Base de référence de sécurité Azure pour azure Operator Service Manager - AOSM
Article
Cette base de référence de sécurité applique les conseils du benchmark de sécurité cloud Microsoft version 1.0 à Azure Operator Service Manager - AOSM. Le Benchmark de sécurité Microsoft Cloud fournit des recommandations sur la façon dont vous pouvez sécuriser vos solutions cloud sur Azure. Le contenu est regroupé par les contrôles de sécurité définis par le benchmark de sécurité cloud Microsoft et les instructions associées applicables à Azure Operator Service Manager - AOSM.
Vous pouvez superviser cette base de référence de la sécurité et ses recommandations en utilisant Microsoft Defender pour le cloud. Azure Policy définitions seront répertoriées dans la section Conformité réglementaire de la page du portail Microsoft Defender pour le cloud.
Lorsqu’une fonctionnalité a des définitions de Azure Policy pertinentes, elles sont répertoriées dans cette base de référence pour vous aider à mesurer la conformité aux recommandations et contrôles de référence de sécurité cloud Microsoft. Certaines recommandations peuvent nécessiter un plan de Microsoft Defender payant pour activer certains scénarios de sécurité.
Le profil de sécurité résume les comportements à impact élevé de l’opérateur Azure Service Manager - AOSM, ce qui peut entraîner des considérations de sécurité accrues.
Attribut de comportement du service
Valeur
Catégorie de produit
DevOps, hybride/multicloud, mise en réseau
Le client peut accéder à HOST/OS
Aucun accès
Le service peut être déployé dans le réseau virtuel du client
Description : Le service prend en charge le déploiement dans le Réseau virtuel privé (VNet) du client.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Remarques sur les fonctionnalités : cela va changer avec Private Link implémentation. Nous allons ensuite mettre à jour la documentation de base.
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
NS-2 : Sécuriser les services cloud avec des contrôles réseau
Fonctionnalités
Azure Private Link
Description : Fonctionnalité de filtrage IP native de service pour filtrer le trafic réseau (à ne pas confondre avec NSG ou Pare-feu Azure).
Plus d’informations
Prise en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Remarques sur les fonctionnalités : Private Link n’est pas pris en charge pour le moment. Cette fonctionnalité peut être prise en charge dans la prochaine version.
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Désactiver l’accès public au réseau
Description : Le service prend en charge la désactivation de l’accès au réseau public à l’aide d’une règle de filtrage ACL IP de niveau de service (pas de groupe de sécurité réseau ou de Pare-feu Azure) ou à l’aide d’un commutateur bascule « Désactiver l’accès réseau public ».
Plus d’informations
Prise en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Remarques sur les fonctionnalités : en ce qui concerne la DLP , lorsque notre travail en cours pour activer Private Link est terminé, nous pouvons attester de cette fonctionnalité.
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
IM-3 : gérer les identités d’application de façon sécurisée et automatique
Fonctionnalités
Identités managées
Description : les actions de plan de données prennent en charge l’authentification à l’aide d’identités managées.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Remarques sur les fonctionnalités : l’identité managée n’est pas nécessaire pour utiliser l’opérateur Azure Service Manager. Toutefois, le client peut être tenu d’utiliser une identité managée affectée par l’utilisateur et les autorisations requises dépendent de la conception du service réseau (NSD).
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
PA-7 : Suivre le principe JEA, Just Enough Administration (privilège minimum)
Fonctionnalités
RBAC Azure pour le plan de données
Description : Azure Role-Based Access Control (Azure RBAC) peut être utilisé pour gérer l’accès aux actions de plan de données du service.
Plus d’informations
Prise en charge
Activé par défaut
Responsabilité de la configuration
True
False
Client
Remarques sur les fonctionnalités : le client peut créer des rôles personnalisés fournissant les autorisations nécessaires pour accéder aux Service Manager d’opérateur Azure.
Conseils de configuration : Il n’existe aucune aide Microsoft actuelle pour cette configuration de fonctionnalité. Vérifiez et déterminez si votre organization souhaite configurer cette fonctionnalité de sécurité.
PA-8 : Déterminer le processus d’accès pour la prise en charge du fournisseur de services cloud
Fonctionnalités
Customer Lockbox
Description : Customer Lockbox peut être utilisé pour l’accès au support Microsoft.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
Faux
Non applicable
Non applicable
Remarques sur les fonctionnalités : Customer Lockbox n’est pas pris en charge pour l’instant. Cette fonctionnalité peut être prise en charge dans les versions ultérieures.
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
DP-1 : Découvrir, classer et étiqueter des données sensibles
Fonctionnalités
Découverte et classification des données sensibles
Description : Les outils (comme Azure Purview ou Azure Information Protection) peuvent être utilisés pour la découverte et la classification des données dans le service.
Plus d’informations
Prise en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
DP-2 : surveiller les anomalies et les menaces ciblant les données sensibles
Fonctionnalités
Protection contre les fuites/pertes de données
Description : Le service prend en charge la solution DLP pour surveiller le déplacement des données sensibles (dans le contenu du client).
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Remarques sur les fonctionnalités : Nous avons des travaux en cours pour permettre aux clients de Private Link sur notre service. La documentation de base doit être mise à jour une fois ce travail terminé.
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
DP-3 : chiffrer les données sensibles en transit
Fonctionnalités
Chiffrement des données en transit
Description : Le service prend en charge le chiffrement des données en transit pour le plan de données.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
True
True
Microsoft
Conseils de configuration : Aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.
DP-4 : activer le chiffrement des données au repos par défaut
Fonctionnalités
Chiffrement des données au repos à l’aide de clés de plateforme
Description : Le chiffrement des données au repos à l’aide de clés de plateforme est pris en charge, tout contenu client au repos est chiffré avec ces clés gérées par Microsoft.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
True
True
Microsoft
Conseils de configuration : Aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.
DP-5 : utiliser l’option de clé gérée par le client dans le chiffrement des données au repos si nécessaire
Fonctionnalités
Chiffrement des données au repos à l’aide de CMK
Description : Le chiffrement des données au repos à l’aide de clés gérées par le client est pris en charge pour le contenu client stocké par le service.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
Faux
Non applicable
Non applicable
Remarques sur les fonctionnalités : Le chiffrement des données au repos à l’aide de CMK n’est pas pris en charge pour l’instant. Cette fonctionnalité peut être prise en charge pour le chiffrement des fichiers binaires au sein du client client dans une version ultérieure.
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
DP-6 : Utiliser un processus sécurisé de gestion de clés
Fonctionnalités
Gestion des clés dans Azure Key Vault
Description : Le service prend en charge l’intégration d’Azure Key Vault pour les clés client, les secrets ou les certificats.
Plus d’informations
Pris en charge
Activé par défaut
Responsabilité de la configuration
True
True
Microsoft
Remarques sur les fonctionnalités : Azure Key Vault n’est pas nécessaire pour utiliser le service Azure Operator Manager. Toutefois, les clients peuvent utiliser Azure Key Vault pour gérer en toute sécurité les clés des charges de travail déployées via le service Azure Operator Manager.
Conseils de configuration : Aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.
Description : les configurations de service peuvent être surveillées et appliquées via Azure Policy.
Plus d’informations
Prise en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Remarques sur les fonctionnalités : la fonctionnalité est prise en charge, mais aucune documentation de test ni de documentation destinée aux clients n’est disponible pour l’instant.
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
LT-1 : activer les fonctionnalités de détection des menaces
Fonctionnalités
Microsoft Defender pour les offres de services/produits
Description : le service dispose d’une solution de Microsoft Defender spécifique à l’offre pour surveiller et alerter sur les problèmes de sécurité.
Plus d’informations
Prise en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
LT-4 : Activer la journalisation pour l’examen de sécurité
Fonctionnalités
Journaux des ressources Azure
Description : le service produit des journaux de ressources qui peuvent fournir des métriques et une journalisation améliorées spécifiques au service. Le client peut configurer ces journaux de ressources et les envoyer à son propre récepteur de données, comme un compte de stockage ou un espace de travail Log Analytics.
Plus d’informations
Prise en charge
Activé par défaut
Responsabilité de la configuration
False
Non applicable
Non applicable
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.