Base de référence de sécurité Azure pour les adresses IP publiques Azure

  • Article

Cette base de référence de sécurité applique les instructions du benchmark de sécurité cloud Microsoft version 1.0 à l’adresse IP publique Azure. Le Benchmark de sécurité Microsoft Cloud fournit des recommandations sur la façon dont vous pouvez sécuriser vos solutions cloud sur Azure. Le contenu est regroupé par les contrôles de sécurité définis par le benchmark de sécurité cloud Microsoft et les instructions associées applicables à l’adresse IP publique Azure.

Vous pouvez superviser cette base de référence de la sécurité et ses recommandations en utilisant Microsoft Defender pour le cloud. Azure Policy définitions seront répertoriées dans la section Conformité réglementaire de la page du portail Microsoft Defender pour le cloud.

Lorsqu’une fonctionnalité a des définitions de Azure Policy pertinentes, elles sont répertoriées dans cette base de référence pour vous aider à mesurer la conformité aux recommandations et contrôles de référence de sécurité cloud Microsoft. Certaines recommandations peuvent nécessiter un plan de Microsoft Defender payant pour activer certains scénarios de sécurité.

Notes

Les fonctionnalités non applicables à l’adresse IP publique Azure ont été exclues. Pour voir comment l’adresse IP publique Azure est entièrement mappée au benchmark de sécurité cloud Microsoft, consultez le fichier de mappage complet de la base de référence de la sécurité IP publique Azure.

Profil de sécurité

Le profil de sécurité résume les comportements à impact élevé de l’adresse IP publique Azure, ce qui peut entraîner des considérations de sécurité accrues.

Attribut de comportement du service Valeur
Catégorie de produit Mise en réseau
Le client peut accéder à HOST/OS Aucun accès
Le service peut être déployé dans le réseau virtuel du client False
Stocke le contenu client au repos False

Sécurité du réseau

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Sécurité réseau.

NS-1 : Établir des limites de segmentation réseau

Fonctionnalités

Intégration du réseau virtuel

Description : Le service prend en charge le déploiement dans le Réseau virtuel privé (VNet) du client. Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
Vrai False Customer

Conseils de configuration : Des adresses IP publiques peuvent être créées, puis associées ultérieurement à une ressource au sein d’un réseau virtuel.

Surveillance de Microsoft Defender pour le cloud

Définitions Azure Policy intégrées – Microsoft.Network :

Nom
(Portail Azure)		 Description Effet(s) Version
(GitHub)
les sous-réseaux doivent être associés à un groupe de sécurité réseau Protégez votre sous-réseau contre les menaces potentielles en y limitant l’accès avec un groupe de sécurité réseau (NSG). Les NSG contiennent une liste de règles de liste de contrôle d’accès (ACL) qui autorisent ou refusent le trafic réseau vers votre sous-réseau. AuditIfNotExists, Désactivé 3.0.0

Accès privilégié

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Accès privilégié.

PA-7 : Suivre le principe JEA, Just Enough Administration (privilège minimum)

Fonctionnalités

RBAC Azure pour le plan de données

Description : Azure Role-Based Access Control (Azure RBAC) peut être utilisé pour gérer l’accès aux actions de plan de données du service. Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
Vrai False Customer

Conseils de configuration : Pour gérer les adresses IP publiques, votre compte doit être affecté au rôle contributeur réseau. Un rôle personnalisé est également pris en charge.

Gestion des ressources

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Gestion des ressources.

AM-2 : Utiliser uniquement des services approuvés

Fonctionnalités

Prise en charge d’Azure Policy

Description : Les configurations de service peuvent être surveillées et appliquées via Azure Policy. Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
Vrai False Customer

Remarques de fonctionnalité : Azure Policy définitions peuvent être configurées en ce qui concerne les adresses IP publiques, par exemple en exigeant que les adresses IP publiques aient des journaux de ressources activés pour Azure DDoS Protection Standard.

Conseils de configuration : Utilisez Microsoft Defender pour le cloud pour configurer Azure Policy afin d’auditer et d’appliquer des configurations de vos ressources Azure. Utilisez Azure Monitor pour créer des alertes en cas d’écart de configuration détecté sur les ressources. Utilisez les effets Azure Policy [refuser] et [déployer s’il n’existe pas] pour appliquer une configuration sécurisée sur les ressources Azure.

Journalisation et détection des menaces

Pour plus d’informations, consultez le benchmark de sécurité cloud Microsoft : Journalisation et détection des menaces.

LT-4 : Activer la journalisation pour l’examen de sécurité

Fonctionnalités

Journaux des ressources Azure

Description : le service produit des journaux de ressources qui peuvent fournir des métriques et une journalisation améliorées spécifiques au service. Le client peut configurer ces journaux de ressources et les envoyer à son propre récepteur de données, comme un compte de stockage ou un espace de travail Log Analytics. Plus d’informations

Prise en charge Activé par défaut Responsabilité de la configuration
Vrai False Customer

Conseils de configuration : Lorsque vous avez des applications et des processus métier critiques qui s’appuient sur des ressources Azure, vous souhaitez surveiller ces ressources pour leur disponibilité, leurs performances et leur fonctionnement. Les journaux de ressources ne sont pas collectés ni stockés tant que vous n’avez pas créé un paramètre de diagnostic et que vous ne les acheminez pas vers un ou plusieurs emplacements.

Référence : Surveillance des adresses IP publiques

Étapes suivantes