Partekatu bidez

Línea de base de seguridad de Azure para Functions

Esta línea de base de seguridad se aplica de acuerdo con las instrucciones del Microsoft Cloud Security Benchmark versión 1.0 a las Funciones. El banco de pruebas de seguridad en la nube de Microsoft proporciona recomendaciones sobre cómo proteger las soluciones en la nube en Azure. El contenido se agrupa mediante los controles de seguridad definidos por el banco de pruebas de seguridad en la nube de Microsoft y las instrucciones relacionadas aplicables a Functions.

Puede supervisar esta línea de base de seguridad y sus recomendaciones mediante Microsoft Defender for Cloud. Azure Policy definiciones se enumerarán en la sección Cumplimiento normativo de la página del portal de Microsoft Defender for Cloud.

Cuando una característica tiene definiciones de Azure Policy pertinentes, se muestran en esta línea de base para ayudarle a medir el cumplimiento de los controles y recomendaciones de pruebas comparativas de seguridad en la nube de Microsoft. Algunas recomendaciones pueden requerir un plan de Microsoft Defender de pago para habilitar determinados escenarios de seguridad.

Nota:

Se han excluido las características no aplicables a Functions. Para ver cómo Functions se mapea completamente al marco de referencia de seguridad en la nube de Microsoft, consulte el archivo completo de mapeo de la línea base de seguridad de Functions.

Perfil de seguridad

El perfil de seguridad resume los comportamientos de alto impacto de Functions, lo que puede dar lugar a mayores consideraciones de seguridad.

Atributo de comportamiento del servicio Importancia
Categoría del producto Computación, Web
El cliente puede acceder a HOST/OS. Sin acceso
El servicio se puede implementar en la red virtual del cliente. Cierto
Almacena el contenido del cliente en reposo Cierto

Seguridad de red

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Seguridad de red.

NS-1: Establecer límites de segmentación de red

Características

Integración de red virtual

Descripción: el servicio admite la implementación en la red virtual privada (VNet) del cliente. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: implemente el servicio en una red virtual. Asigne direcciones IP privadas al recurso (si procede) a menos que haya una razón fuerte para asignar direcciones IP públicas directamente al recurso.

Nota: El servicio expone las características de red, pero debe configurarse para la aplicación. De forma predeterminada, se permite el acceso a la red pública.

Referencia: Opciones de red de Azure Functions

Soporte de grupos de seguridad de red

Descripción: El tráfico de la red del servicio respeta la asignación de reglas de los grupos de seguridad de red en sus subredes. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: use grupos de seguridad de red (NSG) para restringir o supervisar el tráfico por puerto, protocolo, dirección IP de origen o dirección IP de destino. Cree reglas de NSG para restringir los puertos abiertos del servicio (por ejemplo, impedir que se acceda a los puertos de administración desde redes que no son de confianza). Tenga en cuenta que, de forma predeterminada, los NSG deniegan todo el tráfico entrante, pero permiten el tráfico de la red virtual y los Azure Load Balancers.

Referencia: Opciones de red de Azure Functions

NS-2: Protección de servicios en la nube con controles de red

Características

Descripción: funcionalidad de filtrado de IP nativa del servicio para filtrar el tráfico de red (no confundirse con NSG o Azure Firewall). Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: implemente puntos de conexión privados para todos los recursos de Azure que admiten la característica Private Link para establecer un punto de acceso privado para los recursos.

Referencia: Opciones de red de Azure Functions

Deshabilitar el acceso a la red pública

Descripción: el servicio admite la deshabilitación del acceso a la red pública mediante el uso de una regla de filtrado de ACL de IP de nivel de servicio (no NSG o Azure Firewall) o mediante un modificador de alternancia "Deshabilitar acceso a red pública". Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Notas de características: Azure Functions se puede configurar con puntos de conexión privados, pero actualmente no hay un solo botón de alternancia para deshabilitar el acceso a la red pública sin configurar puntos de conexión privados.

Guía de configuración: Deshabilite el acceso a la red pública mediante la regla de filtrado de ACL de IP a nivel de servicio o un interruptor de palanca para el acceso a la red pública.

Administración de identidades

Para obtener más información, consulte El banco de pruebas de seguridad en la nube de Microsoft: Administración de identidades.

IM-1: Uso del sistema de autenticación e identidad centralizado

Características

Autenticación de Azure AD necesaria para el acceso al plano de datos

Descripción: el servicio admite el uso de la autenticación de Azure AD para el acceso al plano de datos. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Notas de características: los puntos de conexión propiedad del cliente se pueden configurar para requerir requisitos de autenticación de Azure AD. Los puntos de conexión proporcionados por el sistema para las operaciones de implementación y las herramientas avanzadas de desarrollo admiten Azure AD, pero de forma predeterminada tienen la capacidad de usar alternativamente credenciales de publicación. Estas credenciales de publicación se pueden deshabilitar. En este momento, se puede acceder a algunos puntos de conexión del plano de datos de la aplicación mediante claves administrativas configuradas en el host de Functions y estos no se pueden configurar con los requisitos de Azure AD en este momento.

Guía de configuración: use Azure Active Directory (Azure AD) como método de autenticación predeterminado para controlar el acceso al plano de datos.

Referencia: Configuración de credenciales de implementación: deshabilitación de la autenticación básica

Métodos de autenticación local para el acceso al plano de datos

Descripción: métodos de autenticación locales admitidos para el acceso al plano de datos, como un nombre de usuario local y una contraseña. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Cierto Microsoft

Notas de características: las credenciales de implementación se crean de forma predeterminada, pero se pueden deshabilitar. Algunas operaciones expuestas por el tiempo de ejecución de la aplicación se pueden realizar mediante una clave administrativa, que actualmente no se puede deshabilitar. Esta clave se puede almacenar en Azure Key Vault y se puede volver a generar en cualquier momento. Evite el uso de métodos o cuentas de autenticación local, que deben deshabilitarse siempre que sea posible. en su lugar, use Azure AD para autenticarse siempre que sea posible.

Guía de configuración: no se requieren configuraciones adicionales, ya que está habilitada en una implementación predeterminada.

Referencia: Deshabilitar la autenticación básica

IM-3: Administrar identidades de aplicación de forma segura y automática

Características

Identidades administradas

Descripción: las acciones del plano de datos admiten la autenticación mediante identidades administradas. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: use identidades administradas de Azure en lugar de entidades de servicio siempre que sea posible, lo que puede autenticarse en los servicios y recursos de Azure que admiten la autenticación de Azure Active Directory (Azure AD). Las credenciales de identidad administrada están totalmente administradas, rotadas y protegidas por la plataforma, lo que evita las credenciales codificadas de forma rígida en archivos de configuración o código fuente.

Referencia: Uso de identidades administradas para App Service y Azure Functions

Entidades de servicio

Descripción: el plano de datos admite la autenticación mediante entidades de servicio. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: no hay ninguna guía actual de Microsoft para esta configuración de características. Revise y determine si su organización quiere configurar esta característica de seguridad.

Supervisión de Microsoft Defender for Cloud

Definiciones integradas de Azure Policy: Microsoft.Web:

Nombre
(Azure Portal)		 Description Effect(s) Versión
(GitHub)
Las aplicaciones de App Service deben usar la identidad administrada Usa una identidad administrada para la seguridad de autenticación mejorada AuditIfNotExists, Deshabilitado 3.0.0

IM-7: Restringir el acceso a los recursos en función de las condiciones

Características

Acceso condicional para el plano de datos

Descripción: el acceso al plano de datos se puede controlar mediante directivas de acceso condicional de Azure AD. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Notas de características: en el caso de los puntos de conexión del plano de datos que no están definidos por la aplicación, el acceso condicional tendría que configurarse en Azure Service Management.

Guía de configuración: defina las condiciones y criterios aplicables para el acceso condicional de Azure Active Directory (Azure AD) en la carga de trabajo. Considere casos de uso comunes, como bloquear o conceder acceso desde ubicaciones específicas, bloquear el comportamiento de inicio de sesión de riesgo o requerir dispositivos administrados por la organización para aplicaciones específicas.

IM-8: Restringir la exposición de credenciales y secretos

Características

Integración y almacenamiento de credenciales de servicio y secretos con soporte en Azure Key Vault.

Descripción: el plano de datos admite el uso nativo de Azure Key Vault para el almacén de credenciales y secretos. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: asegúrese de que los secretos y las credenciales se almacenan en ubicaciones seguras, como Azure Key Vault, en lugar de insertarlos en archivos de código o configuración.

Referencia: Uso de referencias de Key Vault para App Service y Azure Functions

Acceso con privilegios

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Acceso con privilegios.

PA-1: Separar y limitar usuarios con privilegios elevados o administrativos

Características

Cuentas de administrador local

Descripción: el servicio tiene el concepto de una cuenta administrativa local. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Falso No es aplicable No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

PA-7: Siga el principio de administración suficiente (privilegios mínimos)

Características

RBAC de Azure para el plano de datos

Descripción: Azure Role-Based Access Control (Azure RBAC) se puede usar para administrar el acceso a las acciones del plano de datos del servicio. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Notas de características: las únicas acciones del plano de datos que pueden aprovechar Azure RBAC son los puntos de conexión de Kudu/SCM/deployment. Estos requieren permiso para la operación Microsoft.Web/sites/publish/Action. Los puntos de conexión expuestos por la propia aplicación cliente no están cubiertos por RBAC de Azure.

Guía de configuración: use el control de acceso basado en rol de Azure (RBAC de Azure) para administrar el acceso a los recursos de Azure mediante asignaciones de roles integradas. Los roles RBAC de Azure se pueden asignar a usuarios, grupos, entidades de servicio e identidades administradas.

Referencia: permisos de RBAC necesarios para acceder a Kudu

PA-8: Determinación del proceso de acceso para la compatibilidad con proveedores en la nube

Características

Caja de seguridad del cliente

Descripción: La Customer Lockbox puede utilizarse para el acceso de soporte técnico de Microsoft. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: En escenarios de soporte técnico en los que Microsoft necesita acceder a tus datos, utiliza Customer Lockbox para revisar y, a continuación, aprobar o rechazar las solicitudes de acceso a tus datos por parte de Microsoft.

Protección de los datos

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Protección de datos.

DP-2: Supervisión de anomalías y amenazas dirigidas a datos confidenciales

Características

Prevención de filtración/pérdida de datos

Descripción: el servicio admite la solución DLP para supervisar el movimiento de datos confidenciales (en el contenido del cliente). Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Falso No es aplicable No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

DP-3: Cifrar datos confidenciales en tránsito

Características

Cifrado de datos en tránsito

Descripción: el servicio admite el cifrado de datos en tránsito para el plano de datos. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Notas de características: las aplicaciones de funciones se crean de forma predeterminada para admitir TLS 1.2 como versión mínima, pero una aplicación se puede configurar con una versión inferior a través de una configuración. HTTPS no es necesario para las solicitudes entrantes de forma predeterminada, pero esto también se puede establecer a través de una configuración, en cuyo punto cualquier solicitud HTTP se redirigirá automáticamente para usar HTTPS.

Guía de configuración: habilite la transferencia segura en los servicios en los que hay una característica nativa de cifrado de tránsito integrada. Aplique HTTPS en cualquier aplicación web y servicios y asegúrese de que se usa TLS v1.2 o posterior. Las versiones heredadas, como SSL 3.0, TLS v1.0 deben deshabilitarse. Para la administración remota de máquinas virtuales, use SSH (para Linux) o RDP/TLS (para Windows) en lugar de un protocolo sin cifrar.

Referencia: Adición y administración de certificados TLS/SSL en Azure App Service

Supervisión de Microsoft Defender for Cloud

Definiciones integradas de Azure Policy: Microsoft.Web:

Nombre
(Azure Portal)		 Description Effect(s) Versión
(GitHub)
Las aplicaciones de App Service solo deben ser accesibles a través de HTTPS El uso de HTTPS garantiza la autenticación del servicio y el servidor, y protege los datos en tránsito frente a ataques de intercepción de nivel de red. Auditar, Deshabilitado, Denegar 4.0.0

DP-4: Habilitar el cifrado de datos en reposo de forma predeterminada

Características

Cifrado de datos en reposo mediante claves de plataforma

Descripción: se admite el cifrado de datos en reposo mediante claves de plataforma, cualquier contenido del cliente en reposo se cifra con estas claves administradas por Microsoft. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Cierto Microsoft

Guía de configuración: no se requieren configuraciones adicionales, ya que está habilitada en una implementación predeterminada.

DP-5: Usar la opción de clave administrada por el cliente en el cifrado de datos en reposo cuando sea necesario

Características

Cifrado de datos en reposo mediante CMK

Descripción: el cifrado de datos en reposo mediante claves administradas por el cliente es compatible con el contenido del cliente almacenado por el servicio. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Notas sobre características: Azure Functions no admite directamente esta característica, pero se puede configurar una aplicación para aprovechar los servicios que sí lo hacen, en lugar de cualquier almacenamiento de datos posible en Azure Functions. Azure Files se puede montar como sistema de archivos, toda la configuración de la aplicación, incluidos los secretos, se puede almacenar en Azure Key Vault y las opciones de implementación, como la ejecución desde el paquete, pueden extraer contenido de Azure Blob Storage.

Guía de configuración: si es necesario para el cumplimiento normativo, defina el caso de uso y el ámbito de servicio donde se necesita el cifrado mediante claves administradas por el cliente. Habilite e implemente el cifrado de datos en reposo mediante la clave administrada por el cliente para esos servicios.

Referencia: Cifrado de los datos de la aplicación en reposo mediante claves administradas por el cliente

DP-6: Uso de un proceso seguro de administración de claves

Características

Administración de claves en Azure Key Vault

Descripción: el servicio admite la integración de Azure Key Vault para cualquier clave de cliente, secretos o certificados. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: use Azure Key Vault para crear y controlar el ciclo de vida de las claves de cifrado, incluida la generación de claves, la distribución y el almacenamiento. Gire y revoque las claves en Azure Key Vault y el servicio en función de una programación definida o cuando haya una retirada o riesgo de claves. Cuando sea necesario usar la clave administrada por el cliente (CMK) en el nivel de carga de trabajo, servicio o aplicación, asegúrese de seguir los procedimientos recomendados para la administración de claves: use una jerarquía de claves para generar una clave de cifrado de datos (DEK) independiente con la clave de cifrado de claves (KEK) en el almacén de claves. Asegúrese de que las claves se registran con Azure Key Vault y se hace referencia a ellas a través de identificadores de clave desde el servicio o la aplicación. Si necesita traer su propia clave (BYOK) al servicio (por ejemplo, importar claves protegidas con HSM desde los HSM locales a Azure Key Vault), siga las instrucciones recomendadas para realizar la generación inicial de claves y la transferencia de claves.

Referencia: Uso de referencias de Key Vault para App Service y Azure Functions

DP-7: Uso de un proceso de administración de certificados seguro

Características

Administración de certificados en Azure Key Vault

Descripción: el servicio admite la integración de Azure Key Vault para cualquier certificado de cliente. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: use Azure Key Vault para crear y controlar el ciclo de vida del certificado, incluida la creación, importación, rotación, revocación, almacenamiento y purga del certificado. Asegúrese de que la generación de certificados sigue los estándares definidos sin usar ninguna propiedad no segura, como: tamaño de clave insuficiente, período de validez excesivamente largo, criptografía no segura. Configure la rotación automática del certificado en Azure Key Vault y el servicio de Azure (si se admite) en función de una programación definida o cuando haya una expiración del certificado. Si no se admite la rotación automática en la aplicación, asegúrese de que siguen girando mediante métodos manuales en Azure Key Vault y la aplicación.

Referencia: Adición de un certificado TLS/SSL en Azure App Service

Administración de recursos

Para obtener más información, consulte El banco de pruebas de seguridad en la nube de Microsoft: Administración de recursos.

AM-2: Usar solo servicios aprobados

Características

Compatibilidad con Azure Policy

Descripción: las configuraciones de servicio se pueden supervisar y aplicar a través de Azure Policy. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: use Microsoft Defender for Cloud para configurar Azure Policy para auditar y aplicar las configuraciones de sus recursos de Azure. Use Azure Monitor para crear alertas cuando se detecte una desviación de configuración en los recursos. Use los efectos [deny] y [deploy if not exists] de Azure Policy para aplicar la configuración segura en los recursos de Azure.

Registro y detección de amenazas

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Registro y detección de amenazas.

LT-1: Habilitación de las funcionalidades de detección de amenazas

Características

Oferta de microsoft Defender para servicio o producto

Descripción: El servicio tiene una solución específica de Microsoft Defender para supervisar y alertar sobre problemas de seguridad. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Notas de características: Defender para App Service incluye Azure Functions. Si esta solución está habilitada, las funciones de aplicaciones dentro del ámbito de habilitación quedarán incluidas.

Guía de configuración: use Azure Active Directory (Azure AD) como método de autenticación predeterminado para controlar el acceso del plano de la administración. Cuando reciba una alerta de Microsoft Defender para Key Vault, investigue y responda a la alerta.

Referencia: Defender para App Service

LT-4: Habilitación del registro para la investigación de seguridad

Características

Registros de recursos de Azure

Descripción: el servicio genera registros de recursos que pueden proporcionar métricas y registros específicos del servicio mejorados. El cliente puede configurar estos registros de recursos y enviarlos a su propio receptor de datos, como una cuenta de almacenamiento o un área de trabajo de Log Analytics. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: habilite los registros de recursos para el servicio. Por ejemplo, Key Vault admite registros de recursos adicionales para las acciones que obtienen un secreto de un almacén de claves o y Azure SQL tiene registros de recursos que realizan un seguimiento de las solicitudes a una base de datos. El contenido de los registros de recursos varía según el tipo de recurso y el servicio de Azure.

Referencia: Supervisión de Azure Functions con registros de Azure Monitor

Copia de seguridad y recuperación

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Copia de seguridad y recuperación.

BR-1: Garantizar copias de seguridad automatizadas normales

Características

Azure Backup

Descripción: el servicio de Azure Backup puede realizar una copia de seguridad del servicio. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Falso No es aplicable No es aplicable

Notas sobre características: Una característica para respaldar una aplicación está disponible si se hospeda en un plan Estándar, Premium o Aislado de servicios de aplicación. Esta característica no aprovecha Azure Backup y no incluye orígenes de eventos ni almacenamiento vinculado externamente. Consulte /azure/app-service/manage-backup para obtener más detalles.

Guía de configuración: esta característica no se admite para proteger este servicio.

Funcionalidad de copia de seguridad nativa del servicio

Descripción: el servicio admite su propia funcionalidad de copia de seguridad nativa (si no usa Azure Backup). Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Notas sobre características: hay disponible una característica de copia de seguridad para las aplicaciones que se ejecutan dentro de los planes App Service Estándar, Premium e Aislado. Esto no incluye la copia de seguridad de orígenes de eventos ni el almacenamiento proporcionado externamente.

Guía de configuración: no hay ninguna guía actual de Microsoft para esta configuración de características. Revise y determine si su organización quiere configurar esta característica de seguridad.

Referencia: Copia de seguridad y restauración de la aplicación en Azure App Service

Pasos siguientes

  • Last updated on