Línea base de seguridad de Azure para Batch

Esta línea de base de seguridad aplica las directrices del Microsoft Cloud Security Benchmark versión 1.0 a Batch. El banco de pruebas de seguridad en la nube de Microsoft proporciona recomendaciones sobre cómo proteger las soluciones en la nube en Azure. El contenido se agrupa mediante los controles de seguridad definidos por el banco de pruebas de seguridad en la nube de Microsoft y las instrucciones relacionadas aplicables a Batch.

Puede supervisar esta línea de base de seguridad y sus recomendaciones mediante Microsoft Defender for Cloud. Las definiciones de Azure Policy se mostrarán en la sección Cumplimiento normativo de la página del portal de Microsoft Defender for Cloud.

Cuando una característica tiene definiciones de Azure Policy pertinentes, se muestran en esta línea de base para ayudarle a medir el cumplimiento de los controles y recomendaciones de pruebas comparativas de seguridad en la nube de Microsoft. Algunas recomendaciones pueden requerir un plan de Microsoft Defender de pago para habilitar determinados escenarios de seguridad.

Nota:

Se han excluido las características no aplicables a Batch. Para ver cómo Batch se asigna completamente al banco de pruebas de seguridad en la nube de Microsoft, consulte el archivo completo de asignación de línea de base de seguridad de Batch.

Perfil de seguridad

El perfil de seguridad resume los comportamientos de alto impacto de Batch, lo que puede dar lugar a mayores consideraciones de seguridad.

Atributo de comportamiento del servicio	Importancia
Categoría del producto	Compute
El cliente puede acceder a HOST/OS.	Solo lectura
El servicio se puede implementar en la red virtual del cliente.	Cierto
Almacena contenido de clientes en reposo	Falso

Seguridad de red

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Seguridad de red.

NS-1: Establecer límites de segmentación de red

Características

Integración de red virtual

Descripción: el servicio admite la implementación en la red virtual privada (VNet) del cliente. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Cliente

Guía de configuración: implemente grupos de Azure Batch en una red virtual. Considere la posibilidad de aprovisionar el grupo sin direcciones IP públicas para restringir el acceso a los nodos de la red privada y reducir la detectabilidad de los nodos desde Internet.

Referencia: Creación de un grupo de Azure Batch en una red virtual

Soporte para grupos de seguridad de red

Descripción: El tráfico de red del servicio respeta la asignación de reglas de los Grupos de Seguridad de Red en sus subredes. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Cierto	Microsoft

Notas de características: de forma predeterminada, Batch agrega grupos de seguridad de red (NSG) en el nivel de interfaces de red (NIC) asociado a los nodos de proceso.

Guía de configuración: no se requieren configuraciones adicionales, ya que está habilitada en una implementación predeterminada.

Referencia: Creación de un grupo de Azure Batch en una red virtual

NS-2: Protección de servicios en la nube con controles de red

Características

Azure Private Link

Descripción: funcionalidad de filtrado de IP nativa del servicio para filtrar el tráfico de red (no confundirse con NSG o Azure Firewall). Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Cliente

Guía de configuración: implemente puntos de conexión privados para cuentas de Azure Batch. Esto restringe el acceso a las cuentas de Batch a la red virtual donde residen o a cualquier red virtual emparejada.

Referencia: Uso de puntos de conexión privados con cuentas de Azure Batch

Deshabilitar el acceso a la red pública

Descripción: el servicio admite la deshabilitación del acceso a la red pública mediante el uso de una regla de filtrado de ACL de IP de nivel de servicio (no NSG o Azure Firewall) o mediante un modificador de alternancia "Deshabilitar acceso a red pública". Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Cliente

Guía de configuración: deshabilite el acceso de red pública a las cuentas de Batch estableciendo la opción "Acceso a la red pública" en deshabilitada.

Referencia: Deshabilitar el acceso a la red pública

Administración de identidades

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft : Administración de identidades.

IM-1: Uso del sistema de autenticación e identidad centralizado

Características

Autenticación de Azure AD necesaria para el acceso al plano de datos

Descripción: el servicio admite el uso de la autenticación de Azure AD para el acceso al plano de datos. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Cliente

Guía de configuración: use Azure Active Directory (Azure AD) como método de autenticación predeterminado para controlar el acceso al plano de datos en lugar de usar claves compartidas.

Referencia: Autenticación con Azure AD

Métodos de autenticación local para el acceso al plano de datos

Descripción: métodos de autenticación locales admitidos para el acceso al plano de datos, como un nombre de usuario local y una contraseña. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Cliente

Notas de características: evite el uso de métodos o cuentas de autenticación local, que deben deshabilitarse siempre que sea posible. En su lugar, use Azure AD para autenticarse siempre que sea posible.

Guía de configuración: restrinja el uso de métodos de autenticación local para el acceso al plano de datos. En su lugar, use Azure Active Directory (Azure AD) como método de autenticación predeterminado para controlar el acceso al plano de datos.

Referencia: Autenticación mediante clave compartida

IM-3: Administrar identidades de aplicación de forma segura y automática

Características

Identidades administradas

Descripción: las acciones del plano de datos admiten la autenticación mediante identidades administradas. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Shared

Guía de configuración: use identidades administradas de Azure en lugar de entidades de servicio siempre que sea posible, lo que puede autenticarse en los servicios y recursos de Azure que admiten la autenticación de Azure Active Directory (Azure AD). Las credenciales de identidad administrada están totalmente administradas, rotadas y protegidas por la plataforma, lo que evita las credenciales codificadas de forma rígida en archivos de configuración o código fuente.

Referencia: Configuración de identidades administradas en grupos de Batch

Principales de Servicio

Descripción: el plano de datos admite la autenticación mediante entidades de servicio. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Cliente

Guía adicional: Para autenticar una aplicación que se ejecuta desatendida, puede usar una entidad de servicio. Después de registrar la aplicación, realice las configuraciones adecuadas en Azure Portal para la entidad de servicio, como solicitar un secreto para la aplicación y asignar roles RBAC de Azure.

Referencia: Autenticación de soluciones de servicio batch con Azure Active Directory

IM-7: Restringir el acceso a los recursos en función de las condiciones

Características

Acceso condicional al plano de datos

Descripción: el acceso al plano de datos se puede controlar mediante directivas de acceso condicional de Azure AD. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

IM-8: Restringir la exposición de credenciales y secretos

Características

Credenciales de servicio y secretos para la integración y el almacenamiento en Azure Key Vault

Descripción: el plano de datos admite el uso nativo de Azure Key Vault para el almacén de credenciales y secretos. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

Acceso con privilegios

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Acceso con privilegios.

PA-7: Siga el principio de administración suficiente (privilegios mínimos)

Características

RBAC de Azure para el plano de datos

Descripción: Azure Role-Based Access Control (Azure RBAC) se puede usar para administrar el acceso a las acciones del plano de datos del servicio. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Cliente

Guía de configuración: use el control de acceso basado en rol de Azure (RBAC de Azure) para administrar el acceso a los recursos de Azure mediante asignaciones de roles integradas. Azure Batch admite Azure RBAC para administrar el acceso a estos tipos de recursos: cuentas, trabajos, tareas y grupos.

Referencia: Asignación de RBAC de Azure a la aplicación

Protección de los datos

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Protección de datos.

DP-2: Supervisión de anomalías y amenazas dirigidas a datos confidenciales

Características

Prevención de fuga/pérdida de datos

Descripción: el servicio admite la solución DLP para supervisar el movimiento de datos confidenciales (en el contenido del cliente). Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

DP-3: Cifrar datos confidenciales en tránsito

Características

Cifrado de datos en tránsito

Descripción: el servicio admite el cifrado de datos en tránsito para el plano de datos. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Cierto	Microsoft

Guía de configuración: no se requieren configuraciones adicionales, ya que está habilitada en una implementación predeterminada.

DP-4: Habilitar el cifrado de datos en reposo de forma predeterminada

Características

Cifrado de datos en reposo mediante claves de plataforma

Descripción: se admite el cifrado de datos en reposo mediante claves de plataforma, cualquier contenido del cliente en reposo se cifra con estas claves administradas por Microsoft. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Cierto	Microsoft

Notas de características: parte de la información especificada en las API de Batch, como certificados de cuenta, metadatos de trabajos y tareas, y líneas de comandos de las tareas, se cifran automáticamente cuando el servicio Batch las almacena. De forma predeterminada, estos datos se cifran mediante claves administradas por la plataforma de Azure Batch exclusivas de cada cuenta de Batch.

También puede cifrar estos datos mediante claves administradas por el cliente. Azure Key Vault se utiliza para generar y almacenar la clave, y el identificador de clave se registra con su cuenta de Azure Batch.

Guía de configuración: no se requieren configuraciones adicionales, ya que está habilitada en una implementación predeterminada.

DP-5: Usar la opción de clave administrada por el cliente en el cifrado de datos en reposo cuando sea necesario

Características

Cifrado de datos en reposo mediante CMK

Descripción: el cifrado de datos en reposo mediante claves administradas por el cliente es compatible con el contenido del cliente almacenado por el servicio. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Cliente

Guía de configuración: si es necesario para el cumplimiento normativo, defina el caso de uso y el ámbito de servicio donde se necesita el cifrado mediante claves administradas por el cliente. Habilite e implemente el cifrado de datos en reposo mediante la clave administrada por el cliente para esos servicios.

Referencia: Configuración de claves administradas por el cliente

DP-6: Uso de un proceso seguro de administración de claves

Características

Administración de claves en Azure Key Vault

Descripción: el servicio admite la integración de Azure Key Vault para cualquier clave de cliente, secretos o certificados. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Shared

Guía de configuración: use Azure Key Vault para crear y controlar el ciclo de vida de las claves de cifrado, incluida la generación de claves, la distribución y el almacenamiento. Rote y revoque las claves en Azure Key Vault y en su servicio según la programación definida y cuando haya una retirada de clave o un riesgo para ella. Cuando sea necesario usar la clave administrada por el cliente (CMK) en el nivel de carga de trabajo, servicio o aplicación, asegúrese de seguir los procedimientos recomendados para la administración de claves: use una jerarquía de claves para generar una clave de cifrado de datos (DEK) independiente con la clave de cifrado de claves (KEK) en el almacén de claves. Asegúrese de que las claves se registran con Azure Key Vault y se hace referencia a ellas a través de identificadores de clave desde el servicio o la aplicación. Si necesita traer su propia clave (BYOK) al servicio (por ejemplo, importar claves protegidas con HSM desde los HSM locales a Azure Key Vault), siga las instrucciones recomendadas para realizar la generación inicial de claves y la transferencia de claves.

Nota: El cliente debe optar por usar claves administradas por el cliente de lo contrario de forma predeterminada, el servicio usará claves de plataforma administradas por Microsoft.

Referencia: Configuración de claves administradas por el cliente para la cuenta de Azure Batch con Azure Key Vault e identidad administrada

DP-7: Uso de un proceso de administración de certificados seguro

Características

Administración de certificados en Azure Key Vault

Descripción: el servicio admite la integración de Azure Key Vault para cualquier certificado de cliente. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Shared

Guía de configuración: use Azure Key Vault para crear y controlar el ciclo de vida del certificado, incluida la creación, importación, rotación, revocación, almacenamiento y purga del certificado. Asegúrese de que la generación de certificados sigue los estándares definidos sin usar ninguna propiedad no segura, como: tamaño de clave insuficiente, período de validez excesivamente largo, criptografía no segura. Configure la rotación automática del certificado en Azure Key Vault y el servicio de Azure (si se admite) en función de una programación definida o cuando haya una expiración del certificado. Si no se admite la rotación automática en la aplicación, asegúrese de que siguen girando mediante métodos manuales en Azure Key Vault y la aplicación.

Referencia: Uso de certificados y acceso seguro a Azure Key Vault con Batch

Administración de recursos

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft : Administración de recursos.

AM-2: Usar solo servicios aprobados

Características

Soporte técnico de Azure Policy

Descripción: las configuraciones de servicio se pueden supervisar y aplicar a través de Azure Policy. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Cliente

Guía de configuración: Use Microsoft Defender for Cloud para configurar Azure Policy para auditar y aplicar configuraciones de tus recursos de Azure. Use Azure Monitor para crear alertas cuando se detecte una desviación de configuración en los recursos. Use los efectos [deny] y [deploy if not exists] de Azure Policy para aplicar una configuración segura en los recursos de Azure.

En los escenarios en los que no existen definiciones de directivas integradas, puede usar alias de Azure Policy en el espacio de nombres "Microsoft.Batch" para crear directivas personalizadas.

Referencia: Definiciones integradas de Azure Policy para Azure Batch

AM-5: Usar solo aplicaciones aprobadas en la máquina virtual

Características

Microsoft Defender for Cloud: controles de aplicaciones adaptables

Descripción: el servicio puede limitar qué aplicaciones de cliente se ejecutan en la máquina virtual mediante controles de aplicaciones adaptables en Microsoft Defender for Cloud. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

Registro y detección de amenazas

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Registro y detección de amenazas.

LT-1: Habilitación de las funcionalidades de detección de amenazas

Características

Oferta de Microsoft Defender para servicios/productos

Descripción: El servicio cuenta con una solución de Microsoft Defender específica para la oferta, destinada a supervisar y alertar sobre problemas de seguridad. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

LT-4: Habilitación del registro para la investigación de seguridad

Características

Registros de recursos de Azure

Descripción: el servicio genera registros de recursos que pueden proporcionar métricas y registros específicos del servicio mejorados. El cliente puede configurar estos registros de recursos y enviarlos a su propio receptor de datos, como una cuenta de almacenamiento o un área de trabajo de Log Analytics. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Cliente

Guía de configuración: habilite los registros de recursos de Azure para Azure Batch para los siguientes tipos de registro: ServiceLog y AllMetrics.

Referencia: Métricas, alertas y registros de Batch para la evaluación y supervisión de diagnóstico

Posición y administración de vulnerabilidades

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Administración de posturas y vulnerabilidades.

PV-3: Definir y establecer configuraciones seguras para los recursos de proceso

Características

Configuración de Estado de Azure Automation

Descripción: State Configuration de Azure Automation se puede usar para mantener la configuración de seguridad del sistema operativo. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

Agente de Configuración de Invitados de Azure Policy

Descripción: el agente de configuración de invitado de Azure Policy se puede instalar o implementar como una extensión para calcular los recursos. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

Imágenes de máquina virtual personalizadas

Descripción: el servicio admite el uso de imágenes de máquina virtual proporcionadas por el usuario o imágenes precompiladas de Marketplace con determinadas configuraciones de línea base aplicadas previamente. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Shared

Guía de configuración: cuando sea posible, use una imagen protegida preconfigurada de un proveedor de confianza, como Microsoft, o cree una línea base de configuración segura deseada en la plantilla de imagen de máquina virtual.

Los clientes también pueden usar imágenes de sistema operativo personalizadas para Azure Batch. Al usar la configuración de la máquina virtual para Azure Batch, asegúrese de que las imágenes personalizadas se endurezcan según las necesidades de su organización. Para la administración del ciclo de vida, los grupos almacenan las imágenes en una galería de imágenes compartidas. Puede configurar un proceso de compilación de imágenes segura mediante herramientas de Automatización de Azure, como Azure Image Builder.

Referencia: Uso de una imagen administrada para crear un grupo de imágenes personalizado

Imágenes de contenedores personalizados

Descripción: el servicio admite el uso de imágenes de contenedor proporcionadas por el usuario o imágenes precompiladas de Marketplace con determinadas configuraciones de línea base aplicadas previamente. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Cierto	Falso	Shared

Guía de configuración: si usa el grupo de Batch para ejecutar tareas en contenedores compatibles con Docker en los nodos, use imágenes de contenedor protegidas preconfiguradas de un proveedor de confianza, como Microsoft, o cree la línea base de configuración segura deseada en la plantilla de imagen de contenedor.

Referencia: Ejecución de aplicaciones de contenedor en Azure Batch

PV-5: Realizar evaluaciones de vulnerabilidades

Características

Evaluación de vulnerabilidades mediante Microsoft Defender

Descripción: el servicio se puede examinar para detectar vulnerabilidades mediante Microsoft Defender for Cloud u otra funcionalidad de evaluación de vulnerabilidades insertada de servicios de Microsoft Defender (incluido Microsoft Defender para servidor, registro de contenedor, App Service, SQL y DNS). Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

PV-6: Corrección rápida y automática de vulnerabilidades

Características

Update Management en Azure Automation

Descripción: el servicio puede usar Update Management de Azure Automation para implementar revisiones y actualizaciones automáticamente. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

Seguridad de los puntos de conexión

Para obtener más información, consulte La prueba comparativa de seguridad en la nube de Microsoft: Seguridad de los puntos de conexión.

ES-1: uso de la detección y respuesta de puntos de conexión (EDR)

Características

Solución EDR

Descripción: la característica detección y respuesta de puntos de conexión (EDR), como Azure Defender para servidores, se puede implementar en el punto de conexión. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

ES-2: Usar software antimalware moderno

Características

Solución antimalware

Descripción: Características antimalware, como Microsoft Defender Antivirus y Microsoft Defender para Endpoint, se pueden implementar en el punto de conexión. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

ES-3: Asegurarse de que se actualizan las firmas y el software antimalware

Características

Supervisión del estado de la solución antimalware

Descripción: La solución antimalware proporciona supervisión del estado de salud para la plataforma, el motor y las actualizaciones automáticas de firma. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

Copia de seguridad y recuperación

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Copia de seguridad y recuperación.

BR-1: Garantizar copias de seguridad automatizadas normales

Características

Azure Backup

Descripción: El servicio puede ser respaldado por el servicio Azure Backup. Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

Funcionalidad de copia de seguridad nativa del servicio

Descripción: el servicio admite su propia funcionalidad de copia de seguridad nativa (si no usa Azure Backup). Más información.

Compatible	Habilitado de forma predeterminada	Responsabilidad de configuración
Falso	No es aplicable	No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

Pasos siguientes

• Consulte la introducción al banco de pruebas de seguridad en la nube de Microsoft.
• Más información sobre las líneas base de seguridad de Azure