Ligne de base de sécurité Azure pour ExpressRoute
Cette base de référence de sécurité applique les conseils du benchmark de sécurité cloud Microsoft version 1.0 à ExpressRoute. Le Benchmark de sécurité Microsoft Cloud fournit des recommandations sur la façon dont vous pouvez sécuriser vos solutions cloud sur Azure. Le contenu est regroupé selon les contrôles de sécurité définis par le benchmark de sécurité cloud Microsoft et les conseils associés applicables à ExpressRoute.
Vous pouvez superviser cette base de référence de la sécurité et ses recommandations en utilisant Microsoft Defender pour le cloud. Azure Policy définitions sont répertoriées dans la section Conformité réglementaire de la page Microsoft Defender pour le portail cloud.
Lorsqu’une fonctionnalité a des définitions de Azure Policy pertinentes, elles sont répertoriées dans cette base de référence pour vous aider à mesurer la conformité avec les contrôles et recommandations du benchmark de sécurité cloud Microsoft. Certaines recommandations peuvent nécessiter un plan de Microsoft Defender payant pour activer certains scénarios de sécurité.
Notes
Les fonctionnalités non applicables à ExpressRoute ont été exclues. Pour voir comment ExpressRoute est entièrement mappé au benchmark de sécurité cloud Microsoft, consultez le fichier de mappage complet de la base de référence de sécurité ExpressRoute.
Le profil de sécurité résume les comportements à fort impact d’ExpressRoute, ce qui peut entraîner des considérations de sécurité accrues.
Attribut de comportement du service | Valeur |
---|---|
Catégorie de produit | Hybride/multicloud, mise en réseau |
Le client peut accéder à HOST/OS | Aucun accès |
Le service peut être déployé dans le réseau virtuel du client | Vrai |
Stocke le contenu client au repos | False |
Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Sécurité réseau.
Description : Le service prend en charge le déploiement dans le Réseau virtuel privé (VNet) du client. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
True | Vrai | Microsoft |
Conseils de configuration : Aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.
Référence : Passerelle ExpressRoute
Description : Le trafic réseau de service respecte l’attribution de règles groupes de sécurité réseau sur ses sous-réseaux. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
Vrai | False | Customer |
Conseils de configuration : Utilisez des groupes de sécurité réseau (NSG) pour restreindre ou surveiller le trafic par port, protocole, adresse IP source ou adresse IP de destination. Créez des règles NSG pour restreindre les ports ouverts de votre service (par exemple, pour empêcher l’accès aux ports de gestion à partir de réseaux non approuvés). N’oubliez pas que par défaut, les groupes de sécurité réseau refusent tout le trafic entrant, mais autorisent le trafic provenant du réseau virtuel et d’équilibreurs de charge Azure.
Remarque : Les clients ne peuvent pas configurer un UDR avec un itinéraire par défaut ou un groupe de sécurité réseau sur gatewaySubnet.
Définitions Azure Policy intégrées – Microsoft.Network :
Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
---|---|---|---|
les sous-réseaux doivent être associés à un groupe de sécurité réseau | Protégez votre sous-réseau contre les menaces potentielles en y limitant l’accès avec un groupe de sécurité réseau (NSG). Les NSG contiennent une liste de règles de liste de contrôle d’accès (ACL) qui autorisent ou refusent le trafic réseau vers votre sous-réseau. | AuditIfNotExists, Désactivé | 3.0.0 |
Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Gestion des identités.
Description : Le service prend en charge l’utilisation de l’authentification Azure AD pour l’accès au plan de données. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Description : méthodes d’authentification locales prises en charge pour l’accès au plan de données, telles qu’un nom d’utilisateur et un mot de passe locaux. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Description : les actions du plan de données prennent en charge l’authentification à l’aide d’identités managées. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Remarques sur les fonctionnalités : Bien que l’authentification auprès d’ExpressRoute ne soit pas prise en charge via l’identité managée, le service tire parti de l’identité managée pour s’authentifier auprès de Key Vault pour récupérer les secrets MACsec.
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Description : Le plan de données prend en charge l’authentification à l’aide de principaux de service. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Description : L’accès au plan de données peut être contrôlé à l’aide de stratégies d’accès conditionnel Azure AD. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Prise en charge de l’intégration et du stockage des informations d’identification et des secrets de service dans Azure Key Vault
Description : Le plan de données prend en charge l’utilisation native d’Azure Key Vault pour le magasin d’informations d’identification et de secrets. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
Vrai | False | Customer |
Conseils de configuration : Assurez-vous que les secrets et les informations d’identification sont stockés dans des emplacements sécurisés tels qu’Azure Key Vault, au lieu de les incorporer dans des fichiers de code ou de configuration.
Référence : Configurer le chiffrement MACsec pour ExpressRoute Direct.
Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Accès privilégié.
Description : Le service a le concept d’un compte d’administration local. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Description : Azure Role-Based Access Control (Azure RBAC) peut être utilisé pour gérer l’accès aux actions de plan de données du service. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Description : Customer Lockbox peut être utilisé pour l’accès au support Microsoft. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Protection des données.
Description : Les outils (tels qu’Azure Purview ou Azure Information Protection) peuvent être utilisés pour la découverte et la classification des données dans le service. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Description : Le service prend en charge la solution DLP pour surveiller le déplacement des données sensibles (dans le contenu du client). Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Description : Le service prend en charge le chiffrement des données en transit pour le plan de données. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Remarques sur les fonctionnalités : avec IPsec sur le peering privé ExpressRoute, les clients peuvent configurer une connexion VPN et gérer la configuration afin que les passerelles ExpressRoute et VPN échangent des itinéraires. Toutefois, le chiffrement est toujours pris en charge uniquement sur la connexion VPN, et non sur ExpressRoute.
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Description : Le service prend en charge l’intégration d’Azure Key Vault pour tous les certificats clients. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Gestion des ressources.
Description : les configurations de service peuvent être surveillées et appliquées via Azure Policy. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : journalisation et détection des menaces.
Description : Le service dispose d’une solution de Microsoft Defender spécifique à l’offre pour surveiller et alerter sur les problèmes de sécurité. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Description : le service produit des journaux de ressources qui peuvent fournir des métriques et une journalisation améliorées spécifiques au service. Le client peut configurer ces journaux de ressources et les envoyer à son propre récepteur de données, comme un compte de stockage ou un espace de travail Log Analytics. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
Vrai | False | Customer |
Conseils de configuration : activez les journaux de ressources pour le service. Par exemple, Key Vault prend en charge des journaux de ressources supplémentaires pour les actions qui obtiennent un secret à partir d’un coffre de clés ou Azure SQL a des journaux de ressources qui effectuent le suivi des demandes adressées à une base de données. Le contenu des journaux de ressources varie en fonction du service Azure et du type de ressource.
Référence : Supervision d’Azure ExpressRoute
Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Sauvegarde et récupération.
Description : le service peut être sauvegardé par le service Sauvegarde Azure. Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
False | Non applicable | Non applicable |
Conseils de configuration : cette fonctionnalité n’est pas prise en charge pour sécuriser ce service.
Description : le service prend en charge sa propre fonctionnalité de sauvegarde native (s’il n’utilise pas Sauvegarde Azure). Plus d’informations
Prise en charge | Activé par défaut | Responsabilité de la configuration |
---|---|---|
Vrai | False | Customer |
Conseils de configuration : Il n’existe aucune aide Microsoft actuelle pour cette configuration de fonctionnalité. Vérifiez et déterminez si votre organization souhaite configurer cette fonctionnalité de sécurité.
Référence : Utilisation d’un VPN S2S comme sauvegarde pour le peering privé ExpressRoute
- Consultez la vue d’ensemble du benchmark de sécurité cloud Microsoft
- En savoir plus sur les bases de référence de la sécurité Azure