resistencia de la red: 10.35

Id.: RMiT 10.35 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Implementación: configuración de la extensión de Log Analytics para habilitarla en los conjuntos de escalado de máquinas virtuales Windows	Implemente la extensión de Log Analytics en conjuntos de escalado de máquinas virtuales Windows si la imagen de la máquina virtual está en la lista definida y la extensión no está instalada. Si establece upgradePolicy del conjunto de escalado en Manual, debe aplicar la extensión a todas las máquinas virtuales del conjunto mediante su actualización. Aviso de desuso: los agentes de Log Analytics están en ruta de desuso y dejarán de tener soporte técnico el 31 de agosto de 2024. Debe migrar al "agente de Azure Monitor" de reemplazo antes de esa fecha.	DeployIfNotExists, Disabled	3.1.0
Network Watcher debe estar habilitado	Network Watcher es un servicio regional que permite supervisar y diagnosticar problemas en un nivel de escenario de red mediante Azure. La supervisión del nivel de escenario permite diagnosticar problemas en una vista de nivel de red de un extremo a otro. Es preciso que se haya creado un grupo de recursos de Network Watcher en todas las regiones en las que haya una red virtual. Si algún grupo de recursos de Network Watcher no está disponible en una región determinada, se habilita una alerta.	AuditIfNotExists, Disabled	3.0.0

Resistencia de la red: 10.38

Id.: RMiT 10.38 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Habilite el aprovisionamiento automático de Security Center del agente de Log Analytics en sus suscripciones con un área de trabajo personalizada.	Permite a Security Center aprovisionar automáticamente el agente de Log Analytics en sus suscripciones para supervisar y recopilar datos de seguridad mediante un área de trabajo personalizada.	DeployIfNotExists, Disabled	1.0.0
Habilite el aprovisionamiento automático de Security Center del agente de Log Analytics en sus suscripciones con el área de trabajo predeterminada.	Permite a Security Center aprovisionar automáticamente el agente de Log Analytics en sus suscripciones para supervisar y recopilar datos de seguridad mediante el área de trabajo predeterminada de ASC.	DeployIfNotExists, Disabled	1.0.0

Resistencia de la red: 10.39

Id.: RMiT 10.39 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Se debe aplicar una directiva IPsec/IKE personalizada a todas las conexiones de puerta de enlace de red virtual de Azure.	Esta directiva garantiza que todas las conexiones de puerta de enlace de Azure Virtual Network usen una directiva personalizada de protocolo de seguridad de Internet (IPsec) o Intercambio de claves por red (IKE). Consulte los algoritmos y los niveles de seguridad de las claves compatibles en https://aka.ms/AA62kb0.	Audit, Disabled	1.0.0
SQL Server debe usar un punto de conexión del servicio de red virtual	Esta directiva audita toda instancia de SQL Server no configurada para usar un punto de conexión del servicio de red virtual.	AuditIfNotExists, Disabled	1.0.0
Las cuentas de almacenamiento deben usar un punto de conexión del servicio de red virtual	Esta directiva audita todas las cuentas de almacenamiento no configuradas para usar un punto de conexión del servicio de red virtual.	Audit, Disabled	1.0.0

Cloud Services

Cloud Services: 10.49

Id.: RMiT 10.49 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las recomendaciones de protección de red adaptable se deben aplicar en las máquinas virtuales accesibles desde Internet	Azure Security Center analiza los patrones de tráfico de máquinas virtuales orientadas a Internet y proporciona recomendaciones de reglas de grupo de seguridad de red que reducen la superficie de ataque potencial.	AuditIfNotExists, Disabled	3.0.0
La ubicación del recurso de auditoría coincide con la del grupo de recursos	Auditoría cuya ubicación de recursos coincide con la ubicación de su grupo de recursos.	auditoría	2.0.0
La limitación de conexiones debe estar habilitada para los servidores de bases de datos PostgreSQL	Esta directiva permite realizar una auditoría de las bases de datos de PostgreSQL del entorno sin la limitación de conexiones habilitada. Esta configuración habilita la limitación de conexiones temporales por IP si hay demasiados errores de inicio de sesión con una contraseña no válida.	AuditIfNotExists, Disabled	1.0.0
Se deben cerrar los puertos de administración en las máquinas virtuales	Los puertos de administración remota abiertos exponen la máquina virtual a un alto nivel de riesgo de recibir ataques basados en Internet. Estos ataques intentan averiguar las credenciales por medio de fuerza bruta a fin de obtener acceso de administrador a la máquina	AuditIfNotExists, Disabled	3.0.0
SQL Database debe evitar el uso de la redundancia de copia de seguridad con almacenamiento con redundancia geográfica	Las bases de datos deben evitar el uso del almacenamiento con redundancia geográfica para las copias de seguridad si las reglas de residencia de datos requieren que estos permanezcan en una región específica. Nota: Azure Policy no se aplica al crear una base de datos mediante T-SQL. A menos que se especifique explícitamente, las bases de datos con almacenamiento de copia de seguridad con redundancia geográfica se crean mediante T-SQL.	Deny, Disabled	2.0.0
Las instancias administradas de SQL deben evitar el uso de redundancia de copia de seguridad con almacenamiento con redundancia geográfica	Las instancias administradas deben evitar el uso del almacenamiento con redundancia geográfica predeterminado para las copias de seguridad si las reglas de residencia de datos requieren que estos permanezcan en una región específica. Nota: Azure Policy no se aplica al crear una base de datos mediante T-SQL. A menos que se especifique explícitamente, las bases de datos con almacenamiento de copia de seguridad con redundancia geográfica se crean mediante T-SQL.	Deny, Disabled	2.0.0

Cloud Services: 10.51

Id.: RMiT 10.51 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las recomendaciones de protección de red adaptable se deben aplicar en las máquinas virtuales accesibles desde Internet	Azure Security Center analiza los patrones de tráfico de máquinas virtuales orientadas a Internet y proporciona recomendaciones de reglas de grupo de seguridad de red que reducen la superficie de ataque potencial.	AuditIfNotExists, Disabled	3.0.0
Auditoría de máquinas virtuales sin la recuperación ante desastres configurada	Audita las máquinas virtuales que no tienen configurada la recuperación ante desastres. Para más información acerca de la recuperación ante desastres, visite https://aka.ms/asr-doc.	auditIfNotExists	1.0.0
La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for MariaDB	Azure Database for MariaDB le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor.	Audit, Disabled	1.0.1
La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for MySQL	Azure Database for MySQL le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor.	Audit, Disabled	1.0.1
La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for PostgreSQL	Azure Database for PostgreSQL le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor.	Audit, Disabled	1.0.1
El almacenamiento con redundancia geográfica debe estar habilitado para las cuentas de almacenamiento	Use la redundancia geográfica para crear aplicaciones de alta disponibilidad.	Audit, Disabled	1.0.0
La copia de seguridad con redundancia geográfica a largo plazo debe estar habilitada para las instancias de Azure SQL Database	Esta directiva audita cualquier instancia de Azure SQL Database que no tenga la copia de seguridad con redundancia geográfica habilitada.	AuditIfNotExists, Disabled	2.0.0

Cloud Services: 10.53

Id.: RMiT 10.53 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
App Configuration debe usar una clave administrada por el cliente	El uso de claves administradas por el cliente proporciona una mejor protección de los datos al permitirle administrar sus claves de cifrado. Esto suele ser necesario para satisfacer los requisitos de cumplimiento.	Audit, Deny, Disabled	1.1.0
El grupo de contenedores de la instancia de Azure Container Instances debe usar una clave administrada por el cliente para el cifrado	Proteja los contenedores con mayor flexibilidad mediante el uso de claves administradas por el cliente. Cuando se especifica una clave administrada por el cliente, esa clave se usa para proteger y controlar el acceso a la clave que cifra los datos. El uso de claves administradas por el cliente proporciona funcionalidades adicionales para controlar la rotación de la clave de cifrado de claves o para borrar datos mediante criptografía.	Audit, Disabled, Deny	1.0.0
Los clústeres de registros de Azure Monitor se deben cifrar con una clave administrada por el cliente	Cree un clúster de registros de Azure Monitor con cifrado de claves administradas por el cliente. De manera predeterminada, los datos de registro se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para satisfacer el cumplimiento normativo. La clave administrada por el cliente en Azure Monitor proporciona un mayor control sobre el acceso a los datos; consulte https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Los registros de contenedor deben cifrarse con una clave administrada por el cliente	Use claves administradas por el cliente para administrar el cifrado en reposo del contenido de los registros. De manera predeterminada, los datos se cifran en reposo con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/acr/CMK.	Audit, Deny, Disabled	1.1.2
Los espacios de nombres deben usar una clave administrada por el cliente para el cifrado	Azure Event Hubs admite la opción de cifrado de datos en reposo con claves administradas por Microsoft (predeterminada) o claves administradas por el cliente. La selección del cifrado de datos mediante claves administradas por el cliente le permite asignar, rotar, deshabilitar y revocar el acceso a las claves que el centro de eventos usará para cifrar los datos en el espacio de nombres. Tenga en cuenta que el centro de eventos solo admite el cifrado con claves administradas por el cliente para los espacios de nombres en clústeres dedicados.	Audit, Disabled	1.0.0
La copia de seguridad con redundancia geográfica debe estar habilitada para Azure Database for MySQL	Azure Database for MySQL le permite elegir la opción de redundancia para el servidor de bases de datos. Se puede establecer en un almacenamiento de copia de seguridad con redundancia geográfica donde los datos no solo se almacenan dentro de la región en la que se hospeda el servidor, sino que también se replican en una región emparejada para proporcionar la opción de recuperación en caso de que se produzca un error en la región. La configuración de almacenamiento con redundancia geográfica para copia de seguridad solo se permite durante la creación del servidor.	Audit, Disabled	1.0.1
Las cuentas de HPC Cache deben usar la clave administrada por el cliente para el cifrado	Administre el cifrado en reposo de Azure HPC Cache con claves administradas por el cliente. De manera predeterminada, los datos del cliente se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración.	Audit, Disabled, Deny	2.0.0
Los discos administrados deben usar un conjunto específico de conjuntos de cifrado de disco para el cifrado de claves administradas por el cliente	Requerir un conjunto específico de los conjuntos de cifrado de disco para usarlo con Managed Disks le ofrece control sobre las claves usadas para el cifrado en reposo. Puede seleccionar los conjuntos cifrados permitidos y todos los demás se rechazan cuando se conectan a un disco. Obtenga más información en https://aka.ms/disks-cmk.	Audit, Deny, Disabled	2.0.0
El SO y los discos de datos deben cifrarse con una clave administrada por el cliente	Use claves administradas por el cliente para administrar el cifrado en reposo del contenido de Managed Disks. De manera predeterminada, los datos se cifran en reposo con claves administradas por la plataforma, pero las claves administradas por el cliente suelen ser necesarias para cumplir los estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración. Obtenga más información en https://aka.ms/disks-cmk.	Audit, Deny, Disabled	3.0.0
Los servidores PostgreSQL deben usar claves administradas por el cliente para cifrar los datos en reposo.	Use claves administradas por el cliente para administrar el cifrado en reposo de los servidores PostgreSQL. De manera predeterminada, los datos se cifran en reposo con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para cumplir estándares de cumplimiento normativo. Las claves administradas por el cliente permiten cifrar los datos con una clave de Azure Key Vault creada por el usuario y propiedad de este. Tiene control y responsabilidad totales del ciclo de vida de la clave, incluidos la rotación y administración.	AuditIfNotExists, Disabled	1.0.4
Las consultas guardadas de Azure Monitor deben guardarse en la cuenta de almacenamiento del cliente para el cifrado de registros	Vincule la cuenta de almacenamiento al área de trabajo de Log Analytics para proteger las consultas guardadas con el cifrado de la cuenta de almacenamiento. Las claves administradas por el cliente suelen ser necesarias para satisfacer el cumplimiento normativo y para tener un mayor control sobre el acceso a las consultas guardadas en Azure Monitor. Para más información sobre lo anterior, consulte https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Los servidores SQL deben usar claves administradas por el cliente para cifrar los datos en reposo	La implementación de Cifrado de datos transparente (TDE) con una clave propia proporciona una mayor transparencia y control sobre el protector de TDE, ofrece mayor seguridad con un servicio externo respaldado con HSM y permite la separación de tareas. Esta recomendación se aplica a las organizaciones con un requisito de cumplimiento relacionado.	Audit, Deny, Disabled	2.0.1
La cuenta de almacenamiento que contiene el contenedor con los registros de actividad debe estar cifrada con BYOK	Esta directiva audita si la cuenta de almacenamiento que contiene el contenedor con los registros de actividad está cifrada con BYOK. Esta directiva solo funciona si la cuenta de almacenamiento se encuentra en la misma suscripción que los registros de actividad por diseño. Se puede encontrar más información sobre el cifrado de Azure Storage en reposo en https://aka.ms/azurestoragebyok.	AuditIfNotExists, Disabled	1.0.0
Las cuentas de almacenamiento deben utilizar una clave administrada por el cliente para el cifrado	Proteja su cuenta de almacenamiento de blobs y archivos con mayor flexibilidad mediante claves administradas por el cliente. Cuando se especifica una clave administrada por el cliente, esa clave se usa para proteger y controlar el acceso a la clave que cifra los datos. El uso de claves administradas por el cliente proporciona funcionalidades adicionales para controlar la rotación de la clave de cifrado de claves o para borrar datos mediante criptografía.	Audit, Disabled	1.0.3

Control de acceso

Access Control: 10.54

Id.: RMiT 10.54 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Deben estar habilitadas para MFA las cuentas con permisos de propietario de los recursos de Azure.	Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de propietario, a fin de evitar una brecha de seguridad en las cuentas o los recursos.	AuditIfNotExists, Disabled	1.0.0
Deben estar habilitadas para MFA las cuentas con permisos de lectura de los recursos de Azure.	Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de lectura, a fin de evitar una brecha de seguridad en las cuentas o los recursos.	AuditIfNotExists, Disabled	1.0.0
Deben estar habilitadas para MFA las cuentas con permisos de escritura de los recursos de Azure.	Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de escritura, a fin de evitar una brecha de seguridad en las cuentas o los recursos.	AuditIfNotExists, Disabled	1.0.0
El administrador de Azure Active Directory debe aprovisionarse para servidores SQL Server	Permite aprovisionar un administrador de Azure Active Directory para SQL Server a fin de habilitar la autenticación de Azure AD. La autenticación de Azure AD permite la administración simplificada de permisos y la administración centralizada de identidades de usuarios de base de datos y otros servicios de Microsoft	AuditIfNotExists, Disabled	1.0.0
App Configuration debe deshabilitar el acceso a la red pública	Al deshabilitar el acceso a la red pública, se mejora la seguridad ya que el recurso no se expone en la red pública de Internet. En su lugar, puede limitar la exposición de los recursos mediante la creación de puntos de conexión privados. Más información en: https://aka.ms/appconfig/private-endpoint.	Audit, Deny, Disabled	1.0.0
Las aplicaciones de App Service deben tener activada la autenticación	La autenticación de Azure App Service es una característica que puede impedir que solicitudes HTTP anónimas lleguen a la aplicación web o autenticar aquellas que tienen tokens antes de que lleguen a la aplicación web.	AuditIfNotExists, Disabled	2.0.1
El control de acceso basado en roles (RBAC) de Azure debe usarse en los servicios de Kubernetes	Para proporcionar un filtrado detallado de las acciones que los usuarios pueden realizar, use el control de acceso basado en rol (RBAC) de Azure para administrar los permisos en los clústeres de Kubernetes Service y configurar las directivas de autorización correspondientes.	Audit, Disabled	1.0.3
Deben quitarse las cuentas bloqueadas con permisos de propietario de los recursos de Azure.	Quitar de la suscripción las cuentas en desuso con permisos de propietario Las cuentas en desuso son cuentas en las que se ha bloqueado el inicio de sesión.	AuditIfNotExists, Disabled	1.0.0
Deben quitarse las cuentas bloqueadas con permisos de lectura y escritura de los recursos de Azure.	Convendría eliminar las cuentas en desuso de las suscripciones. Las cuentas en desuso son cuentas en las que se ha bloqueado el inicio de sesión.	AuditIfNotExists, Disabled	1.0.0
Las aplicaciones de funciones deben tener habilitada la autenticación	La autenticación de Azure App Service es una característica que puede impedir que solicitudes HTTP anónimas lleguen a la aplicación de funciones o autenticar aquellas que tienen tokens antes de que lleguen a la aplicación de funciones.	AuditIfNotExists, Disabled	3.0.0
Las aplicaciones de funciones deben usar la identidad administrada	Usa una identidad administrada para la seguridad de autenticación mejorada.	AuditIfNotExists, Disabled	3.0.0
Deben quitarse las cuentas de invitado con permisos de propietario de los recursos de Azure.	Las cuentas externas con permisos de propietario deben quitarse de la suscripción a fin de evitar el acceso no supervisado.	AuditIfNotExists, Disabled	1.0.0
Deben quitarse las cuentas de invitado con permisos de lectura de los recursos de Azure.	Las cuentas externas con privilegios de lectura deben quitarse de la suscripción a fin de evitar el acceso no supervisado.	AuditIfNotExists, Disabled	1.0.0
Deben quitarse las cuentas de invitado con permisos de escritura de los recursos de Azure.	Las cuentas externas con privilegios de escritura deben quitarse de la suscripción a fin de evitar el acceso no supervisado.	AuditIfNotExists, Disabled	1.0.0
La extensión "Configuración de invitado" debe estar instalada en las máquinas	Para garantizar la seguridad de la configuración de invitado, instale la extensión "Configuración de invitado". La configuración de invitado supervisada en la extensión engloba la configuración del sistema operativo, la configuración o presencia de las aplicaciones y la configuración del entorno. Una vez instaladas, las directivas de invitado estarán disponibles como "La protección contra vulnerabilidades de Windows debe estar habilitada.". Obtenga más información en https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.3
Los puertos de administración de las máquinas virtuales deben protegerse con el control de acceso de red Just-In-Time.	Azure Security Center supervisará el posible acceso de red Just-In-Time (JIT) como recomendaciones.	AuditIfNotExists, Disabled	3.0.0
La extensión "Configuración de invitado" de las máquinas virtuales debe implementarse con una identidad administrada asignada por el sistema	La extensión Configuración de invitado requiere una identidad administrada asignada por el sistema. Si las máquinas virtuales de Azure incluidas en el ámbito de esta directiva tienen instalada la extensión "Configuración de invitado" pero no tienen una identidad administrada asignada por el sistema, no cumplirán los requisitos establecidos. Más información en https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.1

Access Control: 10.55

Id.: RMiT 10.55 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Auditar el uso de roles RBAC personalizados	Permite auditar roles integrados, como "propietario, colaborador, lector" en lugar de roles RBAC personalizados, que son propensos a errores de auditoría. El uso de roles personalizados se trata como una excepción y requiere una revisión rigurosa y el modelado de amenazas.	Audit, Disabled	1.0.1
Las reglas de autorización de la instancia del centro de eventos deben definirse.	Permite auditar la existencia de reglas de autorización en entidades de Event Hub para conceder acceso con privilegios mínimos.	AuditIfNotExists, Disabled	1.0.0
Los contenedores de clúster de Kubernetes solo deben usar funcionalidades permitidas	Restrinja las funcionalidades para reducir la superficie de contenedores expuesta a ataques en un clúster de Kubernetes. Esta recomendación forma parte de las versiones 5.2.8 y 5.2.9 de CIS, diseñadas para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	6.1.0
Los contenedores del clúster de Kubernetes deben ejecutarse con un sistema de archivos raíz de solo lectura	Ejecute contenedores con un sistema de archivos raíz de solo lectura para protegerlos de los cambios en tiempo de ejecución con la incorporación de archivos binarios malintencionados a la ruta de acceso en un clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	6.2.0
Los contenedores y pods de clúster de Kubernetes solo deben ejecutarse con identificadores de usuario y grupo aprobados	Controle los id. de usuario, grupo principal, grupo adicional y grupo de sistema de archivos que los pods y los contenedores pueden usar para ejecutarse en un clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	6.1.1
No permitir contenedores con privilegios en el clúster de Kubernetes	No permita la creación de contenedores con privilegios en un clúster de Kubernetes. Esta recomendación forma parte de la versión 5.2.1 de CIS, diseñada para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	9.1.0
Los clústeres de Kubernetes no deben permitir la elevación de privilegios del contenedor	No permita que los contenedores se ejecuten con elevación de privilegios en la raíz en un clúster de Kubernetes. Esta recomendación forma parte de la versión 5.2.5 de CIS, diseñada para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	7.1.0
Las cuentas de almacenamiento deben permitir el acceso desde los servicios de Microsoft de confianza	Algunos servicios de Microsoft que interactúan con las cuentas de almacenamiento funcionan desde redes a las que no se puede conceder acceso a través de reglas de red. Para ayudar a que este tipo de servicio funcione según lo previsto, permita que el conjunto de servicios de Microsoft de confianza omita las reglas de red. Estos servicios usarán luego una autenticación sólida para acceder a la cuenta de almacenamiento.	Audit, Deny, Disabled	1.0.0

Access Control: 10.58

Id.: RMiT 10.58 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Deben estar habilitadas para MFA las cuentas con permisos de propietario de los recursos de Azure.	Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de propietario, a fin de evitar una brecha de seguridad en las cuentas o los recursos.	AuditIfNotExists, Disabled	1.0.0
Deben estar habilitadas para MFA las cuentas con permisos de lectura de los recursos de Azure.	Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de lectura, a fin de evitar una brecha de seguridad en las cuentas o los recursos.	AuditIfNotExists, Disabled	1.0.0
Deben estar habilitadas para MFA las cuentas con permisos de escritura de los recursos de Azure.	Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de escritura, a fin de evitar una brecha de seguridad en las cuentas o los recursos.	AuditIfNotExists, Disabled	1.0.0

Access Control: 10.60

Id.: RMiT 10.60 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Auditar el uso de roles RBAC personalizados	Permite auditar roles integrados, como "propietario, colaborador, lector" en lugar de roles RBAC personalizados, que son propensos a errores de auditoría. El uso de roles personalizados se trata como una excepción y requiere una revisión rigurosa y el modelado de amenazas.	Audit, Disabled	1.0.1
El control de acceso basado en roles (RBAC) de Azure debe usarse en los servicios de Kubernetes	Para proporcionar un filtrado detallado de las acciones que los usuarios pueden realizar, use el control de acceso basado en rol (RBAC) de Azure para administrar los permisos en los clústeres de Kubernetes Service y configurar las directivas de autorización correspondientes.	Audit, Disabled	1.0.3

Access Control: 10.61

Id.: RMiT 10.61 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Deben estar habilitadas para MFA las cuentas con permisos de propietario de los recursos de Azure.	Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de propietario, a fin de evitar una brecha de seguridad en las cuentas o los recursos.	AuditIfNotExists, Disabled	1.0.0
Deben estar habilitadas para MFA las cuentas con permisos de lectura de los recursos de Azure.	Multi-Factor Authentication (MFA) debe estar habilitada para todas las cuentas de la suscripción que tengan permisos de lectura, a fin de evitar una brecha de seguridad en las cuentas o los recursos.	AuditIfNotExists, Disabled	1.0.0
El control de acceso basado en roles (RBAC) de Azure debe usarse en los servicios de Kubernetes	Para proporcionar un filtrado detallado de las acciones que los usuarios pueden realizar, use el control de acceso basado en rol (RBAC) de Azure para administrar los permisos en los clústeres de Kubernetes Service y configurar las directivas de autorización correspondientes.	Audit, Disabled	1.0.3
Deben quitarse las cuentas bloqueadas con permisos de propietario de los recursos de Azure.	Quitar de la suscripción las cuentas en desuso con permisos de propietario Las cuentas en desuso son cuentas en las que se ha bloqueado el inicio de sesión.	AuditIfNotExists, Disabled	1.0.0
Deben quitarse las cuentas bloqueadas con permisos de lectura y escritura de los recursos de Azure.	Convendría eliminar las cuentas en desuso de las suscripciones. Las cuentas en desuso son cuentas en las que se ha bloqueado el inicio de sesión.	AuditIfNotExists, Disabled	1.0.0
La extensión "Configuración de invitado" debe estar instalada en las máquinas	Para garantizar la seguridad de la configuración de invitado, instale la extensión "Configuración de invitado". La configuración de invitado supervisada en la extensión engloba la configuración del sistema operativo, la configuración o presencia de las aplicaciones y la configuración del entorno. Una vez instaladas, las directivas de invitado estarán disponibles como "La protección contra vulnerabilidades de Windows debe estar habilitada.". Obtenga más información en https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.3
Los puertos de administración de las máquinas virtuales deben protegerse con el control de acceso de red Just-In-Time.	Azure Security Center supervisará el posible acceso de red Just-In-Time (JIT) como recomendaciones.	AuditIfNotExists, Disabled	3.0.0
La extensión "Configuración de invitado" de las máquinas virtuales debe implementarse con una identidad administrada asignada por el sistema	La extensión Configuración de invitado requiere una identidad administrada asignada por el sistema. Si las máquinas virtuales de Azure incluidas en el ámbito de esta directiva tienen instalada la extensión "Configuración de invitado" pero no tienen una identidad administrada asignada por el sistema, no cumplirán los requisitos establecidos. Más información en https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.1

Access Control: 10.62

Id.: RMiT 10.62 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Auditar el uso de roles RBAC personalizados	Permite auditar roles integrados, como "propietario, colaborador, lector" en lugar de roles RBAC personalizados, que son propensos a errores de auditoría. El uso de roles personalizados se trata como una excepción y requiere una revisión rigurosa y el modelado de amenazas.	Audit, Disabled	1.0.1
El control de acceso basado en roles (RBAC) de Azure debe usarse en los servicios de Kubernetes	Para proporcionar un filtrado detallado de las acciones que los usuarios pueden realizar, use el control de acceso basado en rol (RBAC) de Azure para administrar los permisos en los clústeres de Kubernetes Service y configurar las directivas de autorización correspondientes.	Audit, Disabled	1.0.3

Administración del sistema de revisión y fin de ciclo de vida

Administración del sistema de revisión y fin de ciclo de vida: 10.63

Id.: RMiT 10.63 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Microsoft Antimalware para Azure debe estar configurado para actualizar automáticamente las firmas de protección.	Esta directiva audita cualquier máquina virtual de Windows que no esté configurada con la actualización automática de firmas de protección de Microsoft Antimalware.	AuditIfNotExists, Disabled	1.0.0
Se deben instalar las actualizaciones del sistema en los conjuntos de escalado de máquinas virtuales	Audite si falta alguna actualización de seguridad del sistema o actualización crítica que deba instalarse para garantizar que los conjuntos de escalado de máquinas virtuales Windows y Linux sean seguros.	AuditIfNotExists, Disabled	3.0.0

Administración del sistema de revisión y fin de ciclo de vida: 10.65

Id.: RMiT 10.65 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Kubernetes Services se debe actualizar a una versión de Kubernetes no vulnerable	Actualice el clúster de servicio de Kubernetes a una versión de Kubernetes posterior para protegerse frente a vulnerabilidades conocidas en la versión actual de Kubernetes. La vulnerabilidad CVE-2019-9946 se ha revisado en las versiones de Kubernetes 1.11.9+, 1.12.7+, 1.13.5+ y 1.14.0+	Audit, Disabled	1.0.2
Se deben instalar actualizaciones del sistema en las máquinas	Azure Security Center supervisará las actualizaciones del sistema de seguridad que faltan en los servidores como recomendaciones.	AuditIfNotExists, Disabled	4.0.0
Se deben corregir las vulnerabilidades en la configuración de seguridad de los conjuntos de escalado de máquinas virtuales	Audite las vulnerabilidades del sistema operativo en los conjuntos de escalado de máquinas virtuales para protegerlos frente a ataques.	AuditIfNotExists, Disabled	3.0.0

Seguridad de los servicios digitales

Seguridad de los servicios digitales: 10.66

Id.: RMiT 10.66 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
El registro de actividad debe conservarse durante al menos un año	Esta directiva audita el registro de actividad si la retención no se estableció en 365 días o en siempre (días de retención establecidos en 0).	AuditIfNotExists, Disabled	1.0.0
Las aplicaciones de App Service deben tener activados los registros de recursos	Audite la habilitación de los registros de recursos en la aplicación. Esto le permite volver a crear seguimientos de actividad con fines de investigación si se produce un incidente de seguridad o se pone en peligro la red.	AuditIfNotExists, Disabled	2.0.1
Audite la configuración de diagnóstico para los tipos de recursos seleccionados.	Audite la configuración de diagnóstico para los tipos de recursos seleccionados. Asegúrese de seleccionar solo los tipos de recursos que admiten la configuración de diagnóstico.	AuditIfNotExists	2.0.1
El perfil de registro de Azure Monitor debe recopilar los registros de las categorías "write", "delete" y "action"	Esta directiva garantiza que un perfil de registro recopile registros para las categorías "write", "delete" y "action".	AuditIfNotExists, Disabled	1.0.0
Los registros de Azure Monitor para Application Insights deben vincularse a un área de trabajo de Log Analytics	Vincule el componente de Application Insights a un área de trabajo de Log Analytics para el cifrado de los registros. Las claves administradas por el cliente suelen ser necesarias para satisfacer el cumplimiento normativo y para tener un mayor control sobre el acceso a los datos en Azure Monitor. La vinculación del componente a un área de trabajo de Log Analytics habilitada con una clave administrada por el cliente garantiza que los registros de Application Insights satisfacen este requisito de cumplimiento; consulte https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Azure Monitor debe recopilar los registros de actividad de todas las regiones	Esta directiva audita el perfil de registro de Azure Monitor que no exporta actividades de todas las regiones admitidas de Azure, incluida la global.	AuditIfNotExists, Disabled	2.0.0
Se debe implementar la solución "Security and Audit" de Azure Monitor	Esta directiva garantiza que se implementa Security and Audit.	AuditIfNotExists, Disabled	1.0.0
Las suscripciones a Azure deben tener un perfil de registro para el registro de actividad	Esta directiva garantiza que un perfil de registro esté habilitado para la exportación de registros de actividad. Audita si no hay ningún perfil de registro creado para exportar los registros a una cuenta de almacenamiento o a un centro de eventos.	AuditIfNotExists, Disabled	1.0.0
Implementación: configuración de diagnóstico para instancias de SQL Database en el área de trabajo de Log Analytics	Implementa la configuración de diagnóstico para que las instancias de SQL Database transmitan los registros de recursos a un área de trabajo de Log Analytics cuando se cree o actualice cualquier instancia de SQL Database en la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	4.0.0
Implementación: configuración de la extensión de Log Analytics para habilitarla en máquinas virtuales Windows	Implemente la extensión de Log Analytics en máquinas virtuales Windows si la imagen de la máquina virtual está en la lista definida y la extensión no está instalada. Aviso de desuso: los agentes de Log Analytics están en ruta de desuso y dejarán de tener soporte técnico el 31 de agosto de 2024. Debe migrar al "agente de Azure Monitor" de reemplazo antes de esa fecha.	DeployIfNotExists, Disabled	3.1.0
Implementar la configuración de diagnóstico para una cuenta de Batch en un centro de eventos	Implementa la configuración de diagnóstico para que la cuenta de Batch se transmita a un centro de eventos regional cuando se cree o actualice cualquier cuenta de Batch a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	2.0.0
Implementar la configuración de diagnóstico para una cuenta de Batch en un área de trabajo de Log Analytics	Implementa la configuración de diagnóstico para que la cuenta de Batch se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier cuenta de Batch a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	1.0.0
Implementar la configuración de diagnóstico de Data Lake Analytics en un centro de eventos	Implementa la configuración de diagnóstico para que la instancia de Data Lake Analytics se transmita a un centro de eventos regional cuando se cree o actualice cualquier instancia de Data Lake Analytics a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	2.0.0
Implementar la configuración de diagnóstico de Data Lake Analytics en un área de trabajo de Log Analytics	Implementa la configuración de diagnóstico para que la instancia de Data Lake Analytics se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Data Lake Analytics a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	1.0.0
Implementar la configuración de diagnóstico de Data Lake Storage Gen1 en un centro de eventos	Implementa la configuración de diagnóstico para que la instancia de Data Lake Storage Gen1 se transmita a un centro de eventos regional cuando se cree o actualice cualquier instancia de Data Lake Storage Gen1 a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	2.0.0
Implementar la configuración de diagnóstico de Data Lake Storage Gen1 en un área de trabajo de Log Analytics	Implementa la configuración de diagnóstico para que la instancia de Data Lake Storage Gen1 se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Data Lake Storage Gen1 a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	1.0.0
Implementar la configuración de diagnóstico para Event Hubs en un centro de eventos	Implementa la configuración de diagnóstico para que Event Hubs se transmita a un centro de eventos regional cuando se cree o actualice cualquier instancia de Event Hubs a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	2.1.0
Implementar la configuración de diagnóstico para Event Hubs en un área de trabajo de Log Analytics	Implementa la configuración de diagnóstico para que Event Hubs se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Event Hubs a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	2.0.0
Implementar la configuración de diagnóstico para Key Vault en un área de trabajo de Log Analytics	Implementa la configuración de diagnóstico para que Key Vault se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Key Vault a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	3.0.0
Implementar la configuración de diagnóstico para Logic Apps en un centro de eventos	Implementa la configuración de diagnóstico para que Logic Apps se transmita a un centro de eventos regional cuando se cree o actualice cualquier instancia de Logic Apps a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	2.0.0
Implementar la configuración de diagnóstico de Logic Apps en el área de trabajo de Log Analytics	Implementa la configuración de diagnóstico para que Logic Apps se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Logic Apps a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	1.0.0
Implementar la configuración de diagnóstico de los servicios de búsqueda en el centro de eventos	Implementa la configuración de diagnóstico para que Search Services se transmita a un Centro de eventos regional cuando se cree o actualice cualquier instancia de Search Services a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	2.0.0
Implementar la configuración de diagnóstico de los servicios de búsqueda en el área de trabajo de Log Analytics	Implementa la configuración de diagnóstico para que Search Services se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Search Services a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	1.0.0
Implementar la configuración de diagnóstico de Service Bus en el Centro de eventos	Implementa la configuración de diagnóstico para que Service Bus se transmita a un Centro de eventos regional cuando se cree o actualice cualquier instancia de Service Bus a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	2.0.0
Implementar la configuración de diagnóstico de Service Bus en el área de trabajo de Log Analytics	Implementa la configuración de diagnóstico para que Service Bus se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Service Bus a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	2.1.0
Implementar la configuración de diagnóstico de Stream Analytics en el Centro de eventos	Implementa la configuración de diagnóstico para que Stream Analytics se transmita a un Centro de eventos regional cuando se cree o actualice cualquier instancia de Stream Analytics a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	2.0.0
Implementar la configuración de diagnóstico de Stream Analytics en el área de trabajo de Log Analytics	Implementa la configuración de diagnóstico para que Stream Analytics se transmita a un área de trabajo de Log Analytics regional cuando se cree o actualice cualquier instancia de Stream Analytics a la que falte esta configuración de diagnóstico.	DeployIfNotExists, Disabled	1.0.0
La extensión de Log Analytics debe estar habilitada en los conjuntos de escalado de máquinas virtuales para las imágenes de máquina virtual enumeradas	Notifica que los conjuntos de escalado de máquinas virtuales no son compatibles si la imagen de máquina virtual no está en la lista definida y la extensión no está instalada.	AuditIfNotExists, Disabled	2.0.1
Los registros de recursos del HSM administrado de Azure Key Vault deben estar habilitados.	Para volver a crear seguimientos de actividad con fines de investigación cuando se produce un incidente de seguridad o cuando la red se ve comprometida, es posible que desee realizar auditorías habilitando los registros de recursos en HSM administrados. Siga las instrucciones que encontrará aquí: https://docs.microsoft.com/azure/key-vault/managed-hsm/logging.	AuditIfNotExists, Disabled	1.1.0
Los registros de recursos de Key Vault deben estar habilitados	Habilitación de la auditoría de los registros de recursos. De esta forma, puede volver a crear seguimientos de actividad con fines de investigación en caso de incidentes de seguridad o riesgos para la red.	AuditIfNotExists, Disabled	5.0.0
La extensión de Log Analytics debe instalarse en conjuntos de escalado de máquinas virtuales	Esta directiva audita todo conjunto de escalado de máquinas virtuales Windows o Linux si la extensión de Log Analytics no está instalada.	AuditIfNotExists, Disabled	1.0.1
Las máquinas virtuales deben tener la extensión de Log Analytics instalada	Esta directiva audita todas las máquinas virtuales Windows o Linux si la extensión de Log Analytics no está instalada.	AuditIfNotExists, Disabled	1.0.1

Seguridad de los servicios digitales: 10.68

Id.: RMiT 10.68 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las aplicaciones de App Service deben usar la última versión de TLS	Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de App Service con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión.	AuditIfNotExists, Disabled	2.0.1
Las aplicaciones de funciones deben usar la última versión de TLS	Se publican versiones más recientes de TLS de forma periódica debido a brechas de seguridad, para incluir más funcionalidad e incrementar la velocidad. Actualice a la última versión de TLS para las aplicaciones de funciones con el fin de aprovechar las correcciones de seguridad, en caso de haberlas, o las nuevas funcionalidades de la última versión.	AuditIfNotExists, Disabled	2.0.1

Denegación de servicio distribuido (DDoS)

Denegación de servicio distribuido (DDoS): 11.13

Id.: RMiT 11.13 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Azure Web Application Firewall debe estar habilitado para los puntos de entrada de Azure Front Door	Implemente Azure Web Application Firewall (WAF) delante de las aplicaciones web de acceso público para una inspección adicional del tráfico entrante. Web Application Firewall (WAF) ofrece una protección centralizada de las aplicaciones web frente a vulnerabilidades de seguridad comunes, como la inyección de SQL, el scripting entre sitios y las ejecuciones de archivos locales y remotas. También permite restringir el acceso a las aplicaciones web por países, intervalos de direcciones IP y otros parámetros http(s) por medio de reglas personalizadas.	Audit, Deny, Disabled	1.0.2

Prevención de pérdida de datos (DLP)

Prevención de pérdida de datos (DLP): 11.15

Id.: RMiT 11.15 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
El HSM administrado de Azure Key Vault debe tener habilitada la protección contra purgas.	La eliminación malintencionada de un HSM administrado de Azure Key Vault puede provocar una pérdida de datos permanente. Un usuario malintencionado de la organización puede eliminar y purgar HSM administrados de Azure Key Vault. La protección contra purgas le protege frente a ataques internos mediante la aplicación de un período de retención obligatorio para HSM administrados de Azure Key Vault eliminados temporalmente. Ningún usuario de su organización o Microsoft podrá purgar HSM administrados de Azure Key Vault durante el período de retención de eliminación temporal.	Audit, Deny, Disabled	1.0.0
Los clústeres de registros de Azure Monitor se deben cifrar con una clave administrada por el cliente	Cree un clúster de registros de Azure Monitor con cifrado de claves administradas por el cliente. De manera predeterminada, los datos de registro se cifran con claves administradas por el servicio, pero las claves administradas por el cliente suelen ser necesarias para satisfacer el cumplimiento normativo. La clave administrada por el cliente en Azure Monitor proporciona un mayor control sobre el acceso a los datos; consulte https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys.	audit, Audit, deny, Deny, disabled, Disabled	1.1.0
Configurar App Configuration para deshabilitar el acceso a la red pública	Deshabilite el acceso a la red pública en App Configuration de modo que no sea accesible a través de la red pública de Internet. Esta configuración le ayudará a protegerlo contra los riesgos de pérdida de datos. En su lugar, puede limitar la exposición de los recursos mediante la creación de puntos de conexión privados. Más información en: https://aka.ms/appconfig/private-endpoint.	Modificar, Deshabilitado	1.0.0
Configurar Azure SQL Server para deshabilitar el acceso a la red pública	Al deshabilitar la propiedad de acceso a la red pública se cierra la conectividad pública, de modo que solo se puede tener acceso a Azure SQL Server desde un punto de conexión privado. Esta configuración deshabilita el acceso a la red pública para todas las bases de datos de Azure SQL Server.	Modificar, Deshabilitado	1.0.0
Configurar las instancias de Container Registry para deshabilitar el acceso a la red pública	Deshabilite el acceso a la red pública para el recurso de Container Registry de modo que no sea accesible a través de la red pública de Internet. Esto puede reducir los riesgos de pérdida de datos. Más información en https://aka.ms/acr/portal/public-network y https://aka.ms/acr/private-link.	Modificar, Deshabilitado	1.0.0
Configurar discos administrados para deshabilitar el acceso a la red pública	Deshabilite el acceso a la red pública para el recurso de disco administrado para que no sea accesible a través de Internet de acceso público. Esto puede reducir los riesgos de pérdida de datos. Más información en: https://aka.ms/disksprivatelinksdoc.	Modificar, Deshabilitado	2.0.0
La aplicación de la conexión SSL debe estar habilitada para los servidores de base de datos PostgreSQL	Azure Database for PostgreSQL permite conectar el servidor de Azure Database for PostgreSQL a las aplicaciones cliente mediante la Capa de sockets seguros (SSL). La aplicación de conexiones SSL entre el servidor de bases de datos y las aplicaciones cliente facilita la protección frente a ataques de tipo "Man in the middle" al cifrar el flujo de datos entre el servidor y la aplicación. Esta configuración exige que SSL esté siempre habilitado para el acceso al servidor de bases de datos.	Audit, Disabled	1.0.1
Los almacenes de claves deben tener habilitada la protección contra eliminación	La eliminación malintencionada de un almacén de claves puede provocar una pérdida de datos permanente. Puede evitar la pérdida permanente de datos habilitando la protección de purga y la eliminación temporal. La protección contra purgas le protege frente a ataques internos mediante la aplicación de un período de retención obligatorio para almacenes de claves eliminados temporalmente. Ningún usuario de su organización o Microsoft podrá purgar los almacenes de claves durante el período de retención de eliminación temporal. Tenga en cuenta que los almacenes de claves creados después del 1 de septiembre de 2019 tienen habilitada la eliminación temporal de manera predeterminada.	Audit, Deny, Disabled	2.1.0
Los almacenes de claves deben tener habilitada la eliminación temporal	Si se elimina un almacén de claves que no tenga habilitada la eliminación temporal, se eliminarán permanentemente todos los secretos, claves y certificados almacenados en ese almacén de claves. La eliminación accidental de un almacén de claves puede provocar una pérdida de datos permanente. La eliminación temporal permite recuperar un almacén de claves eliminado accidentalmente durante un período de retención configurable.	Audit, Deny, Disabled	3.0.0
Los discos administrados deben deshabilitar el acceso a la red pública	Deshabilitar el acceso a la red pública mejora la seguridad al garantizar que un disco administrado no esté expuesto en Internet de acceso público. La creación de puntos de conexión privados permite limitar el nivel de exposición de los discos administrados. Más información en: https://aka.ms/disksprivatelinksdoc.	Audit, Disabled	2.0.0
Los discos administrados deben usar un conjunto específico de conjuntos de cifrado de disco para el cifrado de claves administradas por el cliente	Requerir un conjunto específico de los conjuntos de cifrado de disco para usarlo con Managed Disks le ofrece control sobre las claves usadas para el cifrado en reposo. Puede seleccionar los conjuntos cifrados permitidos y todos los demás se rechazan cuando se conectan a un disco. Obtenga más información en https://aka.ms/disks-cmk.	Audit, Deny, Disabled	2.0.0
Modificación: configurar Azure File Sync para deshabilitar el acceso a la red pública	La directiva de la organización deshabilita el punto de conexión público accesible a Internet de Azure File Sync. Todavía puede acceder al servicio de sincronización de almacenamiento a través de sus puntos de conexión privados.	Modificar, Deshabilitado	1.0.0
Las instancias administradas de SQL deben usar claves administradas por el cliente para cifrar los datos en reposo	La implementación de Cifrado de datos transparente (TDE) con una clave propia proporciona una mayor transparencia y control sobre el protector de TDE, ofrece mayor seguridad con un servicio externo respaldado con HSM y permite la separación de tareas. Esta recomendación se aplica a las organizaciones con un requisito de cumplimiento relacionado.	Audit, Deny, Disabled	2.0.0
El cifrado de datos transparente en bases de datos SQL debe estar habilitado	El cifrado de datos transparente debe estar habilitado para proteger los datos en reposo y satisfacer los requisitos de cumplimiento.	AuditIfNotExists, Disabled	2.0.0

Centro de operaciones de seguridad (SOC)

Centro de operaciones de seguridad (SOC): 11.17

Id.: RMiT 11.17 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Se deben actualizar las reglas de la lista de permitidos de la directiva de controles de aplicaciones adaptables	Supervise los cambios en el comportamiento de los grupos de máquinas configurados para la auditoría mediante controles de aplicaciones adaptables de Azure Security Center. Security Center usa el aprendizaje automático para analizar los procesos en ejecución en las máquinas y sugerir una lista de aplicaciones seguras conocidas. Estas se presentan como aplicaciones recomendadas que se deben permitir en directivas de control de aplicaciones adaptables.	AuditIfNotExists, Disabled	3.0.0
Los intervalos IP autorizados deben definirse en los servicios de Kubernetes	Restrinja el acceso a la API de administración de servicios de Kubernetes mediante la concesión de acceso de API solo a direcciones IP en intervalos específicos. Se recomienda limitar el acceso a los intervalos IP autorizados para garantizar que solo las aplicaciones de las redes permitidas puedan acceder al clúster.	Audit, Disabled	2.0.1
La opción para enviar notificaciones por correo electrónico al propietario de la suscripción en relación a alertas de gravedad alta debe estar habilitada.	Para asegurarse de que los propietarios de suscripciones reciban una notificación cuando se produzca una vulneración de seguridad potencial en sus suscripciones, establezca notificaciones por correo electrónico a los propietarios de las suscripciones de alertas de gravedad alta en Security Center.	AuditIfNotExists, Disabled	2.1.0
La solución de protección del punto de conexión debe instalarse en las máquinas virtuales	Audite la existencia y el estado de una solución de protección de puntos de conexión en los conjuntos de escalado de máquinas virtuales para protegerlos frente a amenazas y vulnerabilidades.	AuditIfNotExists, Disabled	3.0.0

Centro de operaciones de seguridad (SOC): 11.18

Id.: RMiT 11.18 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
La auditoría de SQL Server debe estar habilitada	La auditoría debe estar habilitada en SQL Server para realizar un seguimiento de las actividades de todas las bases de datos del servidor y guardarlas en un registro de auditoría.	AuditIfNotExists, Disabled	2.0.0
El aprovisionamiento automático del agente de Log Analytics debe estar habilitado en la suscripción	A fin de supervisar las amenazas y vulnerabilidades de seguridad, Azure Security Center recopila datos de las máquinas virtuales de Azure. El agente de Log Analytics, anteriormente conocido como Microsoft Monitoring Agent (MMA), recopila los datos al leer distintas configuraciones relacionadas con la seguridad y distintos registros de eventos de la máquina y copiar los datos en el área de trabajo de Log Analytics para analizarlos. Se recomienda habilitar el aprovisionamiento automático para implementar automáticamente el agente en todas las máquinas virtuales de Azure admitidas y en las nuevas que se creen.	AuditIfNotExists, Disabled	1.0.1
Azure DDoS Protection debe estar habilitado	DDoS Protection debe estar habilitado en todas las redes virtuales que tengan una subred que forme parte de una instancia de Application Gateway con una dirección IP pública.	AuditIfNotExists, Disabled	3.0.1
Se debe habilitar Azure Defender para servidores de Azure SQL Database	Azure Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales.	AuditIfNotExists, Disabled	1.0.2
Las desconexiones se deben registrar para los servidores de base de datos de PostgreSQL.	Esta directiva ayuda a realizar una auditoría de las bases de datos de PostgreSQL del entorno sin habilitar la opción log_disconnections.	AuditIfNotExists, Disabled	1.0.0
La opción para enviar notificaciones por correo electrónico para alertas de gravedad alta debe estar habilitada.	Para asegurarse de que las personas pertinentes de la organización reciban una notificación cuando se produzca una vulneración de seguridad potencial en una de las suscripciones, habilite las notificaciones por correo electrónico de alertas de gravedad alta en Security Center.	AuditIfNotExists, Disabled	1.1.0
El agente de Log Analytics debe instalarse en la máquina virtual para la supervisión de Azure Security Center.	Esta directiva audita cualquier máquina virtual Windows o Linux si el agente de Log Analytics no está instalado y Security Center la utiliza para supervisar las amenazas y vulnerabilidades de seguridad	AuditIfNotExists, Disabled	1.0.0
El agente de Log Analytics debe instalarse en sus conjuntos de escalado de máquinas virtuales para supervisar Azure Security Center.	Security Center recopila datos de las máquinas virtuales de Azure para supervisar las amenazas y vulnerabilidades de la seguridad.	AuditIfNotExists, Disabled	1.0.0
Los puntos de control del registro se deben habilitar para los servidores de base de datos de PostgreSQL	Esta directiva ayuda a realizar una auditoría de las bases de datos de PostgreSQL del entorno sin habilitar la opción log_checkpoints.	AuditIfNotExists, Disabled	1.0.0
Las conexiones del registro deben estar habilitadas para los servidores de bases de datos de PostgreSQL	Esta directiva ayuda a realizar una auditoría de las bases de datos de PostgreSQL del entorno sin habilitar la opción log_connections.	AuditIfNotExists, Disabled	1.0.0
La duración del registro debe estar habilitada para los servidores de bases de datos de PostgreSQL	Esta directiva ayuda a realizar una auditoría de las bases de datos de PostgreSQL del entorno sin habilitar la opción log_duration.	AuditIfNotExists, Disabled	1.0.0
Los registros de recursos de la instancia de Event Hubs deben estar habilitados.	Habilitación de la auditoría de los registros de recursos. Esto le permite volver a crear seguimientos de actividad con fines de investigación en caso de incidente de seguridad o riesgo para la red.	AuditIfNotExists, Disabled	5.0.0
La configuración de auditoría de SQL debe tener grupos de acción configurados para capturar actividades críticas	La propiedad AuditActionsAndGroups debe contener al menos SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP, BATCH_COMPLETED_GROUP para garantizar un registro de auditoría exhaustivo.	AuditIfNotExists, Disabled	1.0.0
Las suscripciones deben tener una dirección de correo electrónico de contacto para los problemas de seguridad	Para asegurarse de que las personas pertinentes de la organización reciban una notificación cuando se produzca una vulneración de seguridad potencial en una de las suscripciones, establezca un contacto de seguridad para la recepción de notificaciones por correo electrónico de Security Center.	AuditIfNotExists, Disabled	1.0.1

Centro de operaciones de seguridad (SOC): 11.20

Id.: RMiT 11.20 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las máquinas virtuales y los conjuntos de escalado de máquinas virtuales deben tener habilitado el cifrado en el host	Use el cifrado en el host para obtener el cifrado de un extremo a otro para la máquina virtual y los datos del conjunto de escalado de máquinas virtuales. El cifrado en el host permite el cifrado en reposo para las memorias caché de disco temporal y de sistema operativo y de datos. Los discos temporales y los discos de SO efímeros se cifran con claves administradas por la plataforma cuando se habilita el cifrado en el host. Las memorias caché del disco de datos y de sistema operativo se cifran en reposo con claves administradas por el cliente o por la plataforma, según el tipo de cifrado seleccionado en el disco. Obtenga más información en https://aka.ms/vm-hbe.	Audit, Deny, Disabled	1.0.0

Administración de riesgos cibernéticos

Administración de riesgos cibernéticos: 11.2

Id.: RMiT 11.2 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las máquinas virtuales y los conjuntos de escalado de máquinas virtuales deben tener habilitado el cifrado en el host	Use el cifrado en el host para obtener el cifrado de un extremo a otro para la máquina virtual y los datos del conjunto de escalado de máquinas virtuales. El cifrado en el host permite el cifrado en reposo para las memorias caché de disco temporal y de sistema operativo y de datos. Los discos temporales y los discos de SO efímeros se cifran con claves administradas por la plataforma cuando se habilita el cifrado en el host. Las memorias caché del disco de datos y de sistema operativo se cifran en reposo con claves administradas por el cliente o por la plataforma, según el tipo de cifrado seleccionado en el disco. Obtenga más información en https://aka.ms/vm-hbe.	Audit, Deny, Disabled	1.0.0

Administración de riesgos cibernéticos: 11.4

Id.: RMiT 11.4 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Configurar la copia de seguridad en las máquinas virtuales sin una etiqueta específica en un almacén de Recovery Services existente en la misma ubicación	Aplique la copia de seguridad de todas las máquinas virtuales; para ello, realice una copia de seguridad en un almacén de Recovery Services central que se encuentre en la misma ubicación y suscripción que la máquina virtual. Esto resulta útil cuando hay un equipo central en la organización que administra las copias de seguridad de todos los recursos de una suscripción. Opcionalmente, puede excluir las máquinas virtuales que contengan una etiqueta específica para controlar el ámbito de la asignación. Vea https://aka.ms/AzureVMCentralBackupExcludeTag.	auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, disabled, Disabled	9.2.0
Tipos de recursos no permitidos	Restrinja qué tipos de recursos se pueden implementar en el entorno. Limitar los tipos de recursos puede reducir la complejidad y la superficie expuesta a ataques de su entorno a la vez que también ayuda a administrar los costos. Los resultados de cumplimiento solo se muestran para los recursos no compatibles.	Audit, Deny, Disabled	2.0.0
Solo deben instalarse las extensiones de máquina virtual aprobadas	Esta directiva rige las extensiones de máquina virtual que no están aprobadas.	Audit, Deny, Disabled	1.0.0

Operaciones de ciberseguridad

Operaciones de ciberseguridad: 11.5

Id.: RMiT 11.5 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Se debe habilitar Azure Defender para App Service	Azure Defender para App Service aprovecha la escalabilidad de la nube, y la visibilidad que ofrece Azure como proveedor de servicios en la nube, para supervisar si se producen ataques comunes a aplicaciones web.	AuditIfNotExists, Disabled	1.0.3
Se debe habilitar Azure Defender para servidores	Azure Defender para servidores proporciona protección en tiempo real contra amenazas para las cargas de trabajo del servidor y genera recomendaciones de protección, así como alertas sobre la actividad sospechosa.	AuditIfNotExists, Disabled	1.0.3
Se debe habilitar Azure Defender para servidores SQL Server en las máquinas	Azure Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales.	AuditIfNotExists, Disabled	1.0.2
Implementación de Defender para Storage (Clásico) en cuentas de almacenamiento	Esta directiva habilita Defender para Storage (clásico) en cuentas de almacenamiento.	DeployIfNotExists, Disabled	1.0.1
Microsoft Defender para contenedores debería estar habilitado	Microsoft Defender para contenedores proporciona protección, evaluación de vulnerabilidades y protecciones en tiempo de ejecución para los entornos de Kubernetes de Azure, híbridos y multinube.	AuditIfNotExists, Disabled	1.0.0
Se debe habilitar Microsoft Defender para Storage	Microsoft Defender para Storage detecta amenazas potenciales para sus cuentas de almacenamiento. Ayuda a evitar los tres impactos principales en los datos y la carga de trabajo: cargas de archivos malintencionadas, filtración de datos confidenciales y datos dañados. El nuevo plan de Defender para Storage incluye Examen de malware y Detección de amenazas de datos confidenciales. Este plan también ofrece una estructura de precios predecible (por cuenta de almacenamiento) para controlar la cobertura y los costes.	AuditIfNotExists, Disabled	1.0.0

Operaciones de ciberseguridad: 11.8

Id.: RMiT 11.8 Propiedad: Compartido

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Debe habilitarse una solución de evaluación de vulnerabilidades en sus máquinas virtuales	Audita las máquinas virtuales para detectar si ejecutan una solución de evaluación de vulnerabilidades admitida. Un componente fundamental de cada programa de seguridad y riesgo cibernético es la identificación y el análisis de las vulnerabilidades. El plan de tarifa estándar de Azure Security Center incluye el análisis de vulnerabilidades de las máquinas virtuales sin costo adicional. Además, Security Center puede implementar automáticamente esta herramienta.	AuditIfNotExists, Disabled	3.0.0
La evaluación de vulnerabilidades debe estar habilitada en Instancia administrada de SQL	Audita cada servicio SQL Managed Instance que no tiene habilitado los exámenes de evaluación de vulnerabilidades periódicos. La evaluación de vulnerabilidades permite detectar las vulnerabilidades potenciales de la base de datos, así como hacer un seguimiento y ayudar a corregirlas.	AuditIfNotExists, Disabled	1.0.1
La evaluación de vulnerabilidades debe estar activada en sus servidores de SQL Server	Auditoría de los servidores Azure SQL que no tienen configurada correctamente la evaluación de vulnerabilidades. La evaluación de vulnerabilidades permite detectar las vulnerabilidades potenciales de la base de datos, así como hacer un seguimiento y ayudar a corregirlas.	AuditIfNotExists, Disabled	3.0.0

Medidas de control sobre ciberseguridad

Medidas de control sobre ciberseguridad: anexo 5.2

Id.: Anexo 5.2 de RMiT Propiedad: Cliente

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Los controles de aplicaciones adaptables para definir aplicaciones seguras deben estar habilitados en las máquinas	Habilite controles de aplicaciones para definir la lista de aplicaciones seguras conocidas que se ejecutan en las máquinas, y recibir avisos cuando se ejecuten otras aplicaciones. Esta directiva también ayuda a proteger las máquinas frente al malware. Para simplificar el proceso de configuración y mantenimiento de las reglas, Security Center usa el aprendizaje automático para analizar las aplicaciones que se ejecutan en cada máquina y sugerir la lista de aplicaciones seguras conocidas.	AuditIfNotExists, Disabled	3.0.0
Se deben corregir las vulnerabilidades en la configuración de seguridad en las máquinas	Azure Security Center supervisará los servidores que no cumplan la línea de base configurada como recomendaciones.	AuditIfNotExists, Disabled	3.1.0

Medidas de control sobre ciberseguridad: anexo 5.3

Id.: Anexo 5.3 de RMiT Propiedad: Cliente

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Las aplicaciones de App Service no deberían tener CORS configurado para permitir que todos los recursos accedan a sus aplicaciones	El uso compartido de recursos entre orígenes (CORS) no debe permitir que todos los dominios accedan a la aplicación. Permita la interacción con la aplicación solo de los dominios requeridos.	AuditIfNotExists, Disabled	2.0.0
Las aplicaciones de App Service solo deben ser accesibles a través de HTTPS	El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red.	Audit, Disabled, Deny	4.0.0
Las aplicaciones de App Service deben requerir solo FTPS	Habilite el cumplimiento con FTPS para mejorar la seguridad.	AuditIfNotExists, Disabled	3.0.0
Las aplicaciones de App Service deben utilizar la última "versión HTTP"	A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes de HTTP. Para las aplicaciones web, use la versión más reciente de HTTP con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente.	AuditIfNotExists, Disabled	4.0.0
Las aplicaciones de funciones solo deberían ser accesibles a través de HTTPS	El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red.	Audit, Disabled, Deny	5.0.0
Las aplicaciones de funciones solo deben requerir FTPS	Habilite el cumplimiento con FTPS para mejorar la seguridad.	AuditIfNotExists, Disabled	3.0.0
Las aplicaciones de funciones deben usar la última "versión de HTTP"	A causa de errores de seguridad o para incluir funcionalidades, se publican de forma periódica versiones más recientes de HTTP. Para las aplicaciones web, use la versión más reciente de HTTP con el fin de aprovechar las correcciones de seguridad, de haberlas, o las nuevas funcionalidades de la versión más reciente.	AuditIfNotExists, Disabled	4.0.0

Medidas de control sobre ciberseguridad: anexo 5.5

Id.: Anexo 5.5 de RMiT Propiedad: Cliente

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Se debe aplicar una directiva IPsec/IKE personalizada a todas las conexiones de puerta de enlace de red virtual de Azure.	Esta directiva garantiza que todas las conexiones de puerta de enlace de Azure Virtual Network usen una directiva personalizada de protocolo de seguridad de Internet (IPsec) o Intercambio de claves por red (IKE). Consulte los algoritmos y los niveles de seguridad de las claves compatibles en https://aka.ms/AA62kb0.	Audit, Disabled	1.0.0
Los servicios de clúster de Kubernetes solo deben usar direcciones IP externas permitidas	Use direcciones IP externas permitidas para evitar un ataque potencial (CVE-2020-8554) en un clúster de Kubernetes. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	5.1.0

Medidas de control sobre ciberseguridad: anexo 5.6

Id.: Anexo 5.6 de RMiT Propiedad: Cliente

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Azure SQL Database debe ejecutar TLS versión 1.2 o posterior	Si la versión de TLS se establece en 1.2 o una versión posterior, la seguridad mejora al garantizar que solo se tenga acceso a Azure SQL Database desde clientes que utilicen TLS 1.2 o una versión posterior. El uso de versiones de TLS anteriores a la versión 1.2 no se recomienda, ya que presentan vulnerabilidades de seguridad bien documentadas.	Audit, Disabled, Deny	2.0.0
Exigir una conexión SSL debe estar habilitado en los servidores de bases de datos MySQL	Azure Database for MySQL permite conectar el servidor de Azure Database for MySQL con aplicaciones cliente mediante Capa de sockets seguros (SSL). La aplicación de conexiones SSL entre el servidor de bases de datos y las aplicaciones cliente facilita la protección frente a ataques de tipo "Man in the middle" al cifrar el flujo de datos entre el servidor y la aplicación. Esta configuración exige que SSL esté siempre habilitado para el acceso al servidor de bases de datos.	Audit, Disabled	1.0.1
Los pods del clúster de Kubernetes solo pueden usar redes de host e intervalos de puerto permitidos	Restringe el acceso de los pods a la red del host y el intervalo de puertos de host permitidos en un clúster de Kubernetes. Esta recomendación forma parte de la versión 5.2.4 de CIS, diseñada para mejorar la seguridad de los entornos de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	6.1.0
Los servicios de clúster de Kubernetes solo deben escuchar en los puertos permitidos	Restrinja los servicios para que escuchen solo en puertos permitidos para proteger el acceso al clúster de Kubernetes. Esta directiva está disponible con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para obtener más información, vea https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	8.1.0
Los clústeres de Kubernetes solo deben ser accesibles mediante HTTPS	El uso de HTTPS garantiza la autenticación y protege los datos en tránsito frente a ataques de intercepción de nivel de red. Esta capacidad está disponible actualmente con carácter general para Kubernetes Service (AKS) y en versión preliminar para Kubernetes habilitado para Azure Arc. Para más información, visite https://aka.ms/kubepolicydoc	audit, Audit, deny, Deny, disabled, Disabled	8.1.0
El servidor MariaDB debe usar un punto de conexión del servicio de red virtual	Las reglas de firewall basadas en redes virtuales se usan para habilitar el tráfico de una subred específica en Azure Database for MariaDB y, al mismo tiempo, garantizar que el tráfico permanece dentro del límite de Azure. Esta directiva proporciona una manera de auditar si Azure Database for MariaDB tiene un punto de conexión de servicio de red virtual que se está usando.	AuditIfNotExists, Disabled	1.0.2
El servidor MySQL debe usar un punto de conexión de servicio de red virtual	Las reglas de firewall basadas en redes virtuales se usan para habilitar el tráfico de una subred específica en Azure Database for MySQL y, al mismo tiempo, garantizar que el tráfico permanece dentro del límite de Azure. Esta directiva proporciona una manera de auditar si Azure Database for MySQL tiene un punto de conexión de servicio de red virtual que se está usando.	AuditIfNotExists, Disabled	1.0.2
El servidor PostgreSQL debe usar un punto de conexión de servicio de red virtual	Las reglas de firewall basadas en redes virtuales se usan para habilitar el tráfico de una subred específica en Azure Database for PostgreSQL y, al mismo tiempo, garantizar que el tráfico permanece dentro del límite de Azure. Esta directiva proporciona una manera de auditar si Azure Database for PostgreSQL tiene un punto de conexión de servicio de red virtual que se está usando.	AuditIfNotExists, Disabled	1.0.2
Debe deshabilitarse el acceso a redes públicas en Azure SQL Database	Al deshabilitar la propiedad de acceso a la red pública, se mejora la seguridad al garantizar que solo se pueda acceder a la instancia de Azure SQL Database desde un punto de conexión privado. Esta configuración deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en IP o redes virtuales.	Audit, Deny, Disabled	1.1.0
El acceso a redes públicas debe estar deshabilitado para los servidores MariaDB	Deshabilite la propiedad de acceso a la red pública para mejorar la seguridad y garantizar que solo se pueda acceder a la instancia de Azure Database for MariaDB desde un punto de conexión privado. Esta configuración deshabilita estrictamente el acceso desde cualquier espacio de direcciones público que esté fuera del intervalo de direcciones IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en IP o en red virtual.	Audit, Deny, Disabled	2.0.0
El acceso a las redes públicas debe estar deshabilitado para los servidores flexibles de MySQL	Al deshabilitar la propiedad de acceso a la red pública, se mejora la seguridad al garantizar que solo se pueda acceder a los servidores flexibles de Azure Database for MySQL desde un punto de conexión privado. Esta configuración deshabilita estrictamente el acceso desde cualquier espacio de direcciones público que esté fuera del intervalo de direcciones IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en la IP o en la red virtual.	Audit, Deny, Disabled	2.1.0
El acceso a las redes públicas debe estar deshabilitado para los servidores MySQL	Deshabilite la propiedad de acceso a la red pública para mejorar la seguridad y garantizar que solo se pueda acceder a la instancia de Azure Database for MySQL desde un punto de conexión privado. Esta configuración deshabilita estrictamente el acceso desde cualquier espacio de direcciones público que esté fuera del intervalo de direcciones IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en IP o en red virtual.	Audit, Deny, Disabled	2.0.0
El acceso a redes públicas debe estar deshabilitado para los servidores flexibles de PostgreSQL	Al deshabilitar la propiedad de acceso a la red pública, se mejora la seguridad al garantizar que solo se pueda acceder a los servidores flexibles de Azure Database for PostgreSQL desde un punto de conexión privado. Esta configuración deshabilita estrictamente el acceso desde cualquier espacio de direcciones público que esté fuera del intervalo de direcciones IP de Azure y deniega todos los inicios de sesión que coincidan con las reglas de firewall basadas en la IP o en la red virtual.	Audit, Deny, Disabled	3.0.1
El acceso a redes públicas debe estar deshabilitado para los servidores PostgreSQL	Deshabilite la propiedad de acceso a la red pública para mejorar la seguridad y garantizar que solo se pueda acceder a la instancia de Azure Database for PostgreSQL desde un punto de conexión privado. Esta configuración deshabilita el acceso desde cualquier espacio de direcciones público que esté fuera del intervalo de direcciones IP de Azure y deniega todos los inicios de sesión que coinciden con las reglas de firewall basadas en la IP o en la red virtual.	Audit, Deny, Disabled	2.0.1
SQL Managed Instance debe tener la versión mínima de TLS 1.2	Si la versión mínima de TLS se establece en 1.2, la seguridad mejora al garantizar que solo se tenga acceso a SQL Managed Instance desde clientes que utilicen TLS 1.2. El uso de versiones de TLS anteriores a la versión 1.2 no se recomienda, ya que presentan vulnerabilidades de seguridad bien documentadas.	Audit, Disabled	1.0.1
La regla de firewall de redes virtuales de Azure SQL Database debe estar habilitada para permitir el tráfico de la subred especificada	Las reglas de firewall basadas en redes virtuales se usan para habilitar el tráfico de una subred específica a Azure SQL Database y, al mismo tiempo, garantizar que el tráfico permanece dentro del límite de Azure.	AuditIfNotExists	1.0.0
El firewall de aplicaciones web (WAF) debe estar habilitado para Application Gateway	Implemente Azure Web Application Firewall (WAF) delante de las aplicaciones web de acceso público para una inspección adicional del tráfico entrante. Web Application Firewall (WAF) ofrece una protección centralizada de las aplicaciones web frente a vulnerabilidades de seguridad comunes, como la inyección de SQL, el scripting entre sitios y las ejecuciones de archivos locales y remotas. También permite restringir el acceso a las aplicaciones web por países, intervalos de direcciones IP y otros parámetros http(s) por medio de reglas personalizadas.	Audit, Deny, Disabled	2.0.0
El firewall de aplicaciones web (WAF) debe usar el modo especificado para Application Gateway	Exige que el modo de detección o prevención esté activo en todas las directivas de firewall de aplicaciones web para Application Gateway.	Audit, Deny, Disabled	1.0.0
El firewall de aplicaciones web (WAF) debe usar el modo especificado para Azure Front Door Service	Exige que el modo de detección o prevención esté activo en todas las directivas de firewall de aplicaciones web para Azure Front Door Service.	Audit, Deny, Disabled	1.0.0

Medidas de control sobre ciberseguridad: anexo 5.7

Id.: Anexo 5.7 de RMiT Propiedad: Cliente

Nombre (Azure Portal)	Descripción	Efectos	Versión (GitHub)
Todos los recursos del registro de flujo deben estar en estado habilitado	Audite los recursos del registro de flujo para comprobar si está habilitado el estado del registro de flujo. Habilitar los registros de flujo permite registrar información sobre el tráfico IP que fluye. Se puede utilizar para optimizar flujos de red, supervisar el rendimiento, comprobar el cumplimiento, detectar intrusiones y mucho más.	Audit, Disabled	1.0.1
Todos los puertos de red deben estar restringidos en los grupos de seguridad de red asociados a la máquina virtual	Azure Security Center identificó que algunas de las reglas de entrada de sus grupos de seguridad de red son demasiado permisivas. Las reglas de entrada no deben permitir el acceso desde los intervalos "Cualquiera" o "Internet". Esto podría permitir que los atacantes pudieran acceder a sus recursos.	AuditIfNotExists, Disabled	3.0.0
Las aplicaciones de App Service deben tener la depuración remota desactivada	La depuración remota requiere que se abran puertos de entrada en una aplicación de App Service. Se debe desactivar la depuración remota.	AuditIfNotExists, Disabled	2.0.0
El aprovisionamiento automático del agente de Log Analytics debe estar habilitado en la suscripción	A fin de supervisar las amenazas y vulnerabilidades de seguridad, Azure Security Center recopila datos de las máquinas virtuales de Azure. El agente de Log Analytics, anteriormente conocido como Microsoft Monitoring Agent (MMA), recopila los datos al leer distintas configuraciones relacionadas con la seguridad y distintos registros de eventos de la máquina y copiar los datos en el área de trabajo de Log Analytics para analizarlos. Se recomienda habilitar el aprovisionamiento automático para implementar automáticamente el agente en todas las máquinas virtuales de Azure admitidas y en las nuevas que se creen.	AuditIfNotExists, Disabled	1.0.1
Azure DDoS Protection debe estar habilitado	DDoS Protection debe estar habilitado en todas las redes virtuales que tengan una subred que forme parte de una instancia de Application Gateway con una dirección IP pública.	AuditIfNotExists, Disabled	3.0.1
Se debe habilitar Azure Defender para servidores de Azure SQL Database	Azure Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales.	AuditIfNotExists, Disabled	1.0.2
Se debe habilitar Azure Defender para servidores	Azure Defender para servidores proporciona protección en tiempo real contra amenazas para las cargas de trabajo del servidor y genera recomendaciones de protección, así como alertas sobre la actividad sospechosa.	AuditIfNotExists, Disabled	1.0.3
Se debe habilitar Azure Defender para servidores SQL Server en las máquinas	Azure Defender para SQL proporciona funcionalidad para mostrar y mitigar posibles vulnerabilidades de base de datos, detectar actividades anómalas que podrían indicar amenazas para bases de datos SQL, y detectar y clasificar datos confidenciales.	AuditIfNotExists, Disabled	1.0.2
Configurar Azure SQL Server para habilitar conexiones de punto de conexión privado	Una conexión de punto de conexión privado habilita la conectividad privada con Azure SQL Database a través de una dirección IP privada dentro de una red virtual. Esta configuración mejora su posición de seguridad y admite las herramientas y los escenarios de redes de Azure.	DeployIfNotExists, Disabled	1.0.0
La opción para enviar notificaciones por correo electrónico para alertas de gravedad alta debe estar habilitada.	Para asegurarse de que las personas pertinentes de la organización reciban una notificación cuando se produzca una vulneración de seguridad potencial en una de las suscripciones, habilite las notificaciones por correo electrónico de alertas de gravedad alta en Security Center.	AuditIfNotExists, Disabled	1.1.0
Los registros de flujo se deben configurar para cada grupo de seguridad de red.	Audite los grupos de seguridad de red para comprobar si se han configurado los registros de flujo. Habilitar los registros de flujo permite registrar información sobre el tráfico IP que fluye a través de un grupo de seguridad de red. Se puede utilizar para optimizar flujos de red, supervisar el rendimiento, comprobar el cumplimiento, detectar intrusiones y mucho más.	Audit, Disabled	1.1.0
Las aplicaciones de funciones deben tener la depuración remota desactivada.	La depuración remota requiere que se abran puertos de entrada en las aplicaciones de funciones. Se debe desactivar la depuración remota.	AuditIfNotExists, Disabled	2.0.0
Las aplicaciones de funciones no deben tener CORS configurado para permitir que todos los recursos accedan a las aplicaciones	El uso compartido de recursos entre orígenes (CORS) no debe permitir que todos los dominios accedan a la aplicación de funciones. Permita la interacción con la aplicación de funciones solo de los dominios requeridos.	AuditIfNotExists, Disabled	2.0.0
Las máquinas virtuales accesibles desde Internet deben estar protegidas con grupos de seguridad de red	Proteja sus máquinas virtuales de posibles amenazas limitando el acceso a ellas con grupos de seguridad de red (NSG). Más información sobre cómo controlar el tráfico con los grupos de seguridad de red en https://aka.ms/nsg-doc.	AuditIfNotExists, Disabled	3.0.0
El reenvío de IP en la máquina virtual debe estar deshabilitado	Habilitar el reenvío de IP en la NIC de la máquina virtual permite que la máquina reciba tráfico dirigido a otros destinos. El reenvío de IP rara vez es necesario (por ejemplo, cuando se usa la máquina virtual como una aplicación virtual de red) y, por lo tanto, el equipo de seguridad de red debe revisarlo.	AuditIfNotExists, Disabled	3.0.0
El agente de Log Analytics debe instalarse en la máquina virtual para la supervisión de Azure Security Center.	Esta directiva audita cualquier máquina virtual Windows o Linux si el agente de Log Analytics no está instalado y Security Center la utiliza para supervisar las amenazas y vulnerabilidades de seguridad	AuditIfNotExists, Disabled	1.0.0
El agente de Log Analytics debe instalarse en sus conjuntos de escalado de máquinas virtuales para supervisar Azure Security Center.	Security Center recopila datos de las máquinas virtuales de Azure para supervisar las amenazas y vulnerabilidades de la seguridad.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender para contenedores debería estar habilitado	Microsoft Defender para contenedores proporciona protección, evaluación de vulnerabilidades y protecciones en tiempo de ejecución para los entornos de Kubernetes de Azure, híbridos y multinube.	AuditIfNotExists, Disabled	1.0.0
La extensión IaaSAntimalware de Microsoft debe implementarse en servidores Windows.	Esta directiva audita cualquier VM de Windows Server sin la extensión IaaSAntimalware de Microsoft implementada.	AuditIfNotExists, Disabled	1.1.0
Supervisar la falta de Endpoint Protection en Azure Security Center	Azure Security Center supervisará los servidores sin un agente de Endpoint Protection instalado como recomendaciones.	AuditIfNotExists, Disabled	3.0.0
Las máquinas virtuales sin conexión a Internet deben protegerse con grupos de seguridad de red	Proteja las máquinas virtuales no accesibles desde Internet de posibles amenazas limitando el acceso con grupos de seguridad de red (NSG). Más información sobre cómo controlar el tráfico con los grupos de seguridad de red en https://aka.ms/nsg-doc.	AuditIfNotExists, Disabled	3.0.0
El punto de conexión privado debe estar habilitado para servidores MariaDB	Las conexiones de punto de conexión privado garantizan una comunicación segura al permitir la conectividad privada con Azure Database for MariaDB. Configure una conexión de punto de conexión privado para permitir el acceso al tráfico que solo proviene de redes conocidas y evitar el acceso desde todas las demás direcciones IP, incluido desde Azure.	AuditIfNotExists, Disabled	1.0.2
El punto de conexión privado debe estar habilitado para servidores PostgreSQL	Las conexiones de punto de conexión privado garantizan una comunicación segura al permitir la conectividad privada con Azure Database for PostgreSQL. Configure una conexión de punto de conexión privado para permitir el acceso al tráfico que solo proviene de redes conocidas y evitar el acceso desde todas las demás direcciones IP, incluido desde Azure.	AuditIfNotExists, Disabled	1.0.2
Las subredes deben estar asociadas con un grupo de seguridad de red.	Proteja la subred de posibles amenazas mediante la restricción del acceso con un grupo de seguridad de red (NSG). Estos grupos contienen las reglas de la lista de control de acceso (ACL) que permiten o deniegan el tráfico de red a la subred.	AuditIfNotExists, Disabled	3.0.0
Las suscripciones deben tener una dirección de correo electrónico de contacto para los problemas de seguridad	Para asegurarse de que las personas pertinentes de la organización reciban una notificación cuando se produzca una vulneración de seguridad potencial en una de las suscripciones, establezca un contacto de seguridad para la recepción de notificaciones por correo electrónico de Security Center.	AuditIfNotExists, Disabled	1.0.1
Las máquinas virtuales deben cifrar los discos temporales, las cachés y los flujos de datos entre los recursos de Proceso y Almacenamiento	De manera predeterminada, los discos del sistema operativo y de datos de una máquina virtual se cifran en reposo mediante claves administradas por la plataforma. Los discos temporales, las memorias caché de datos y los datos que fluyen entre el proceso y el almacenamiento no se cifran. Ignore esta recomendación si: 1. Se utiliza el cifrado en el host, o 2. El cifrado del lado servidor en Managed Disks cumple sus requisitos de seguridad. Obtenga más información en: Cifrado del lado servidor de Azure Disk Storage: https://aka.ms/disksse, Diferentes ofertas de cifrado de disco: https://aka.ms/diskencryptioncomparison	AuditIfNotExists, Disabled	2.0.3
Las vulnerabilidades en las configuraciones de seguridad de contenedor deben corregirse	Audite las vulnerabilidades en la configuración de seguridad de las máquinas con Docker instalado y muéstrelas como recomendaciones en Azure Security Center.	AuditIfNotExists, Disabled	3.0.0

Pasos siguientes

Artículos adicionales sobre Azure Policy:

• Introducción al Cumplimiento normativo.
• Consulte la estructura de definición de la iniciativa.
• Consulte más ejemplos en Ejemplos de Azure Policy.
• Vea la Descripción de los efectos de directivas.
• Obtenga información sobre cómo corregir recursos no compatibles.