Base de référence de sécurité Azure pour Azure Policy

  • Article

Cette base de référence de sécurité applique les conseils du benchmark de sécurité cloud Microsoft version 1.0 à Azure Policy. Le Benchmark de sécurité Microsoft Cloud fournit des recommandations sur la façon dont vous pouvez sécuriser vos solutions cloud sur Azure. Le contenu est regroupé selon les contrôles de sécurité définis par le benchmark de sécurité cloud Microsoft et les conseils associés applicables à Azure Policy.

Vous pouvez superviser cette base de référence de la sécurité et ses recommandations en utilisant Microsoft Defender pour le cloud. Azure Policy définitions sont répertoriées dans la section Conformité réglementaire de la page Microsoft Defender pour le portail cloud.

Lorsqu’une fonctionnalité a des définitions de Azure Policy pertinentes, elles sont répertoriées dans cette base de référence pour vous aider à mesurer la conformité avec les contrôles et recommandations du benchmark de sécurité cloud Microsoft. Certaines recommandations peuvent nécessiter un plan de Microsoft Defender payant pour activer certains scénarios de sécurité.

Notes

Les fonctionnalités non applicables à Azure Policy ont été exclues. Pour voir comment Azure Policy est entièrement mappé au benchmark de sécurité cloud Microsoft, consultez le fichier de mappage complet de la base de référence de sécurité Azure Policy.

Profil de sécurité

Le profil de sécurité résume les comportements à fort impact de Azure Policy, ce qui peut entraîner des considérations de sécurité accrues.

Attribut de comportement du service Valeur
Catégorie de produit MGMT/Gouvernance
Le client peut accéder à HOST/OS Aucun accès
Le service peut être déployé dans le réseau virtuel du client False
Stocke le contenu client au repos False

Gestion des identités

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Gestion des identités.

IM-3 : gérer les identités d’application de façon sécurisée et automatique

Fonctionnalités

Identités managées

Description : les actions du plan de données prennent en charge l’authentification à l’aide d’identités managées. Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
True Faux Client

Remarques sur les fonctionnalités : Azure Policy utilise une identité managée pour la correction des ressources non conformes.

Conseils de configuration : chaque affectation Azure Policy ne peut être associée qu’à une seule identité managée. Toutefois, l’identité managée peut être affectée à plusieurs rôles. La configuration se produit en deux étapes : créez d’abord une identité managée affectée par le système ou affectée par l’utilisateur, puis accordez-lui les rôles nécessaires.

Référence : Corriger les ressources non conformes avec Azure Policy

Protection des données

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Protection des données.

DP-3 : chiffrer les données sensibles en transit

Fonctionnalités

Chiffrement des données en transit

Description : Le service prend en charge le chiffrement des données en transit pour le plan de données. Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
True True Microsoft

Remarques sur les fonctionnalités : Azure Policy tire parti du chiffrement par défaut de Microsoft pour les données en transit.

Conseils de configuration : Aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.

Référence : Chiffrement double

Surveillance de Microsoft Defender pour le cloud

Définitions Azure Policy intégrées - Microsoft.GuestConfiguration :

Nom
(Portail Azure)		 Description Effet(s) Version
(GitHub)
Les machines Windows doivent être configurées pour utiliser des protocoles de communication sécurisés Pour protéger la confidentialité des informations communiquées sur Internet, vos machines doivent utiliser la dernière version du protocole de chiffrement standard, TLS (Transport Layer Security). TLS sécurise les communications sur un réseau en chiffrant une connexion entre les machines. AuditIfNotExists, Désactivé 4.1.1

DP-4 : activer le chiffrement des données au repos par défaut

Fonctionnalités

Chiffrement des données au repos à l’aide de clés de plateforme

Description : Le chiffrement des données au repos à l’aide de clés de plateforme est pris en charge, tout contenu client au repos est chiffré avec ces clés gérées par Microsoft. Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
True True Microsoft

Remarques sur les fonctionnalités : Azure Policy tire parti du chiffrement par défaut de Microsoft pour les données au repos.

Conseils de configuration : Aucune configuration supplémentaire n’est requise, car elle est activée sur un déploiement par défaut.

Référence : Chiffrement double

Étapes suivantes