Partager via

Base de référence de sécurité Azure pour azure Route Server

Cette base de référence de sécurité applique des conseils du benchmark de sécurité cloud Microsoft version 1.0 au serveur de routage Azure. Le benchmark de sécurité cloud Microsoft fournit des recommandations sur la façon dont vous pouvez sécuriser vos solutions cloud sur Azure. Le contenu est regroupé par les contrôles de sécurité définis par le benchmark de sécurité cloud Microsoft et les instructions associées applicables au serveur de routage Azure.

Vous pouvez surveiller cette base de référence de sécurité et ses recommandations à l’aide de Microsoft Defender pour Cloud. Les définitions d’Azure Policy sont répertoriées dans la section Conformité réglementaire de la page du portail Microsoft Defender pour cloud.

Lorsqu’une fonctionnalité a des définitions Azure Policy pertinentes, elles sont répertoriées dans cette base de référence pour vous aider à mesurer la conformité avec les contrôles et recommandations de benchmark de sécurité cloud Microsoft. Certaines recommandations peuvent nécessiter un plan Microsoft Defender payant pour activer certains scénarios de sécurité.

Remarque

Les fonctionnalités non applicables au serveur de routage Azure ont été exclues.

Profil de sécurité

Le profil de sécurité récapitule les comportements à impact élevé du serveur de routage Azure, ce qui peut entraîner une augmentation des considérations de sécurité.

Attribut de comportement de service Valeur
Catégorie de produit Réseautage
Le client peut accéder à HOST/OS Aucun accès
Le service peut être déployé dans le réseau virtuel du client Vrai
Stocke le contenu des clients au repos Faux

Sécurité réseau

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : sécurité réseau.

NS-1 : Établir des limites de segmentation du réseau

Fonctionnalités

Intégration de réseau virtuel

Description : le service prend en charge le déploiement dans le réseau virtuel privé du client. En savoir plus.

Soutenu Activé par défaut Responsabilité de la configuration
Vrai Vrai Microsoft

Conseils de configuration : aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.

Référence : Vue d’ensemble du serveur de routage Azure

Prise en charge des groupes de sécurité réseau

Description : Le trafic du réseau de service respecte l’attribution des règles des groupes de sécurité réseau sur ses sous-réseaux. En savoir plus.

Soutenu Activé par défaut Responsabilité de la configuration
Vrai Faux Client

Conseils de configuration : Utilisez des groupes de sécurité réseau (NSG) pour restreindre ou surveiller le trafic par port, protocole, adresse IP source ou adresse IP de destination. Créez des règles de groupe de sécurité réseau pour restreindre les ports ouverts de votre service (par exemple, empêcher l’accès aux ports de gestion à partir de réseaux non approuvés). N’oubliez pas que par défaut, les groupes de sécurité réseau refusent tout le trafic entrant, mais autorisent le trafic provenant du réseau virtuel et d’équilibreurs de charge Azure.

Remarque : Les clients ne peuvent pas configurer un UDR avec un itinéraire par défaut sur RouteServerSubnet. Cela est cohérent avec d’autres services de passerelle hybride ; et documentés publiquement pour les clients.

Accès privilégié

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Accès privilégié.

PA-8 : Déterminer le processus d’accès pour la prise en charge du fournisseur de services cloud

Fonctionnalités

Coffre-fort Client

Description : Customer Lockbox peut être utilisé pour l’accès au support Microsoft. En savoir plus.

Soutenu Activé par défaut Responsabilité de la configuration
Faux Sans objet Sans objet

Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.

Gestion des ressources

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Gestion des ressources.

AM-2 : Utiliser uniquement les services approuvés

Fonctionnalités

Prise en charge d’Azure Policy

Description : Les configurations de service peuvent être surveillées et appliquées via Azure Policy. En savoir plus.

Soutenu Activé par défaut Responsabilité de la configuration
Faux Sans objet Sans objet

Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.

Journalisation et détection des menaces

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Journalisation et détection des menaces.

LT-4 : Activer la journalisation pour l’enquête de sécurité

Fonctionnalités

Journaux des ressources Azure

Description : le service produit des journaux de ressources qui peuvent fournir des métriques et une journalisation spécifiques au service améliorées. Le client peut configurer ces journaux de ressources et les envoyer à leur propre récepteur de données, comme un compte de stockage ou un espace de travail Log Analytics. En savoir plus.

Soutenu Activé par défaut Responsabilité de la configuration
Faux Sans objet Sans objet

Remarques sur les fonctionnalités : bien que cette fonctionnalité ne soit pas prise en charge, les métriques de plateforme sont disponibles pour une utilisation par le client.

Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.

Sauvegarde et récupération

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Sauvegarde et récupération.

BR-1 : Garantir des sauvegardes automatisées régulières

Fonctionnalités

Fonctionnalité de sauvegarde native du service

Description : le service prend en charge sa propre fonctionnalité de sauvegarde native (si elle n’utilise pas Sauvegarde Azure). En savoir plus.

Soutenu Activé par défaut Responsabilité de la configuration
Vrai Vrai Microsoft

Conseils de configuration : aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.

Étapes suivantes