Base de sécurité Azure pour Azure Load Balancer

  • Article

Cette base de référence de sécurité applique les conseils du benchmark de sécurité cloud Microsoft version 1.0 à Azure Load Balancer. Le Benchmark de sécurité Microsoft Cloud fournit des recommandations sur la façon dont vous pouvez sécuriser vos solutions cloud sur Azure. Le contenu est regroupé selon les contrôles de sécurité définis par le benchmark de sécurité cloud Microsoft et les conseils associés applicables aux Azure Load Balancer.

Vous pouvez superviser cette base de référence de la sécurité et ses recommandations en utilisant Microsoft Defender pour le cloud. Azure Policy définitions sont répertoriées dans la section Conformité réglementaire de la page Microsoft Defender pour le portail cloud.

Lorsqu’une fonctionnalité a des définitions de Azure Policy pertinentes, elles sont répertoriées dans cette base de référence pour vous aider à mesurer la conformité avec les contrôles et recommandations du benchmark de sécurité cloud Microsoft. Certaines recommandations peuvent nécessiter un plan de Microsoft Defender payant pour activer certains scénarios de sécurité.

Notes

Les fonctionnalités non applicables à Azure Load Balancer ont été exclues. Pour voir comment Azure Load Balancer est entièrement mappé au benchmark de sécurité cloud Microsoft, consultez le fichier de mappage complet de la base de référence de sécurité Azure Load Balancer.

Profil de sécurité

Le profil de sécurité résume les comportements à fort impact de Azure Load Balancer, ce qui peut entraîner des considérations de sécurité accrues.

Attribut de comportement du service Valeur
Catégorie de produit Mise en réseau
Le client peut accéder à HOST/OS Aucun accès
Le service peut être déployé dans le réseau virtuel du client False
Stocke le contenu client au repos False

Sécurité du réseau

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Sécurité réseau.

NS-1 : Établir des limites de segmentation réseau

Fonctionnalités

Intégration du réseau virtuel

Description : Le service prend en charge le déploiement dans le Réseau virtuel privé (VNet) du client. Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
Vrai False Customer

Remarques sur les fonctionnalités : bien que la ressource Azure Load Balancer ne se déploie pas directement dans un Réseau virtuel, la référence SKU interne peut créer une ou plusieurs configurations IP front-end à l’aide d’un Réseau virtuel Azure cible.

Conseils de configuration : Azure propose deux types d’offres Load Balancer, Standard et De base. Utilisez des équilibreurs de charge Azure internes pour autoriser uniquement le trafic vers les ressources principales à partir de certains réseaux virtuels ou réseaux virtuels appairés sans exposition à Internet. Implémentez un équilibreur de charge externe avec traduction d’adresses réseau source (SNAT) pour maquiller les adresses IP des ressources principales pour la protection contre l’exposition directe à Internet.

Référence : Configuration IP interne Load Balancer frontend

Prise en charge des groupes de sécurité réseau

Description : Le trafic réseau de service respecte l’attribution de règles groupes de sécurité réseau sur ses sous-réseaux. Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
Vrai False Customer

Remarques sur les fonctionnalités : les utilisateurs peuvent configurer un groupe de sécurité réseau sur leur réseau virtuel, mais pas directement sur le Load Balancer.

Conseils de configuration : Implémentez des groupes de sécurité réseau et autorisez uniquement l’accès aux ports approuvés et aux plages d’adresses IP de votre application. Dans les cas où aucun groupe de sécurité réseau n’est affecté au sous-réseau principal ou à la carte réseau des machines virtuelles back-end, le trafic ne sera pas autorisé à accéder à ces ressources à partir de l’équilibreur de charge. Les équilibreurs de charge standard fournissent des règles de trafic sortant pour définir une NAT sortante avec un groupe de sécurité réseau. Passez en revue les règles de trafic sortant pour régler le comportement de vos connexions sortantes.

Le Standard Load Balancer est conçu pour être sécurisé par défaut et fait partie d’un réseau virtuel privé et isolé. Il est fermé aux flux entrants, sauf s’il est ouvert par des groupes de sécurité réseau pour autoriser explicitement le trafic autorisé, et pour interdire les adresses IP malveillantes connues. À moins qu’un groupe de sécurité réseau sur un sous-réseau ou une carte réseau de votre ressource de machine virtuelle n’existe derrière l’équilibreur de charge, le trafic n’est pas autorisé à atteindre cette ressource.

Remarque : l’utilisation d’un Standard Load Balancer est recommandée pour vos charges de travail de production et le Load Balancer de base est généralement utilisé uniquement à des fins de test, car le type de base est ouvert aux connexions à partir d’Internet par défaut et ne nécessite pas de groupes de sécurité réseau pour le fonctionnement.

Référence : configuration ip frontend Azure Load Balancer

Surveillance de Microsoft Defender pour le cloud

Définitions Azure Policy intégrées – Microsoft.Network :

Nom
(Portail Azure)		 Description Effet(s) Version
(GitHub)
les sous-réseaux doivent être associés à un groupe de sécurité réseau Protégez votre sous-réseau contre les menaces potentielles en y limitant l’accès avec un groupe de sécurité réseau (NSG). Les NSG contiennent une liste de règles de liste de contrôle d’accès (ACL) qui autorisent ou refusent le trafic réseau vers votre sous-réseau. AuditIfNotExists, Désactivé 3.0.0

Gestion des ressources

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Gestion des ressources.

AM-2 : Utiliser uniquement des services approuvés

Fonctionnalités

Prise en charge d’Azure Policy

Description : les configurations de service peuvent être surveillées et appliquées via Azure Policy. Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
Vrai False Customer

Conseils de configuration : Définissez et implémentez des configurations de sécurité standard pour les ressources Azure à l’aide de Azure Policy. Attribuez des définitions de stratégie intégrées liées à vos ressources Azure Load Balancer spécifiques. Quand aucune définition de stratégie intégrée n’est disponible, vous pouvez utiliser Azure Policy alias pour créer des stratégies personnalisées afin d’auditer ou d’appliquer la configuration de vos ressources Azure Load Balancer dans l’espace de noms « Microsoft.Network ».

Étapes suivantes