Base de référence de sécurité Azure pour Azure Cache pour Redis
Article
Cette base de référence de sécurité applique les conseils du benchmark de sécurité cloud Microsoft version 1.0 à Azure Cache pour Redis. Le Benchmark de sécurité Microsoft Cloud fournit des recommandations sur la façon dont vous pouvez sécuriser vos solutions cloud sur Azure. Le contenu est regroupé par les contrôles de sécurité définis par le benchmark de sécurité cloud Microsoft et les conseils associés applicables à Azure Cache pour Redis.
Vous pouvez superviser cette base de référence de la sécurité et ses recommandations en utilisant Microsoft Defender pour le cloud. Azure Policy définitions seront répertoriées dans la section Conformité réglementaire de la page du portail Microsoft Defender pour le cloud.
Lorsqu’une fonctionnalité a des définitions de Azure Policy pertinentes, elles sont répertoriées dans cette base de référence pour vous aider à mesurer la conformité aux recommandations et contrôles de référence de sécurité cloud Microsoft. Certaines recommandations peuvent nécessiter un plan de Microsoft Defender payant pour activer certains scénarios de sécurité.
Description : Le service prend en charge le déploiement dans le Réseau virtuel privé (VNet) du client.
Plus d’informations
Prise en charge
Activé par défaut
Responsabilité de la configuration
True
False
Client
Remarques sur les fonctionnalités : cette fonctionnalité est uniquement prise en charge avec un niveau Premium Azure Cache pour Redis instance.
Conseils de configuration : Déployez le service dans un réseau virtuel. Attribuez des adresses IP privées à la ressource (le cas échéant), sauf s’il existe une raison forte d’affecter des adresses IP publiques directement à la ressource.
Description : Le trafic réseau de service respecte l’attribution de règles groupes de sécurité réseau sur ses sous-réseaux.
Plus d’informations
Prise en charge
Activé par défaut
Responsabilité de la configuration
True
False
Client
Remarques sur les fonctionnalités : cette fonctionnalité s’applique uniquement aux caches injectés de réseau virtuel.
Conseils de configuration : Utilisez des groupes de sécurité réseau (NSG) pour restreindre ou surveiller le trafic par port, protocole, adresse IP source ou adresse IP de destination. Créez des règles NSG pour restreindre les ports ouverts de votre service (par exemple, pour empêcher l’accès aux ports de gestion à partir de réseaux non approuvés). N’oubliez pas que par défaut, les groupes de sécurité réseau refusent tout le trafic entrant, mais autorisent le trafic provenant du réseau virtuel et d’équilibreurs de charge Azure.
NS-2 : Sécuriser les services cloud avec des contrôles réseau
Fonctionnalités
Azure Private Link
Description : Fonctionnalité de filtrage IP native de service pour filtrer le trafic réseau (à ne pas confondre avec NSG ou Pare-feu Azure).
Plus d’informations
Prise en charge
Activé par défaut
Responsabilité de la configuration
True
False
Client
Remarques sur les fonctionnalités : cette fonctionnalité n’est pas prise en charge sur les caches déployés dans les réseaux virtuels classiques.
Conseils de configuration : Déployez des points de terminaison privés pour toutes les ressources Azure qui prennent en charge la fonctionnalité Private Link, afin d’établir un point d’accès privé pour les ressources.
Description : Le service prend en charge la désactivation de l’accès au réseau public à l’aide d’une règle de filtrage ACL IP de niveau de service (pas de groupe de sécurité réseau ou de Pare-feu Azure) ou à l’aide d’un commutateur bascule « Désactiver l’accès réseau public ».
Plus d’informations
Prise en charge
Activé par défaut
Responsabilité de la configuration
True
True
Microsoft
Remarques sur les fonctionnalités : cette fonctionnalité n’est pas prise en charge sur les caches déployés dans les réseaux virtuels classiques. L’indicateur publicNetworkAccess est désactivé par défaut.
Conseils de configuration : Aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.
Les points de terminaison privés vous permettent de connecter votre réseau virtuel aux services Azure sans IP publique au niveau de la source ou de la destination. En mappant des points de terminaison privés à vos instances Azure Cache pour Redis, les risques de fuite de données sont réduits. Pour en savoir plus, rendez-vous à l’adresse suivante : https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.
IM-1 : utiliser le système centralisé d’identité et d’authentification
Fonctionnalités
Azure AD Authentication requis pour l’accès au plan de données
Description : Le service prend en charge l’utilisation de l’authentification Azure AD pour l’accès au plan de données.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Méthodes d’authentification locales pour l’accès au plan de données
Description : méthodes d’authentification locales prises en charge pour l’accès au plan de données, telles qu’un nom d’utilisateur et un mot de passe locaux.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
True
True
Microsoft
Remarques sur les fonctionnalités : évitez d’utiliser des comptes ou des méthodes d’authentification locaux. Ceux-ci doivent être désactivés dans la mesure du possible. Utilisez plutôt Azure AD pour vous authentifier lorsque cela est possible.
Conseils de configuration : Aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.
IM-3 : gérer les identités d’application de façon sécurisée et automatique
Fonctionnalités
Identités managées
Description : les actions du plan de données prennent en charge l’authentification à l’aide d’identités managées.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Principaux de service
Description : Le plan de données prend en charge l’authentification à l’aide de principaux de service.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
IM-7 : restreindre l’accès aux ressources en fonction des conditions
Fonctionnalités
Accès conditionnel pour le plan de données
Description : L’accès au plan de données peut être contrôlé à l’aide de stratégies d’accès conditionnel Azure AD.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
IM-8 : restreindre l’exposition des informations d’identification et des secrets
Fonctionnalités
Prise en charge de l’intégration et du stockage des informations d’identification et des secrets de service dans Azure Key Vault
Description : Le plan de données prend en charge l’utilisation native d’Azure Key Vault pour le magasin d’informations d’identification et de secrets.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
PA-1 : Séparer et limiter les utilisateurs hautement privilégiés/administratifs
Fonctionnalités
Comptes Administration locaux
Description : le service a le concept d’un compte d’administration local.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
PA-7 : Suivre le principe JEA, Just Enough Administration (privilège minimum)
Fonctionnalités
Azure RBAC pour le plan de données
Description : Azure Role-Based Access Control (Azure RBAC) peut être utilisé pour gérer l’accès aux actions du plan de données du service.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
PA-8 : Déterminer le processus d’accès pour la prise en charge du fournisseur de services cloud
Fonctionnalités
Customer Lockbox
Description : Customer Lockbox peut être utilisé pour l’accès au support Microsoft.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
DP-1 : Découvrir, classer et étiqueter des données sensibles
Fonctionnalités
Découverte et classification des données sensibles
Description : Les outils (comme Azure Purview ou Azure Information Protection) peuvent être utilisés pour la découverte et la classification des données dans le service.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
DP-2 : surveiller les anomalies et les menaces ciblant les données sensibles
Fonctionnalités
Protection contre les fuites/pertes de données
Description : Le service prend en charge la solution DLP pour surveiller le déplacement des données sensibles (dans le contenu du client).
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
DP-3 : chiffrer les données sensibles en transit
Fonctionnalités
Chiffrement des données en transit
Description : Le service prend en charge le chiffrement des données en transit pour le plan de données.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
True
True
Microsoft
Conseils de configuration : Aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.
Auditer l’activation des connexions établies uniquement par le biais de SSL au cache Azure pour Redis. L'utilisation de connexions sécurisées garantit l'authentification entre le serveur et le service et protège les données en transit contre les attaques de la couche réseau (attaque de l'intercepteur ou « man-in-the-middle », écoute clandestine, détournement de session).
DP-4 : activer le chiffrement des données au repos par défaut
Fonctionnalités
Chiffrement des données au repos à l’aide de clés de plateforme
Description : Le chiffrement des données au repos à l’aide de clés de plateforme est pris en charge, tout contenu client au repos est chiffré avec ces clés gérées par Microsoft.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
True
True
Microsoft
Remarques sur les fonctionnalités : cette fonctionnalité n’est pas prise en charge sur les caches déployés dans les réseaux virtuels classiques.
Conseils de configuration : Aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.
DP-5 : utiliser l’option de clé gérée par le client dans le chiffrement des données au repos si nécessaire
Fonctionnalités
Chiffrement des données au repos à l’aide de CMK
Description : Le chiffrement des données au repos à l’aide de clés gérées par le client est pris en charge pour le contenu client stocké par le service.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
DP-6 : Utiliser un processus sécurisé de gestion de clés
Fonctionnalités
Gestion des clés dans Azure Key Vault
Description : Le service prend en charge l’intégration d’Azure Key Vault pour les clés client, les secrets ou les certificats.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
DP-7 : utiliser un processus de gestion des certificats sécurisé
Fonctionnalités
Gestion des certificats dans Azure Key Vault
Description : Le service prend en charge l’intégration d’Azure Key Vault pour tous les certificats clients.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Description : les configurations de service peuvent être surveillées et appliquées via Azure Policy.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
True
False
Client
Conseils de configuration : utilisez Microsoft Defender pour le cloud afin de configurer Azure Policy d’auditer et d’appliquer des configurations de vos ressources Azure. Utilisez Azure Monitor pour créer des alertes en cas d’écart de configuration détecté sur les ressources. Utilisez Azure Policy effets [refuser] et [déployer s’il n’existe pas] pour appliquer une configuration sécurisée sur les ressources Azure.
LT-1 : activer les fonctionnalités de détection des menaces
Fonctionnalités
Microsoft Defender pour les offres de services/produits
Description : Le service dispose d’une solution de Microsoft Defender spécifique à l’offre pour surveiller et alerter sur les problèmes de sécurité.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
LT-4 : Activer la journalisation pour l’examen de sécurité
Fonctionnalités
Journaux des ressources Azure
Description : le service produit des journaux de ressources qui peuvent fournir des métriques et une journalisation améliorées spécifiques au service. Le client peut configurer ces journaux de ressources et les envoyer à son propre récepteur de données, comme un compte de stockage ou un espace de travail Log Analytics.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
True
Faux
Client
Conseils de configuration : activez les journaux de ressources pour le service. Par exemple, Key Vault prend en charge des journaux de ressources supplémentaires pour les actions qui obtiennent un secret à partir d’un coffre de clés ou Azure SQL a des journaux de ressources qui effectuent le suivi des demandes adressées à une base de données. Le contenu des journaux de ressources varie en fonction du service Azure et du type de ressource.
Présentation conceptuelle de la résidence et de la souveraineté des données, et vue d’ensemble des options fournies par Azure pour les organismes publics afin de protéger leurs données dans le cloud.
Administrer une infrastructure de base de données SQL Server pour les bases de données relationnelles cloud, locales et hybrides à l’aide des offres de bases de données relationnelles Microsoft PaaS.
Liste les contrôles de conformité réglementaire d’Azure Policy pour Azure Cache for Redis Ces définitions de stratégie intégrées fournissent des approches courantes pour la gestion de la conformité de vos ressources Azure.
Liste les définitions de stratégie intégrées d’Azure Policy pour Azure Cache pour Redis. Ces définitions de stratégie intégrées fournissent des approches courantes pour la gestion de vos ressources Azure.