Partage via

Ligne de base de sécurité Azure pour Container Registry

  • Article

Cette base de référence de sécurité applique des conseils du benchmark de sécurité cloud Microsoft version 1.0 à Container Registry. Le point de référence de sécurité du cloud Microsoft fournit des recommandations sur la façon dont vous pouvez sécuriser vos solutions cloud sur Azure. Le contenu est regroupé par les contrôles de sécurité définis par le benchmark de sécurité cloud Microsoft et les instructions associées applicables à Container Registry.

Vous pouvez superviser cette base de référence de la sécurité et ses recommandations en utilisant Microsoft Defender pour le cloud. Les définitions d’Azure Policy sont répertoriées dans la section Conformité réglementaire de la page du portail de Microsoft Defender pour le cloud.

Lorsqu’une fonctionnalité a des définitions Azure Policy pertinentes, elles sont répertoriées dans cette base de référence pour vous aider à mesurer la conformité aux recommandations et contrôles du benchmark de sécurité cloud Microsoft. Certaines suggestions peuvent nécessiter un plan Microsoft Defender payant pour activer des scénarios particuliers de sécurité.

Remarque

Les fonctionnalités non applicables à Container Registry ont été exclues. Pour voir comment Container Registry est entièrement mappé au benchmark de sécurité cloud Microsoft, consultez le fichier de mappage complet de la base de référence de sécurité Container Registry.

Profil de sécurité

Le profil de sécurité récapitule les comportements à fort impact de Container Registry, ce qui peut entraîner une augmentation des considérations de sécurité.

Attribut comportement du service Valeur
Catégorie de produit Calcul, conteneurs
Le client peut accéder à HOST/OS Aucun accès
Le service peut être déployé dans le réseau virtuel du client False
Stocke le contenu du client au repos True

Sécurité du réseau

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : sécurité réseau.

NS-1 : Établir des limites de segmentation réseau

Fonctionnalités

Intégration du réseau virtuel

Description : Le service prend en charge le déploiement dans un réseau virtuel (VNet) privé d’un client. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
False Non applicable Non applicable

Aide sur la configuration : Cette fonctionnalité n’est pas prise en charge pour la sécurisation de ce service.

Prise en charge des groupes de sécurité réseau

Description : Le trafic de réseau du service respecte l’affectation de règles aux groupes de sécurité réseau sur ses sous-réseaux. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
False Non applicable Non applicable

Aide sur la configuration : Cette fonctionnalité n’est pas prise en charge pour la sécurisation de ce service.

NS-2 : Sécuriser les services cloud avec des contrôles réseau

Fonctionnalités

Description : Fonctionnalité de filtrage IP natif du service pour le filtrage du trafic réseau (à ne pas confondre avec le groupe de sécurité réseau ou Pare-feu Azure). Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True False Client

Guide de configuration : Déployer des points de terminaison privés pour toutes les ressources Azure qui prennent en charge la fonctionnalité Private Link, afin d’établir un point d’accès privé pour les ressources.

Référence : Se connecter en privé à un registre de conteneurs Azure à l’aide d’Azure Private Link

Désactiver l’accès public au réseau

Description : Le service prend en charge la désactivation de l’accès au réseau public via l’utilisation d’une règle de filtrage de liste de contrôle d’accès IP au niveau du service (et non pas NSG ou Pare-feu Azure) ou l’utilisation du bouton bascule pour activer « Désactiver l’accès réseau public ». Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True False Client

Guide de configuration : Désactivez l’accès au réseau public à l’aide de la règle de filtrage ACL IP au niveau du service ou en activant le paramètre « désactiver l’accès réseau public » sur le service.

Référence : Désactiver l’accès au réseau public

Surveillance de Microsoft Defender pour le cloud

Définitions Azure Policy intégrées - Microsoft.ContainerRegistry :

Nom
(Portail Azure)		 Description Effet(s) Version
(GitHub)
Les registres de conteneurs ne doivent pas autoriser un accès réseau non restreint Par défaut, les registres de conteneurs Azure acceptent les connexions via Internet à partir d’hôtes situés sur n’importe quel réseau. Pour protéger vos registres des menaces potentielles, autorisez l’accès uniquement à partir de points de terminaison privés, d’adresses ou de plages d’adresses IP publiques spécifiques. Si aucune règle réseau n’est configurée pour votre registre, celui-ci apparaît dans les ressources non saines. Découvrez plus en détail les règles réseau de Container Registry ici : https://aka.ms/acr/privatelink, https://aka.ms/acr/portal/public-network et https://aka.ms/acr/vnet. Audit, Refuser, Désactivé 2.0.0

Gestion des identités

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Gestion des identités.

IM-1 : utiliser le système centralisé d’identité et d’authentification

Fonctionnalités

Azure AD Authentication requis pour l’accès au plan de données

Description : Le service prend en charge l’utilisation de l’authentification Azure AD pour l’accès au plan de données. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True True Microsoft

Conseils de configuration : aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.

Référence : S’authentifier auprès d’un registre de conteneurs Azure

Méthodes d’authentification locales pour l’accès au plan de données

Description : Méthodes d’authentification locales prises en charge pour l’accès au plan de données, telles que le nom d’utilisateur local et le mot de passe. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True False Client

Notes sur la fonctionnalité : Dans la mesure du possible, évitez d’utiliser des méthodes d’authentification ou des comptes locaux. Ceux-ci doivent être désactivés. Utilisez plutôt Azure AD pour l’authentification, lorsque cela est possible.

Conseils de configuration : restreindre l’utilisation des méthodes d’authentification locales pour l’accès au plan de données. Au lieu de cela, utilisez Azure Active Directory (Azure AD) comme méthode d’authentification par défaut pour contrôler l’accès à votre plan de données.

Référence : Créer un jeton avec des autorisations délimitées au référentiel

IM-3 : gérer les identités d’application de façon sécurisée et automatique

Fonctionnalités

Identités managées

Description : Les actions du plan de données prennent en charge l’authentification en utilisant des identités managées. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True False Client

Conseils de configuration : Utilisez des identités managées Azure au lieu des principaux de service si possible, ce qui peut s’authentifier auprès des services et ressources Azure qui prennent en charge l’authentification Azure Active Directory (Azure AD). La plateforme assure entièrement la gestion, la rotation et la protection des informations d’identification d’identité managée, ce qui évite les informations d’identification codées en dur dans le code source ou les fichiers de configuration.

Référence : Utiliser une identité managée Azure pour s’authentifier auprès d’un registre de conteneurs Azure

Principaux de service

Description : Le plan de données prend en charge l’authentification en utilisant des principaux de service. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True False Client

Conseils supplémentaires : Bien que les principaux de service soient pris en charge par le service comme modèle d’authentification, nous vous recommandons d’utiliser les identités managées dans la mesure du possible.

Référence : Authentification Azure Container Registry avec des principaux de service

IM-7 : restreindre l’accès aux ressources en fonction des conditions

Fonctionnalités

Accès conditionnel pour le plan de données

Description : Vous pouvez contrôler l’accès au plan de données en utilisant des stratégies d’accès conditionnel Azure AD. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
False Non applicable Non applicable

Aide sur la configuration : Cette fonctionnalité n’est pas prise en charge pour la sécurisation de ce service.

Accès privilégié

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Accès privilégié.

PA-1 : séparer et limiter les utilisateurs hautement privilégiés/administratifs

Fonctionnalités

Comptes d’administrateur local

Description : Le service présente le concept d’un compte administratif local. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True False Client

Notes sur la fonctionnalité : Dans la mesure du possible, évitez d’utiliser des méthodes d’authentification ou des comptes locaux. Ceux-ci doivent être désactivés. Utilisez plutôt Azure AD pour l’authentification, lorsque cela est possible.

Aide sur la configuration : Désactivez tous les comptes administrateur locaux qui ne sont pas nécessaires pour les opérations d’administratives de routine, ou limitez-les à une utilisation en cas d’urgence. Chaque registre de conteneurs inclut un compte d’utilisateur administrateur, qui est désactivé par défaut.

Référence : S’authentifier auprès d’un registre de conteneurs Azure

PA-7 : Suivre le principe JEA, Just Enough Administration (privilège minimum)

Fonctionnalités

RBAC Azure pour des plans de données

Description : Vous pouvez utiliser le contrôle d’accès en fonction du rôle (RBAC) Azure (RBAC Azure) pour l’accès managé aux actions de plan de données du service. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True True Microsoft

Conseils de configuration : aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.

Référence : Rôles et autorisations Azure Container Registry

PA-8 : Déterminer le processus d’accès pour la prise en charge du fournisseur de cloud

Fonctionnalités

Customer Lockbox

Description : Customer Lockbox peut être utilisé pour l’accès au support Microsoft. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True False Client

Conseils de configuration : Dans les scénarios de support où Microsoft doit accéder à vos données, utilisez Customer Lockbox pour passer en revue, puis approuver ou rejeter chacune des demandes d’accès aux données de Microsoft.

Référence : Customer Lockbox pour Microsoft Azure

Protection des données

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Protection des données.

DP-1 : Découvrir, classer et étiqueter des données sensibles

Fonctionnalités

Découverte et classification des données sensibles

Description : Les outils (tels qu’Azure Purview ou Azure Protection des données) peuvent être utilisés pour la découverte et la classification des données dans le service. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
False Non applicable Non applicable

Aide sur la configuration : Cette fonctionnalité n’est pas prise en charge pour la sécurisation de ce service.

DP-2 : surveiller les anomalies et les menaces ciblant les données sensibles

Fonctionnalités

Fuite de données/protection contre la perte

Description : Le service prend en charge la solution DLP pour surveiller le déplacement des données sensibles (dans le contenu du client). Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True False Client

Guide de configuration : Désactivez les exportations de registre de conteneurs pour vous assurer que les données sont accessibles uniquement via le plan de données ('docker pull'). Cela garantit que les données ne peuvent pas être déplacées hors du Registre via « acr import » ou via « acr transfer ».

Référence : Les registres de conteneurs doivent avoir des exportations désactivées

DP-3 : chiffrer les données sensibles en transit

Fonctionnalités

Chiffrement des données en transit

Description : Le service prend en charge le chiffrement de données en transit pour le plan de données. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True True Microsoft

Conseils de configuration : aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.

Référence : Comment activer TLS 1.2 sur Azure Container Registry

DP-4 : activer le chiffrement des données au repos par défaut

Fonctionnalités

Chiffrement des données au repos à l’aide de clés de plateforme

Description : le chiffrement des données au repos à l’aide de clés de plateforme est pris en charge, tout contenu client au repos est chiffré avec ces clés gérées par Microsoft. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True True Microsoft

Conseils de configuration : aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.

Référence : Chiffrer le registre à l’aide d’une clé gérée par la plateforme

DP-5 : utiliser l’option de clé gérée par le client dans le chiffrement des données au repos si nécessaire

Fonctionnalités

Chiffrement des données au repos à l’aide de CMK

Description : Le chiffrement des données au repos à l’aide de clés gérées par le client est pris en charge pour le contenu client stocké par le service. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True False Client

Conseils de configuration : si nécessaire pour la conformité réglementaire, définissez le cas d’usage et l’étendue du service où le chiffrement à l’aide de clés gérées par le client est nécessaire. Activez et implémentez le chiffrement des données au repos à l’aide de la clé gérée par le client dans ces services.

Référence : Chiffrer le registre à l’aide d’une clé gérée par le client

Surveillance de Microsoft Defender pour le cloud

Définitions Azure Policy intégrées - Microsoft.ContainerRegistry :

Nom
(Portail Azure)		 Description Effet(s) Version
(GitHub)
Les registres de conteneurs doivent être chiffrés avec une clé gérée par le client Utilisez des clés gérées par le client pour gérer le chiffrement au repos du contenu de vos registres. Par défaut, les données sont chiffrées au repos avec des clés gérées par le service. Cependant, des clés gérées par le client sont généralement nécessaires pour répondre aux standards de la conformité réglementaire. Les clés gérées par le client permettent de chiffrer les données avec une clé Azure Key Vault que vous avez créée et dont vous êtes le propriétaire. Vous avez le contrôle total et la responsabilité du cycle de vie des clés, notamment leur permutation et leur gestion. Pour en savoir plus, rendez-vous sur https://aka.ms/acr/CMK. Audit, Refuser, Désactivé 1.1.2

DP-6 : Utiliser un processus sécurisé de gestion de clés

Fonctionnalités

Gestion des clés dans Azure Key Vault

Description : Le service prend en charge l’intégration d’Azure Key Vault pour toutes les clés, secrets ou certificats du client. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
False Non applicable Non applicable

Aide sur la configuration : Cette fonctionnalité n’est pas prise en charge pour la sécurisation de ce service.

Gestion des ressources

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Gestion des ressources.

AM-2 : Utiliser uniquement des services approuvés

Fonctionnalités

Prise en charge d’Azure Policy

Description : Vous pouvez monitorer et appliquer des configurations de service via Azure Policy. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True False Client

Conseils de configuration : Utilisez Microsoft Defender pour le cloud pour configurer Azure Policy pour auditer et appliquer les configurations de vos ressources Azure. Utilisez Azure Monitor pour créer des alertes en cas d’écart de configuration détecté sur les ressources. Utilisez azure Policy [refuser] et [déployer s’il n’existe pas] effets pour appliquer une configuration sécurisée sur les ressources Azure.

Référence : Auditer la conformité des registres de conteneurs Azure à l’aide d’Azure Policy

Journalisation et détection des menaces

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Journalisation et détection des menaces.

LT-1 : activer les fonctionnalités de détection des menaces

Fonctionnalités

Microsoft Defender pour les offres de services/produits

Description : Le service dispose d’une solution Microsoft Defender spécifique à l’offre pour surveiller et alerter sur les problèmes de sécurité. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True False Client

Conseils de configuration : utilisez la fonctionnalité de détection des menaces intégrée Microsoft Defender pour le cloud et activez Microsoft Defender pour vos ressources Container Registry. Microsoft Defender pour Container Registry fournit une couche supplémentaire d’informations de sécurité. Il détecte les tentatives inhabituelles et potentiellement dangereuses d’accès à vos ressources Container Registry ou d’exploitation de celles-ci.

Référence : Vue d’ensemble de Microsoft Defender pour conteneurs

LT-4 : Activer la journalisation pour l’examen de sécurité

Fonctionnalités

Journaux des ressources Azure

Description : le service produit des journaux de ressources qui peuvent fournir des métriques et une journalisation spécifiques au service améliorées. Le client peut configurer ces journaux de ressources et les envoyer à leur propre récepteur de données, comme un compte de stockage ou un espace de travail d’analytique des journaux d’activité. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
True False Client

Conseils de configuration : Activer les journaux de ressources Azure pour Container Registry. Vous pouvez utiliser Microsoft Defender pour le Cloud et Azure Policy pour activer la collecte des journaux de ressources et des données de journaux. Ces journaux peuvent être critiques pour l’investigation des incidents de sécurité et pour les investigations légales.

Référence : Surveiller Azure Container Registry

Sauvegarde et récupération

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Sauvegarde et récupération.

BR-1 : Garantir des sauvegardes automatiques régulières

Fonctionnalités

Azure Backup

Description : le service peut être sauvegardé par le service Sauvegarde Azure. Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
False Non applicable Non applicable

Aide sur la configuration : Cette fonctionnalité n’est pas prise en charge pour la sécurisation de ce service.

Fonctionnalité de sauvegarde native du service

Description : Le service prend en charge sa propre fonctionnalité de sauvegarde native (si vous n’utilisez pas Sauvegarde Azure). Plus d’informations

Pris en charge Activé par défaut Responsabilité de configuration
False Non applicable Non applicable

Aide sur la configuration : Cette fonctionnalité n’est pas prise en charge pour la sécurisation de ce service.

Étapes suivantes