Detail inisiatif bawaan Kepatuhan Peraturan CMMC Level 3

Artikel berikut merinci bagaimana definisi inisiatif bawaan Kepatuhan Peraturan Azure dipetakan ke domain kepatuhan dan kontrol di CMMC Level 3. Untuk informasi selengkapnya tentang standar kepatuhan ini, lihat CMMC Level 3. Untuk memahami Kepemilikan, lihat definisi kebijakan Azure Policy dan Tanggung jawab bersama di awan.

Pemetaan berikut adalah untuk kontrol CMMC Level 3. Banyak kontrol diimplementasikan dengan definisi inisiatif Azure Policy. Untuk meninjau definisi inisiatif lengkap, buka Kebijakan di portal Microsoft Azure dan pilih halaman Definisi. Kemudian, temukan dan pilih definisi inisiatif bawaan Kepatuhan Peraturan CMMC Level 3.

Penting

Setiap kontrol di bawah ini dikaitkan dengan satu atau beberapa definisi Azure Policy. Kebijakan ini mungkin membantu Anda menilai kepatuhan terhadap kontrol; namun, sering kali tidak ada kecocokan satu-ke-satu atau lengkap antara kontrol dan satu atau beberapa kebijakan. Dengan demikian, Kepatuhan di Azure Policy hanya mengacu pada definisi kebijakan itu sendiri; hal tersebut tidak memastikan Anda sepenuhnya mematuhi semua persyaratan kontrol. Selain itu, standar kepatuhan melibatkan kontrol yang tidak dicakup dalam definisi yang ada di Azure Policy saat ini. Oleh karena itu, kepatuhan dalam Azure Policy hanyalah pandangan parsial dari status kepatuhan Anda secara keseluruhan. Hubungan antara domain kepatuhan, kontrol, dan definisi Azure Policy untuk standar kepatuhan ini dapat berubah seiring waktu. Untuk melihat riwayat perubahan, lihat Riwayat Komit GitHub.

Access Control

Membatasi akses sistem informasi kepada pengguna yang sah, proses yang bertindak atas nama pengguna, dan perangkat (termasuk sistem informasi lainnya) yang berwenang.

ID: CMMC L3 AC.1.001 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Akses publik akun penyimpanan tidak boleh diizinkan	Akses baca publik anonim ke container dan blob di Azure Storage adalah cara yang nyaman untuk berbagi data tetapi dapat menimbulkan risiko keamanan. Untuk mencegah pelanggaran data yang disebabkan oleh akses anonim yang tidak diinginkan, Microsoft merekomendasikan untuk mencegah akses publik ke akun penyimpanan kecuali skenario Anda memerlukannya.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	3.1.0-pratinjau
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada komputer virtual tanpa identitas	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure dan didukung oleh Konfigurasi Tamu tetapi tidak memiliki identitas terkelola. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada VM dengan identitas yang ditetapkan pengguna	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu dan memiliki setidaknya satu identitas yang ditetapkan pengguna tetapi tidak memiliki identitas terkelola yang ditetapkan sistem. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Aplikasi App Service harus menonaktifkan penelusuran kesalahan jarak jauh	Penelusuran kesalahan jarak jauh mengharuskan port masuk dibuka pada aplikasi App Service. Penelusuran kesalahan jarak jauh harus dinonaktifkan.	AuditIfNotExists, Dinonaktifkan	2.0.0
Aplikasi App Service tidak boleh mengonfigurasi CORS untuk mengizinkan semua sumber daya untuk mengakses aplikasi Anda	Berbagi Sumber Daya Lintas Asal (CORS) tidak boleh mengizinkan semua domain mengakses aplikasi Anda. Izinkan hanya domain yang diperlukan untuk berinteraksi dengan aplikasi Anda.	AuditIfNotExists, Dinonaktifkan	2.0.0
Mengaudit komputer Linux yang memungkinkan koneksi jarak jauh dari akun tanpa sandi	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Komputer tidak sesuai jika komputer Linux mengizinkan koneksi jarak jauh dari akun tanpa kata sandi	AuditIfNotExists, Dinonaktifkan	3.1.0
Sumber daya Azure AI Services harus membatasi akses jaringan	Dengan membatasi akses jaringan, Anda dapat memastikan bahwa hanya jaringan yang diizinkan yang dapat mengakses layanan. Ini dapat dicapai dengan mengonfigurasi aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses layanan Azure AI.	Audit, Tolak, Dinonaktifkan	3.2.0
Azure Key Vault harus mengaktifkan firewall	Aktifkan firewall brankas kunci agar brankas kunci tidak dapat diakses secara default ke IP publik mana pun. Secara opsional, Anda dapat mengonfigurasi rentang IP tertentu untuk membatasi akses ke jaringan tersebut. Pelajari lebih lanjut di: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Tolak, Dinonaktifkan	3.2.1
Kontrol Akses Berbasis Peran Azure (RBAC) harus digunakan pada Layanan Kubernetes	Untuk menyediakan pemfilteran terperinci pada tindakan yang dapat dilakukan pengguna, gunakan Kontrol Akses Berbasis Peran Azure (RBAC) untuk mengelola izin di Kluster Layanan Kubernetes dan mengonfigurasi kebijakan otorisasi yang relevan.	Audit, Dinonaktifkan	1.0.3
Akun yang diblokir dengan izin pemilik pada sumber daya Azure harus dihapus	Akun yang tidak digunakan lagi dengan izin pemilik harus dihapus dari langganan Anda. Akun yang tidak digunakan lagi adalah akun yang telah diblokir untuk masuk.	AuditIfNotExists, Dinonaktifkan	1.0.0
Akun yang diblokir dengan izin baca dan tulis pada sumber daya Azure harus dihapus	Akun yang tidak digunakan lagi harus dihapus dari langganan Anda. Akun yang tidak digunakan lagi adalah akun yang telah diblokir untuk masuk.	AuditIfNotExists, Dinonaktifkan	1.0.0
Registri kontainer tidak boleh mengizinkan akses jaringan yang tidak terbatas	Azure container registry secara default menerima koneksi melalui internet dari host di jaringan apa pun. Untuk melindungi registri Anda dari potensi ancaman, izinkan akses hanya dari titik akhir privat tertentu, alamat IP publik atau rentang alamat tertentu. Jika registri Anda tidak memiliki aturan jaringan yang dikonfigurasi, registri akan muncul di sumber daya yang tidak sehat. Pelajari lebih lanjut tentang aturan jaringan Container Registry di sini: https://aka.ms/acr/privatelink,https://aka.ms/acr/portal/public-network dan https://aka.ms/acr/vnet.	Audit, Tolak, Dinonaktifkan	2.0.0
CORS tidak boleh mengizinkan setiap domain mengakses API Anda untuk FHIR	Cross-Origin Resource Sharing (CORS) seharusnya tidak mengizinkan semua domain mengakses API Anda untuk FHIR. Untuk melindungi API Anda untuk FHIR, hapus akses untuk semua domain dan tentukan secara eksplisit domain yang diizinkan untuk terhubung.	audit, Audit, dinonaktifkan, Dinonaktifkan	1.1.0
Sebarkan ekstensi Konfigurasi Tamu Windows untuk mengaktifkan penugasan Konfigurasi Tamu pada VM Windows	Kebijakan ini menyebarkan ekstensi Konfigurasi Tamu Windows ke komputer virtual Windows yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu. Ekstensi Konfigurasi Tamu Windows adalah prasyarat untuk semua penugasan Konfigurasi Tamu Windows dan harus disebarkan ke komputer sebelum menggunakan definisi kebijakan Konfigurasi Tamu Windows. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Aplikasi Fungsi harus menonaktifkan penelusuran kesalahan jarak jauh	Penelusuran kesalahan jarak jauh mengharuskan port masuk dibuka pada aplikasi Fungsi. Penelusuran kesalahan jarak jauh harus dinonaktifkan.	AuditIfNotExists, Dinonaktifkan	2.0.0
Aplikasi Fungsi tidak boleh memiliki CORS yang terkonfigurasi untuk mengizinkan setiap sumber daya mengakses aplikasi Anda	Cross-Origin Resource Sharing (CORS) seharusnya tidak mengizinkan semua domain mengakses aplikasi Fungsi Anda. Izinkan hanya domain yang diperlukan untuk berinteraksi dengan aplikasi Fungsi Anda.	AuditIfNotExists, Dinonaktifkan	2.0.0
Akun tamu dengan izin pemilik pada sumber daya Azure harus dihapus	Akun eksternal dengan izin pemilik harus dihapus dari langganan Anda agar dapat mencegah akses tanpa pengawasan.	AuditIfNotExists, Dinonaktifkan	1.0.0
Akun tamu dengan izin baca pada sumber daya Azure harus dihapus	Akun eksternal dengan hak baca istimewa harus dihapus dari langganan Anda agar dapat mencegah akses tanpa pengawasan.	AuditIfNotExists, Dinonaktifkan	1.0.0
Akun tamu dengan izin tulis pada sumber daya Azure harus dihapus	Akun eksternal dengan hak tulis istimewa harus dihapus dari langganan Anda agar dapat mencegah akses tanpa pengawasan.	AuditIfNotExists, Dinonaktifkan	1.0.0
Pod kluster Kube hanya boleh menggunakan jaringan host dan rentang port yang disetujui	Batasi akses pod ke jaringan host dan rentang port host yang diizinkan di kluster Kubernetes. Rekomendasi ini adalah bagian dari CIS 5.2.4 yang dimaksudkan untuk meningkatkan keamanan lingkungan Kubernetes Anda. Kebijakan ini umumnya tersedia untuk Kubernetes Service (AKS), dan pratinjau untuk Kubernetes dengan dukungan Azure Arc. Untuk informasi selengkapnya, lihat https://aka.ms/kubepolicydoc.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	6.1.0
Port manajemen komputer virtual harus dilindungi dengan kontrol akses jaringan just-in-time	Kemungkinan akses Just In Time (JIT) jaringan akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.0.0
Akses jaringan publik di Azure SQL Database harus dinonaktifkan	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan Azure SQL Database Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	1.1.0
Akses jaringan publik harus dinonaktifkan untuk server MariaDB	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for MariaDB Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.0
Akses jaringan publik harus dinonaktifkan untuk server fleksibel MySQL	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan server fleksibel Azure Database for MySQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik apa pun di luar jangkauan Azure IP dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.1.0
Akses jaringan publik harus dinonaktifkan untuk server MySQL	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for MySQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.0
Akses jaringan publik harus dinonaktifkan untuk server fleksibel PostgreSQL	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan server fleksibel Azure Database for PostgreSQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik apa pun di luar jangkauan Azure IP dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	3.0.1
Akses jaringan publik harus dinonaktifkan untuk server PostgreSQL	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for PostgreSQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.1
Akun penyimpanan harus mengizinkan akses dari layanan Microsoft tepercaya	Beberapa layanan Microsoft yang berinteraksi dengan akun penyimpanan beroperasi dari jaringan yang tidak dapat diberikan akses melalui aturan jaringan. Untuk membantu jenis layanan ini berfungsi sebagaimana mestinya, izinkan kumpulan layanan Microsoft tepercaya untuk mengabaikan aturan jaringan. Layanan ini kemudian akan menggunakan autentikasi yang kuat untuk mengakses akun penyimpanan.	Audit, Tolak, Dinonaktifkan	1.0.0
Akun penyimpanan harus membatasi akses jaringan	Akses jaringan ke akun penyimpanan harus dibatasi. Konfigurasikan aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses akun penyimpanan. Untuk mengizinkan koneksi dari internet tertentu atau klien lokal, akses dapat diberikan ke lalu lintas dari jaringan virtual Azure tertentu atau ke rentang alamat IP internet publik	Audit, Tolak, Dinonaktifkan	1.1.1
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Akses Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Akses Jaringan' untuk menyertakan akses bagi pengguna anonim, akun lokal, dan akses jarak jauh ke registri. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Keamanan Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Keamanan Jaringan' untuk menyertakan perilaku Sistem Lokal, PKU2U, Manajer LAN, klien LDAP, dan NTLM SSP. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Membatasi akses sistem informasi ke jenis transaksi dan fungsi yang diizinkan untuk dijalankan oleh pengguna yang sah.

ID: CMMC L3 AC.1.002 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Akses publik akun penyimpanan tidak boleh diizinkan	Akses baca publik anonim ke container dan blob di Azure Storage adalah cara yang nyaman untuk berbagi data tetapi dapat menimbulkan risiko keamanan. Untuk mencegah pelanggaran data yang disebabkan oleh akses anonim yang tidak diinginkan, Microsoft merekomendasikan untuk mencegah akses publik ke akun penyimpanan kecuali skenario Anda memerlukannya.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	3.1.0-pratinjau
Aplikasi App Service tidak boleh mengonfigurasi CORS untuk mengizinkan semua sumber daya untuk mengakses aplikasi Anda	Berbagi Sumber Daya Lintas Asal (CORS) tidak boleh mengizinkan semua domain mengakses aplikasi Anda. Izinkan hanya domain yang diperlukan untuk berinteraksi dengan aplikasi Anda.	AuditIfNotExists, Dinonaktifkan	2.0.0
Aplikasi App Service hanya dapat diakses melalui HTTPS	Penggunaan HTTPS memastikan autentikasi server/layanan dan melindungi data dalam perjalanan dari serangan penyadapan lapisan jaringan.	Audit, Dinonaktifkan, Tolak	4.0.0
Mengaudit komputer Linux yang memungkinkan koneksi jarak jauh dari akun tanpa sandi	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Komputer tidak sesuai jika komputer Linux mengizinkan koneksi jarak jauh dari akun tanpa kata sandi	AuditIfNotExists, Dinonaktifkan	3.1.0
Sumber daya Azure AI Services harus membatasi akses jaringan	Dengan membatasi akses jaringan, Anda dapat memastikan bahwa hanya jaringan yang diizinkan yang dapat mengakses layanan. Ini dapat dicapai dengan mengonfigurasi aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses layanan Azure AI.	Audit, Tolak, Dinonaktifkan	3.2.0
Azure Key Vault harus mengaktifkan firewall	Aktifkan firewall brankas kunci agar brankas kunci tidak dapat diakses secara default ke IP publik mana pun. Secara opsional, Anda dapat mengonfigurasi rentang IP tertentu untuk membatasi akses ke jaringan tersebut. Pelajari lebih lanjut di: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Tolak, Dinonaktifkan	3.2.1
Kontrol Akses Berbasis Peran Azure (RBAC) harus digunakan pada Layanan Kubernetes	Untuk menyediakan pemfilteran terperinci pada tindakan yang dapat dilakukan pengguna, gunakan Kontrol Akses Berbasis Peran Azure (RBAC) untuk mengelola izin di Kluster Layanan Kubernetes dan mengonfigurasi kebijakan otorisasi yang relevan.	Audit, Dinonaktifkan	1.0.3
Registri kontainer tidak boleh mengizinkan akses jaringan yang tidak terbatas	Azure container registry secara default menerima koneksi melalui internet dari host di jaringan apa pun. Untuk melindungi registri Anda dari potensi ancaman, izinkan akses hanya dari titik akhir privat tertentu, alamat IP publik atau rentang alamat tertentu. Jika registri Anda tidak memiliki aturan jaringan yang dikonfigurasi, registri akan muncul di sumber daya yang tidak sehat. Pelajari lebih lanjut tentang aturan jaringan Container Registry di sini: https://aka.ms/acr/privatelink,https://aka.ms/acr/portal/public-network dan https://aka.ms/acr/vnet.	Audit, Tolak, Dinonaktifkan	2.0.0
CORS tidak boleh mengizinkan setiap domain mengakses API Anda untuk FHIR	Cross-Origin Resource Sharing (CORS) seharusnya tidak mengizinkan semua domain mengakses API Anda untuk FHIR. Untuk melindungi API Anda untuk FHIR, hapus akses untuk semua domain dan tentukan secara eksplisit domain yang diizinkan untuk terhubung.	audit, Audit, dinonaktifkan, Dinonaktifkan	1.1.0
Terapkan koneksi SSL harus diaktifkan untuk server database MySQL	Azure Database for MySQL mendukung koneksi server Azure Database for MySQL Anda ke aplikasi klien menggunakan Secure Sockets Layer (SSL). Menerapkan koneksi SSL antara server database Anda dan aplikasi klien Anda membantu melindungi dari serangan 'man in the middle' dengan mengenkripsi aliran data antara server dan aplikasi Anda. Konfigurasi ini memberlakukan bahwa SSL selalu diaktifkan untuk mengakses server database Anda.	Audit, Dinonaktifkan	1.0.1
Terapkan koneksi SSL harus diaktifkan untuk server database PostgreSQL	Azure Database for PostgreSQL mendukung penyambungan server Azure Database for PostgreSQL ke aplikasi klien menggunakan Secure Sockets Layer (SSL). Menerapkan koneksi SSL antara server database Anda dan aplikasi klien Anda membantu melindungi dari serangan 'man in the middle' dengan mengenkripsi aliran data antara server dan aplikasi Anda. Konfigurasi ini memberlakukan bahwa SSL selalu diaktifkan untuk mengakses server database Anda.	Audit, Dinonaktifkan	1.0.1
Aplikasi Fungsi tidak boleh memiliki CORS yang terkonfigurasi untuk mengizinkan setiap sumber daya mengakses aplikasi Anda	Cross-Origin Resource Sharing (CORS) seharusnya tidak mengizinkan semua domain mengakses aplikasi Fungsi Anda. Izinkan hanya domain yang diperlukan untuk berinteraksi dengan aplikasi Fungsi Anda.	AuditIfNotExists, Dinonaktifkan	2.0.0
Aplikasi fungsi seharusnya hanya dapat diakses melalui HTTPS	Penggunaan HTTPS memastikan autentikasi server/layanan dan melindungi data dalam perjalanan dari serangan penyadapan lapisan jaringan.	Audit, Dinonaktifkan, Tolak	5.0.0
Pod kluster Kube hanya boleh menggunakan jaringan host dan rentang port yang disetujui	Batasi akses pod ke jaringan host dan rentang port host yang diizinkan di kluster Kubernetes. Rekomendasi ini adalah bagian dari CIS 5.2.4 yang dimaksudkan untuk meningkatkan keamanan lingkungan Kubernetes Anda. Kebijakan ini umumnya tersedia untuk Kubernetes Service (AKS), dan pratinjau untuk Kubernetes dengan dukungan Azure Arc. Untuk informasi selengkapnya, lihat https://aka.ms/kubepolicydoc.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	6.1.0
Port manajemen komputer virtual harus dilindungi dengan kontrol akses jaringan just-in-time	Kemungkinan akses Just In Time (JIT) jaringan akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.0.0
Hanya koneksi aman ke Azure Cache for Redis Anda yang harus diaktifkan	Audit memungkinkan hanya koneksi melalui SSL ke Azure Cache for Redis. Penggunaan koneksi aman memastikan autentikasi antara server dan layanan serta melindungi data dalam perjalanan dari serangan lapisan jaringan seperti man-in-the-middle, eavesdropping, dan session-hijacking	Audit, Tolak, Dinonaktifkan	1.0.0
Akses jaringan publik di Azure SQL Database harus dinonaktifkan	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan Azure SQL Database Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	1.1.0
Akses jaringan publik harus dinonaktifkan untuk server MariaDB	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for MariaDB Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.0
Akses jaringan publik harus dinonaktifkan untuk server fleksibel MySQL	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan server fleksibel Azure Database for MySQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik apa pun di luar jangkauan Azure IP dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.1.0
Akses jaringan publik harus dinonaktifkan untuk server MySQL	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for MySQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.0
Akses jaringan publik harus dinonaktifkan untuk server fleksibel PostgreSQL	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan server fleksibel Azure Database for PostgreSQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik apa pun di luar jangkauan Azure IP dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	3.0.1
Akses jaringan publik harus dinonaktifkan untuk server PostgreSQL	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for PostgreSQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.1
Transfer aman ke akun penyimpanan harus diaktifkan	Persyaratan audit Transfer aman di akun penyimpanan Anda. Transfer aman adalah opsi yang memaksa akun penyimpanan Anda untuk menerima permintaan hanya dari koneksi aman (HTTPS). Penggunaan HTTPS memastikan autentikasi antara server dan layanan dan melindungi data dalam perjalanan dari serangan lapisan jaringan seperti man-in-the-middle, eavesdropping, dan session-hijacking	Audit, Tolak, Dinonaktifkan	2.0.0
Akun penyimpanan harus mengizinkan akses dari layanan Microsoft tepercaya	Beberapa layanan Microsoft yang berinteraksi dengan akun penyimpanan beroperasi dari jaringan yang tidak dapat diberikan akses melalui aturan jaringan. Untuk membantu jenis layanan ini berfungsi sebagaimana mestinya, izinkan kumpulan layanan Microsoft tepercaya untuk mengabaikan aturan jaringan. Layanan ini kemudian akan menggunakan autentikasi yang kuat untuk mengakses akun penyimpanan.	Audit, Tolak, Dinonaktifkan	1.0.0
Akun penyimpanan harus membatasi akses jaringan	Akses jaringan ke akun penyimpanan harus dibatasi. Konfigurasikan aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses akun penyimpanan. Untuk mengizinkan koneksi dari internet tertentu atau klien lokal, akses dapat diberikan ke lalu lintas dari jaringan virtual Azure tertentu atau ke rentang alamat IP internet publik	Audit, Tolak, Dinonaktifkan	1.1.1
Komputer Windows harus dikonfigurasi untuk menggunakan protokol komunikasi yang aman	Untuk melindungi privasi informasi yang dikomunikasikan melalui Internet, komputer Anda harus menggunakan versi terbaru protokol kriptografi standar industri, Keamanan Lapisan Transportasi (TLS). TLS mengamankan komunikasi melalui jaringan dengan mengenkripsi koneksi antar mesin.	AuditIfNotExists, Dinonaktifkan	4.1.1
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Akses Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Akses Jaringan' untuk menyertakan akses bagi pengguna anonim, akun lokal, dan akses jarak jauh ke registri. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Memverifikasi dan mengontrol/membatasi penggunaan dan koneksi ke sistem informasi eksternal.

ID: CMMC L3 AC.1.003 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Semua lalu lintas Internet harus dirutekan melalui Azure Firewall yang Anda sebarkan	Azure Security Center telah mengidentifikasi bahwa beberapa subnet Anda tidak dilindungi dengan firewall generasi berikutnya. Lindungi subnet Anda dari potensi ancaman dengan membatasi akses ke mereka dengan Azure Firewall atau firewall generasi berikutnya yang didukung	AuditIfNotExists, Dinonaktifkan	3.0.0-pratinjau
Rekomendasi pengerasan jaringan adaptif harus diterapkan pada komputer virtual yang menghadap internet	Azure Security Center menganalisis pola lalu lintas komputer virtual yang dihadapi Internet dan memberikan rekomendasi aturan Grup Keamanan Jaringan yang mengurangi potensi serangan permukaan	AuditIfNotExists, Dinonaktifkan	3.0.0
Komputer virtual yang terhubung ke internet harus dilindungi dengan grup keamanan jaringan	Lindungi komputer virtual Anda dari potensi ancaman dengan membatasi akses ke komputer virtual tersebut dengan grup keamanan jaringan (NSG). Pelajari lebih lanjut tentang mengontrol lalu lintas dengan NSG di https://aka.ms/nsg-doc	AuditIfNotExists, Dinonaktifkan	3.0.0

Menggunakan prinsip hak istimewa minimal, termasuk untuk fungsi keamanan tertentu dan akun dengan hak istimewa.

ID: CMMC L3 AC.2.007 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Kontrol Akses Berbasis Peran Azure (RBAC) harus digunakan pada Layanan Kubernetes	Untuk menyediakan pemfilteran terperinci pada tindakan yang dapat dilakukan pengguna, gunakan Kontrol Akses Berbasis Peran Azure (RBAC) untuk mengelola izin di Kluster Layanan Kubernetes dan mengonfigurasi kebijakan otorisasi yang relevan.	Audit, Dinonaktifkan	1.0.3
Akun tamu dengan izin baca pada sumber daya Azure harus dihapus	Akun eksternal dengan hak baca istimewa harus dihapus dari langganan Anda agar dapat mencegah akses tanpa pengawasan.	AuditIfNotExists, Dinonaktifkan	1.0.0
Akun tamu dengan izin tulis pada sumber daya Azure harus dihapus	Akun eksternal dengan hak tulis istimewa harus dihapus dari langganan Anda agar dapat mencegah akses tanpa pengawasan.	AuditIfNotExists, Dinonaktifkan	1.0.0
Port manajemen komputer virtual harus dilindungi dengan kontrol akses jaringan just-in-time	Kemungkinan akses Just In Time (JIT) jaringan akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.0.0

Menggunakan akun atau peran tanpa hak istimewa saat mengakses fungsi non-keamanan.

ID: CMMC L3 AC.2.008 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Kontrol Akun Pengguna'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Kontrol Akun Pengguna' untuk mode untuk admin, perilaku prompt elevasi, dan virtualisasi file dan kegagalan penulisan registri. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0
Komputer Windows harus memenuhi persyaratan untuk 'Penugasan Hak Pengguna'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Penetapan Hak Pengguna' untuk mengizinkan masuk secara lokal, RDP, akses dari jaringan, dan banyak aktivitas pengguna lainnya. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Memantau dan mengontrol sesi akses jarak jauh.

ID: CMMC L3 AC.2.013 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada komputer virtual tanpa identitas	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure dan didukung oleh Konfigurasi Tamu tetapi tidak memiliki identitas terkelola. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada VM dengan identitas yang ditetapkan pengguna	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu dan memiliki setidaknya satu identitas yang ditetapkan pengguna tetapi tidak memiliki identitas terkelola yang ditetapkan sistem. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Aplikasi App Service harus menonaktifkan penelusuran kesalahan jarak jauh	Penelusuran kesalahan jarak jauh mengharuskan port masuk dibuka pada aplikasi App Service. Penelusuran kesalahan jarak jauh harus dinonaktifkan.	AuditIfNotExists, Dinonaktifkan	2.0.0
Mengaudit komputer Linux yang memungkinkan koneksi jarak jauh dari akun tanpa sandi	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Komputer tidak sesuai jika komputer Linux mengizinkan koneksi jarak jauh dari akun tanpa kata sandi	AuditIfNotExists, Dinonaktifkan	3.1.0
Sebarkan ekstensi Konfigurasi Tamu Windows untuk mengaktifkan penugasan Konfigurasi Tamu pada VM Windows	Kebijakan ini menyebarkan ekstensi Konfigurasi Tamu Windows ke komputer virtual Windows yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu. Ekstensi Konfigurasi Tamu Windows adalah prasyarat untuk semua penugasan Konfigurasi Tamu Windows dan harus disebarkan ke komputer sebelum menggunakan definisi kebijakan Konfigurasi Tamu Windows. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Aplikasi Fungsi harus menonaktifkan penelusuran kesalahan jarak jauh	Penelusuran kesalahan jarak jauh mengharuskan port masuk dibuka pada aplikasi Fungsi. Penelusuran kesalahan jarak jauh harus dinonaktifkan.	AuditIfNotExists, Dinonaktifkan	2.0.0
Port manajemen komputer virtual harus dilindungi dengan kontrol akses jaringan just-in-time	Kemungkinan akses Just In Time (JIT) jaringan akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.0.0
Network Watcher harus diaktifkan	Network Watcher adalah layanan regional yang memungkinkan Anda memantau dan mendiagnosis kondisi pada tingkat skenario jaringan di, ke, dan dari Azure. Pemantauan tingkat skenario memungkinkan Anda mendiagnosis masalah pada tampilan tingkat jaringan ujung ke ujung. Diperlukan untuk memiliki grup sumber daya pengawas jaringan untuk dibuat di setiap wilayah tempat jaringan virtual berada. Pemberitahuan diaktifkan jika grup sumber daya pengawas jaringan tidak tersedia di wilayah tertentu.	AuditIfNotExists, Dinonaktifkan	3.0.0
Akun penyimpanan harus membatasi akses jaringan	Akses jaringan ke akun penyimpanan harus dibatasi. Konfigurasikan aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses akun penyimpanan. Untuk mengizinkan koneksi dari internet tertentu atau klien lokal, akses dapat diberikan ke lalu lintas dari jaringan virtual Azure tertentu atau ke rentang alamat IP internet publik	Audit, Tolak, Dinonaktifkan	1.1.1
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Keamanan Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Keamanan Jaringan' untuk menyertakan perilaku Sistem Lokal, PKU2U, Manajer LAN, klien LDAP, dan NTLM SSP. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Mengontrol aliran CUI sesuai dengan otorisasi yang disetujui.

ID: CMMC L3 AC.2.016 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Semua lalu lintas Internet harus dirutekan melalui Azure Firewall yang Anda sebarkan	Azure Security Center telah mengidentifikasi bahwa beberapa subnet Anda tidak dilindungi dengan firewall generasi berikutnya. Lindungi subnet Anda dari potensi ancaman dengan membatasi akses ke mereka dengan Azure Firewall atau firewall generasi berikutnya yang didukung	AuditIfNotExists, Dinonaktifkan	3.0.0-pratinjau
[Pratinjau]: Akses publik akun penyimpanan tidak boleh diizinkan	Akses baca publik anonim ke container dan blob di Azure Storage adalah cara yang nyaman untuk berbagi data tetapi dapat menimbulkan risiko keamanan. Untuk mencegah pelanggaran data yang disebabkan oleh akses anonim yang tidak diinginkan, Microsoft merekomendasikan untuk mencegah akses publik ke akun penyimpanan kecuali skenario Anda memerlukannya.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	3.1.0-pratinjau
Rekomendasi pengerasan jaringan adaptif harus diterapkan pada komputer virtual yang menghadap internet	Azure Security Center menganalisis pola lalu lintas komputer virtual yang dihadapi Internet dan memberikan rekomendasi aturan Grup Keamanan Jaringan yang mengurangi potensi serangan permukaan	AuditIfNotExists, Dinonaktifkan	3.0.0
Sumber daya Azure AI Services harus membatasi akses jaringan	Dengan membatasi akses jaringan, Anda dapat memastikan bahwa hanya jaringan yang diizinkan yang dapat mengakses layanan. Ini dapat dicapai dengan mengonfigurasi aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses layanan Azure AI.	Audit, Tolak, Dinonaktifkan	3.2.0
Kontrol Akses Berbasis Peran Azure (RBAC) harus digunakan pada Layanan Kubernetes	Untuk menyediakan pemfilteran terperinci pada tindakan yang dapat dilakukan pengguna, gunakan Kontrol Akses Berbasis Peran Azure (RBAC) untuk mengelola izin di Kluster Layanan Kubernetes dan mengonfigurasi kebijakan otorisasi yang relevan.	Audit, Dinonaktifkan	1.0.3
Registri kontainer tidak boleh mengizinkan akses jaringan yang tidak terbatas	Azure container registry secara default menerima koneksi melalui internet dari host di jaringan apa pun. Untuk melindungi registri Anda dari potensi ancaman, izinkan akses hanya dari titik akhir privat tertentu, alamat IP publik atau rentang alamat tertentu. Jika registri Anda tidak memiliki aturan jaringan yang dikonfigurasi, registri akan muncul di sumber daya yang tidak sehat. Pelajari lebih lanjut tentang aturan jaringan Container Registry di sini: https://aka.ms/acr/privatelink,https://aka.ms/acr/portal/public-network dan https://aka.ms/acr/vnet.	Audit, Tolak, Dinonaktifkan	2.0.0
CORS tidak boleh mengizinkan setiap domain mengakses API Anda untuk FHIR	Cross-Origin Resource Sharing (CORS) seharusnya tidak mengizinkan semua domain mengakses API Anda untuk FHIR. Untuk melindungi API Anda untuk FHIR, hapus akses untuk semua domain dan tentukan secara eksplisit domain yang diizinkan untuk terhubung.	audit, Audit, dinonaktifkan, Dinonaktifkan	1.1.0
Aplikasi Fungsi tidak boleh memiliki CORS yang terkonfigurasi untuk mengizinkan setiap sumber daya mengakses aplikasi Anda	Cross-Origin Resource Sharing (CORS) seharusnya tidak mengizinkan semua domain mengakses aplikasi Fungsi Anda. Izinkan hanya domain yang diperlukan untuk berinteraksi dengan aplikasi Fungsi Anda.	AuditIfNotExists, Dinonaktifkan	2.0.0
Komputer virtual yang terhubung ke internet harus dilindungi dengan grup keamanan jaringan	Lindungi komputer virtual Anda dari potensi ancaman dengan membatasi akses ke komputer virtual tersebut dengan grup keamanan jaringan (NSG). Pelajari lebih lanjut tentang mengontrol lalu lintas dengan NSG di https://aka.ms/nsg-doc	AuditIfNotExists, Dinonaktifkan	3.0.0
Akses jaringan publik di Azure SQL Database harus dinonaktifkan	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan Azure SQL Database Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	1.1.0
Akses jaringan publik harus dinonaktifkan untuk server MariaDB	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for MariaDB Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.0
Akses jaringan publik harus dinonaktifkan untuk server fleksibel MySQL	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan server fleksibel Azure Database for MySQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik apa pun di luar jangkauan Azure IP dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.1.0
Akses jaringan publik harus dinonaktifkan untuk server MySQL	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for MySQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.0
Akses jaringan publik harus dinonaktifkan untuk server fleksibel PostgreSQL	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan server fleksibel Azure Database for PostgreSQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik apa pun di luar jangkauan Azure IP dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	3.0.1
Akses jaringan publik harus dinonaktifkan untuk server PostgreSQL	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for PostgreSQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.1
Akun penyimpanan harus membatasi akses jaringan	Akses jaringan ke akun penyimpanan harus dibatasi. Konfigurasikan aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses akun penyimpanan. Untuk mengizinkan koneksi dari internet tertentu atau klien lokal, akses dapat diberikan ke lalu lintas dari jaringan virtual Azure tertentu atau ke rentang alamat IP internet publik	Audit, Tolak, Dinonaktifkan	1.1.1
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Akses Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Akses Jaringan' untuk menyertakan akses bagi pengguna anonim, akun lokal, dan akses jarak jauh ke registri. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Memisahkan tugas individu untuk mengurangi risiko aktivitas jahat tanpa kompromi.

ID: CMMC L3 AC.3.017 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Maksimum 3 pemilik harus ditunjuk untuk langganan Anda	Direkomendasikan untuk menetapkan hingga 3 pemilik langganan untuk mengurangi potensi pelanggaran oleh pemilik yang disusupi.	AuditIfNotExists, Dinonaktifkan	3.0.0
Mengaudit komputer Windows tidak memiliki anggota yang ditentukan dalam grup Admin	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Mesin tidak sesuai jika grup administrator lokal tidak berisi satu atau lebih anggota yang tercantum dalam parameter kebijakan.	auditIfNotExists	2.0.0
Mengaudit komputer Windows yang memiliki anggota yang ditentukan dalam grup Admin	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Mesin tidak sesuai jika grup Administrator lokal berisi satu atau lebih anggota yang tercantum dalam parameter kebijakan.	auditIfNotExists	2.0.0
Harus ada lebih dari satu pemilik yang ditetapkan ke langganan Anda	Sebaiknya tetapkan lebih dari satu pemilik langganan agar memiliki redundansi akses administrator.	AuditIfNotExists, Dinonaktifkan	3.0.0

Mencegah pengguna yang tidak memiliki hak istimewa menjalankan fungsi istimewa dan merekam eksekusi fungsi tersebut dalam log audit.

ID: CMMC L3 AC.3.018 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Peringatan log aktivitas harus ada untuk operasi Administratif tertentu	Kebijakan ini mengaudit operasi Administratif tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Mengaudit penggunaan peran RBAC kustom	Audit peran bawaan seperti 'Pemilik, Kontributor, Pembaca', sebagai pengganti peran RBAC kustom, yang rawan kesalahan. Penggunaan peran kustom diperlakukan sebagai pengecualian dan memerlukan peninjauan yang ketat serta pemodelan ancaman	Audit, Dinonaktifkan	1.0.1
Komputer Windows harus memenuhi persyaratan untuk 'Kebijakan Audit Sistem: Penggunaan Hak Istimewa'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Kebijakan Audit Sistem - Penggunaan Hak Istimewa' untuk mengaudit penggunaan hak istimewa yang tidak sensitif dan lainnya. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Mengizinkan eksekusi jarak jauh atas perintah istimewa dan akses jarak jauh ke informasi yang terkait dengan keamanan.

ID: CMMC L3 AC.3.021 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada komputer virtual tanpa identitas	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure dan didukung oleh Konfigurasi Tamu tetapi tidak memiliki identitas terkelola. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada VM dengan identitas yang ditetapkan pengguna	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu dan memiliki setidaknya satu identitas yang ditetapkan pengguna tetapi tidak memiliki identitas terkelola yang ditetapkan sistem. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Peringatan log aktivitas harus ada untuk operasi Administratif tertentu	Kebijakan ini mengaudit operasi Administratif tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Peringatan log aktivitas harus ada untuk operasi Keamanan tertentu	Kebijakan ini mengaudit operasi Keamanan tertentu tanpa peringatan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Sebarkan ekstensi Konfigurasi Tamu Linux untuk mengaktifkan penugasan Konfigurasi Tamu di VM Linux	Kebijakan ini menyebarkan ekstensi Konfigurasi Tamu Linux ke komputer virtual Linux yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu. Ekstensi Konfigurasi Tamu Linux adalah prasyarat untuk semua penugasan Konfigurasi Tamu Linux dan harus disebarkan ke komputer sebelum menggunakan definisi kebijakan Konfigurasi Tamu Linux. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	deployIfNotExists	3.1.0
Sebarkan ekstensi Konfigurasi Tamu Windows untuk mengaktifkan penugasan Konfigurasi Tamu pada VM Windows	Kebijakan ini menyebarkan ekstensi Konfigurasi Tamu Windows ke komputer virtual Windows yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu. Ekstensi Konfigurasi Tamu Windows adalah prasyarat untuk semua penugasan Konfigurasi Tamu Windows dan harus disebarkan ke komputer sebelum menggunakan definisi kebijakan Konfigurasi Tamu Windows. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Ekstensi Konfigurasi Tamu harus dipasang di mesin Anda	Untuk memastikan konfigurasi yang aman dari pengaturan in-guest mesin Anda, instal ekstensi Guest Configuration. Pengaturan tamu yang dipantau ekstensi mencakup konfigurasi sistem operasi, konfigurasi atau keberadaan aplikasi, dan pengaturan lingkungan. Setelah diinstal, kebijakan tamu akan tersedia seperti 'Windows Exploit guard harus diaktifkan'. Pelajari lebih lanjut di https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	1.0.3
Ekstensi Konfigurasi Tamu komputer virtual harus diterapkan dengan identitas terkelola yang ditetapkan sistem	Ekstensi Konfigurasi Tamu memerlukan identitas terkelola yang ditetapkan sistem. Komputer virtual Azure dalam cakupan kebijakan ini tidak akan mematuhi kebijakan jika ekstensi Konfigurasi Tamu diinstal tetapi tidak memiliki identitas terkelola yang ditetapkan sistem. Pelajari lebih lanjut di https://aka.ms/gcpol	AuditIfNotExists, Dinonaktifkan	1.0.1
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Kontrol Akun Pengguna'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Kontrol Akun Pengguna' untuk mode untuk admin, perilaku prompt elevasi, dan virtualisasi file dan kegagalan penulisan registri. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0
Komputer Windows harus memenuhi persyaratan untuk 'Penugasan Hak Pengguna'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Penetapan Hak Pengguna' untuk mengizinkan masuk secara lokal, RDP, akses dari jaringan, dan banyak aktivitas pengguna lainnya. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Audit dan Akuntabilitas

Pastikan bahwa tindakan masing-masing pengguna sistem dapat dilacak secara unik ke pengguna tersebut sehingga mereka dapat dimintai pertanggungjawaban atas tindakan mereka.

ID: CMMC L3 AU.2.041 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Ekstensi Analitik Log harus diaktifkan untuk citra mesin virtual yang tercantum	Melaporkan mesin virtual sebagai tidak sesuai jika citra mesin virtual tidak ada dalam daftar yang ditentukan dan ekstensi tidak terinstal.	AuditIfNotExists, Dinonaktifkan	2.0.1-pratinjau
Peringatan log aktivitas harus ada untuk operasi Administratif tertentu	Kebijakan ini mengaudit operasi Administratif tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Peringatan log aktivitas harus ada untuk operasi Kebijakan tertentu	Kebijakan ini mengaudit operasi Kebijakan tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	3.0.0
Peringatan log aktivitas harus ada untuk operasi Keamanan tertentu	Kebijakan ini mengaudit operasi Keamanan tertentu tanpa peringatan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Pengaturan diagnostik audit untuk jenis sumber daya yang dipilih	Audit pengaturan diagnostik untuk jenis sumber daya yang dipilih. Pastikan untuk memilih hanya jenis sumber daya yang mendukung pengaturan diagnostik.	AuditIfNotExists	2.0.1
Audit di server SQL harus diaktifkan	Pengauditan di SQL Server Anda harus diaktifkan untuk melacak aktivitas di seluruh database di server dan menyimpannya dalam log audit.	AuditIfNotExists, Dinonaktifkan	2.0.0
Azure Defender untuk SQL harus diaktifkan untuk server Azure SQL yang tidak dilindungi	Audit server SQL tanpa Advanced Data Security	AuditIfNotExists, Dinonaktifkan	2.0.1
Azure Defender untuk SQL harus diaktifkan untuk Azure SQL Managed Instance yang tidak terlindungi	Audit setiap SQL Managed Instance tanpa keamanan data tingkat lanjut.	AuditIfNotExists, Dinonaktifkan	1.0.2
Profil log Azure Monitor harus mengumpulkan log untuk kategori 'tulis,' 'hapus,' dan 'tindakan'	Kebijakan ini memastikan bahwa profil log mengumpulkan log untuk kategori 'tulis,' 'hapus,' dan 'tindakan'	AuditIfNotExists, Dinonaktifkan	1.0.0
Azure Monitor harus mengumpulkan log aktivitas dari semua wilayah	Kebijakan ini mengaudit profil log Azure Monitor yang tidak mengekspor aktivitas dari semua wilayah yang didukung Azure termasuk global.	AuditIfNotExists, Dinonaktifkan	2.0.0
Langganan Azure harus memiliki profil log untuk Log Aktivitas	Kebijakan ini memastikan jika profil log diaktifkan untuk mengekspor log aktivitas. Ini mengaudit jika tidak ada profil log yang dibuat untuk mengekspor log ke akun penyimpanan atau ke hub acara.	AuditIfNotExists, Dinonaktifkan	1.0.0
Ekstensi Analitik Log harus diaktifkan dalam set skala mesin virtual untuk citra mesin virtual yang tercantum	Melaporkan set skala mesin virtual sebagai tidak sesuai jika citra mesin virtual tidak ada dalam daftar yang ditentukan dan ekstensi tidak terinstal.	AuditIfNotExists, Dinonaktifkan	2.0.1
Ekstensi Analitik Log harus diinstal di Virtual Machine Scale Sets	Kebijakan ini mengaudit Virtual Machine Scale Sets Windows/Linux jika ekstensi Analitik Log tidak terinstal.	AuditIfNotExists, Dinonaktifkan	1.0.1
Komputer virtual harus terhubung ke ruang kerja yang ditentukan	Melaporkan komputer virtual sebagai tidak patuh jika tidak masuk ke ruang kerja Log Analytics yang ditentukan dalam penugasan kebijakan/inisiatif.	AuditIfNotExists, Dinonaktifkan	1.1.0
Ekstensi Analitik Log harus terinstal di mesin virtual	Kebijakan ini mengaudit setiap mesin virtual Windows/Linux jika ekstensi Analitik Log tidak terinstal.	AuditIfNotExists, Dinonaktifkan	1.0.1

Membuat dan menyimpan log dan catatan audit sistem sejauh yang diperlukan untuk memungkinkan pemantauan, analisis, investigasi, dan pelaporan aktivitas sistem yang melanggar hukum atau tidak sah.

ID: CMMC L3 AU.2.042 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Ekstensi Analitik Log harus diaktifkan untuk citra mesin virtual yang tercantum	Melaporkan mesin virtual sebagai tidak sesuai jika citra mesin virtual tidak ada dalam daftar yang ditentukan dan ekstensi tidak terinstal.	AuditIfNotExists, Dinonaktifkan	2.0.1-pratinjau
Log aktivitas harus disimpan setidaknya selama satu tahun	Kebijakan ini mengaudit log aktivitas jika retensi tidak disetel selama 365 hari atau selamanya (hari retensi disetel ke 0).	AuditIfNotExists, Dinonaktifkan	1.0.0
Peringatan log aktivitas harus ada untuk operasi Administratif tertentu	Kebijakan ini mengaudit operasi Administratif tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Peringatan log aktivitas harus ada untuk operasi Kebijakan tertentu	Kebijakan ini mengaudit operasi Kebijakan tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	3.0.0
Peringatan log aktivitas harus ada untuk operasi Keamanan tertentu	Kebijakan ini mengaudit operasi Keamanan tertentu tanpa peringatan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Pengaturan diagnostik audit untuk jenis sumber daya yang dipilih	Audit pengaturan diagnostik untuk jenis sumber daya yang dipilih. Pastikan untuk memilih hanya jenis sumber daya yang mendukung pengaturan diagnostik.	AuditIfNotExists	2.0.1
Audit di server SQL harus diaktifkan	Pengauditan di SQL Server Anda harus diaktifkan untuk melacak aktivitas di seluruh database di server dan menyimpannya dalam log audit.	AuditIfNotExists, Dinonaktifkan	2.0.0
Azure Defender untuk SQL harus diaktifkan untuk server Azure SQL yang tidak dilindungi	Audit server SQL tanpa Advanced Data Security	AuditIfNotExists, Dinonaktifkan	2.0.1
Azure Defender untuk SQL harus diaktifkan untuk Azure SQL Managed Instance yang tidak terlindungi	Audit setiap SQL Managed Instance tanpa keamanan data tingkat lanjut.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Monitor harus mengumpulkan log aktivitas dari semua wilayah	Kebijakan ini mengaudit profil log Azure Monitor yang tidak mengekspor aktivitas dari semua wilayah yang didukung Azure termasuk global.	AuditIfNotExists, Dinonaktifkan	2.0.0
Langganan Azure harus memiliki profil log untuk Log Aktivitas	Kebijakan ini memastikan jika profil log diaktifkan untuk mengekspor log aktivitas. Ini mengaudit jika tidak ada profil log yang dibuat untuk mengekspor log ke akun penyimpanan atau ke hub acara.	AuditIfNotExists, Dinonaktifkan	1.0.0
Ekstensi Analitik Log harus diaktifkan dalam set skala mesin virtual untuk citra mesin virtual yang tercantum	Melaporkan set skala mesin virtual sebagai tidak sesuai jika citra mesin virtual tidak ada dalam daftar yang ditentukan dan ekstensi tidak terinstal.	AuditIfNotExists, Dinonaktifkan	2.0.1
Ekstensi Analitik Log harus diinstal di Virtual Machine Scale Sets	Kebijakan ini mengaudit Virtual Machine Scale Sets Windows/Linux jika ekstensi Analitik Log tidak terinstal.	AuditIfNotExists, Dinonaktifkan	1.0.1
Komputer virtual harus terhubung ke ruang kerja yang ditentukan	Melaporkan komputer virtual sebagai tidak patuh jika tidak masuk ke ruang kerja Log Analytics yang ditentukan dalam penugasan kebijakan/inisiatif.	AuditIfNotExists, Dinonaktifkan	1.1.0
Ekstensi Analitik Log harus terinstal di mesin virtual	Kebijakan ini mengaudit setiap mesin virtual Windows/Linux jika ekstensi Analitik Log tidak terinstal.	AuditIfNotExists, Dinonaktifkan	1.0.1

Peringatan jika terjadi kegagalan proses logging audit.

ID: CMMC L3 AU.3.046 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Ekstensi Analitik Log harus diaktifkan untuk citra mesin virtual yang tercantum	Melaporkan mesin virtual sebagai tidak sesuai jika citra mesin virtual tidak ada dalam daftar yang ditentukan dan ekstensi tidak terinstal.	AuditIfNotExists, Dinonaktifkan	2.0.1-pratinjau
Pengaturan diagnostik audit untuk jenis sumber daya yang dipilih	Audit pengaturan diagnostik untuk jenis sumber daya yang dipilih. Pastikan untuk memilih hanya jenis sumber daya yang mendukung pengaturan diagnostik.	AuditIfNotExists	2.0.1
Audit di server SQL harus diaktifkan	Pengauditan di SQL Server Anda harus diaktifkan untuk melacak aktivitas di seluruh database di server dan menyimpannya dalam log audit.	AuditIfNotExists, Dinonaktifkan	2.0.0
Azure Defender untuk SQL harus diaktifkan untuk server Azure SQL yang tidak dilindungi	Audit server SQL tanpa Advanced Data Security	AuditIfNotExists, Dinonaktifkan	2.0.1
Azure Defender untuk SQL harus diaktifkan untuk Azure SQL Managed Instance yang tidak terlindungi	Audit setiap SQL Managed Instance tanpa keamanan data tingkat lanjut.	AuditIfNotExists, Dinonaktifkan	1.0.2
Ekstensi Analitik Log harus diaktifkan dalam set skala mesin virtual untuk citra mesin virtual yang tercantum	Melaporkan set skala mesin virtual sebagai tidak sesuai jika citra mesin virtual tidak ada dalam daftar yang ditentukan dan ekstensi tidak terinstal.	AuditIfNotExists, Dinonaktifkan	2.0.1
Komputer virtual harus terhubung ke ruang kerja yang ditentukan	Melaporkan komputer virtual sebagai tidak patuh jika tidak masuk ke ruang kerja Log Analytics yang ditentukan dalam penugasan kebijakan/inisiatif.	AuditIfNotExists, Dinonaktifkan	1.1.0

Kumpulkan informasi audit (misalnya, log) ke dalam satu atau lebih repositori pusat.

ID: CMMC L3 AU.3.048 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Ekstensi Analitik Log harus diaktifkan untuk citra mesin virtual yang tercantum	Melaporkan mesin virtual sebagai tidak sesuai jika citra mesin virtual tidak ada dalam daftar yang ditentukan dan ekstensi tidak terinstal.	AuditIfNotExists, Dinonaktifkan	2.0.1-pratinjau
Aplikasi App Service harus mengaktifkan log sumber daya	Audit yang mengaktifkan log sumber daya di aplikasi. Ini memungkinkan Anda membuat ulang jejak aktivitas untuk tujuan investigasi jika terjadi insiden keamanan atau jaringan Anda disusupi.	AuditIfNotExists, Dinonaktifkan	2.0.1
Pengaturan diagnostik audit untuk jenis sumber daya yang dipilih	Audit pengaturan diagnostik untuk jenis sumber daya yang dipilih. Pastikan untuk memilih hanya jenis sumber daya yang mendukung pengaturan diagnostik.	AuditIfNotExists	2.0.1
Ekstensi Analitik Log harus diaktifkan dalam set skala mesin virtual untuk citra mesin virtual yang tercantum	Melaporkan set skala mesin virtual sebagai tidak sesuai jika citra mesin virtual tidak ada dalam daftar yang ditentukan dan ekstensi tidak terinstal.	AuditIfNotExists, Dinonaktifkan	2.0.1
Log sumber daya di Azure IoT Hub harus diaktifkan	Catatan sumber daya dengan audit yang diaktifkan. Hal ini memungkinkan Anda untuk membuat ulang jejak aktivitas untuk digunakan sebagai tujuan penyelidikan, ketika insiden keamanan terjadi atau ketika jaringan Anda disusupi	AuditIfNotExists, Dinonaktifkan	3.1.0
Ekstensi Analitik Log harus diinstal di Virtual Machine Scale Sets	Kebijakan ini mengaudit Virtual Machine Scale Sets Windows/Linux jika ekstensi Analitik Log tidak terinstal.	AuditIfNotExists, Dinonaktifkan	1.0.1
Komputer virtual harus terhubung ke ruang kerja yang ditentukan	Melaporkan komputer virtual sebagai tidak patuh jika tidak masuk ke ruang kerja Log Analytics yang ditentukan dalam penugasan kebijakan/inisiatif.	AuditIfNotExists, Dinonaktifkan	1.1.0
Ekstensi Analitik Log harus terinstal di mesin virtual	Kebijakan ini mengaudit setiap mesin virtual Windows/Linux jika ekstensi Analitik Log tidak terinstal.	AuditIfNotExists, Dinonaktifkan	1.0.1

Lindungi informasi audit dan alat logging audit dari akses, modifikasi, dan penghapusan yang tidak sah.

ID: CMMC L3 AU.3.049 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Peringatan log aktivitas harus ada untuk operasi Kebijakan tertentu	Kebijakan ini mengaudit operasi Kebijakan tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	3.0.0
Pengaturan diagnostik audit untuk jenis sumber daya yang dipilih	Audit pengaturan diagnostik untuk jenis sumber daya yang dipilih. Pastikan untuk memilih hanya jenis sumber daya yang mendukung pengaturan diagnostik.	AuditIfNotExists	2.0.1

Penilaian Keamanan

Menilai kontrol keamanan dalam sistem organisasi secara berkala untuk menentukan apakah kontrol tersebut efektif dalam aplikasinya.

ID: CMMC L3 CA.2.158 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Solusi penilaian kerentanan harus diaktifkan pada komputer virtual Anda	Mengaudit komputer virtual untuk mendeteksi apakah mereka menjalankan solusi penilaian kerentanan yang didukung. Komponen inti dari setiap risiko cyber dan program keamanan adalah identifikasi dan analisis kerentanan. Tingkat harga standar Azure Security Center mencakup pemindaian kerentanan untuk komputer virtual Anda tanpa biaya tambahan. Selain itu, Pusat Keamanan dapat secara otomatis menyebarkan alat ini untuk Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0
Kontrol aplikasi adaptif untuk menetapkan aplikasi yang aman harus diaktifkan di komputer Anda	Aktifkan kontrol aplikasi untuk menentukan daftar aplikasi yang diketahui aman yang sedang berjalan di komputer Anda, dan aktifkan pemberitahuan ketika aplikasi lain berjalan. Hal ini membantu memperkuat komputer Anda terhadap malware. Untuk menyederhanakan proses konfigurasi dan pemeliharaan aturan Anda, Security Center menggunakan pembelajaran mesin untuk menganalisis aplikasi yang berjalan di setiap komputer dan menyarankan daftar aplikasi yang diketahui aman.	AuditIfNotExists, Dinonaktifkan	3.0.0
Aturan daftar yang diizinkan dalam kebijakan kontrol aplikasi adaptif Anda harus diperbarui	Pantau perubahan perilaku pada grup mesin yang dikonfigurasi untuk diaudit oleh kontrol aplikasi adaptif Security Center. Security Center menggunakan pembelajaran mesin untuk menganalisis proses yang berjalan di mesin Anda dan menyarankan daftar aplikasi yang dikenal aman. Hal ini disajikan sebagai aplikasi yang disarankan untuk diizinkan dalam kebijakan kontrol aplikasi adaptif.	AuditIfNotExists, Dinonaktifkan	3.0.0
Peringatan log aktivitas harus ada untuk operasi Keamanan tertentu	Kebijakan ini mengaudit operasi Keamanan tertentu tanpa peringatan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Audit di server SQL harus diaktifkan	Pengauditan di SQL Server Anda harus diaktifkan untuk melacak aktivitas di seluruh database di server dan menyimpannya dalam log audit.	AuditIfNotExists, Dinonaktifkan	2.0.0
Solusi perlindungan titik akhir harus dipasang pada set skala komputer virtual	Audit keberadaan dan kesehatan solusi perlindungan titik akhir pada set skala komputer virtual Anda, untuk melindunginya dari ancaman dan kerentanan.	AuditIfNotExists, Dinonaktifkan	3.0.0
Memantau Perlindungan Titik Akhir yang tidak ada di Azure Security Center	Server tanpa agen Perlindungan Titik Akhir yang diinstal akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.0.0
Tingkat harga standar Security Center harus dipilih	Tingkat harga standar memungkinkan deteksi ancaman untuk jaringan dan komputer virtual, menyediakan intelijen ancaman, deteksi anomali, dan analitik perilaku di Security Center	Audit, Dinonaktifkan	1.1.0
Penilaian kerentanan harus diaktifkan di SQL Managed Instance	Audit setiap Instans Terkelola SQL yang tidak mengaktifkan pemindaian penilaian kerentanan berulang. Penilaian kerentanan dapat menemukan, melacak, dan membantu Anda meremediasi kerentanan database potensial.	AuditIfNotExists, Dinonaktifkan	1.0.1
Penilaian kerentanan harus diaktifkan di server SQL Anda	Audit server Azure SQL yang tidak memiliki penilaian kerentanan yang dikonfigurasi dengan benar. Penilaian kerentanan dapat menemukan, melacak, dan membantu Anda meremediasi kerentanan database potensial.	AuditIfNotExists, Dinonaktifkan	3.0.0

Memantau kontrol keamanan secara berkelanjutan untuk memastikan efektivitas berkelanjutan dari kontrol tersebut.

ID: CMMC L3 CA.3.161 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Solusi penilaian kerentanan harus diaktifkan pada komputer virtual Anda	Mengaudit komputer virtual untuk mendeteksi apakah mereka menjalankan solusi penilaian kerentanan yang didukung. Komponen inti dari setiap risiko cyber dan program keamanan adalah identifikasi dan analisis kerentanan. Tingkat harga standar Azure Security Center mencakup pemindaian kerentanan untuk komputer virtual Anda tanpa biaya tambahan. Selain itu, Pusat Keamanan dapat secara otomatis menyebarkan alat ini untuk Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0
Kontrol aplikasi adaptif untuk menetapkan aplikasi yang aman harus diaktifkan di komputer Anda	Aktifkan kontrol aplikasi untuk menentukan daftar aplikasi yang diketahui aman yang sedang berjalan di komputer Anda, dan aktifkan pemberitahuan ketika aplikasi lain berjalan. Hal ini membantu memperkuat komputer Anda terhadap malware. Untuk menyederhanakan proses konfigurasi dan pemeliharaan aturan Anda, Security Center menggunakan pembelajaran mesin untuk menganalisis aplikasi yang berjalan di setiap komputer dan menyarankan daftar aplikasi yang diketahui aman.	AuditIfNotExists, Dinonaktifkan	3.0.0
Aturan daftar yang diizinkan dalam kebijakan kontrol aplikasi adaptif Anda harus diperbarui	Pantau perubahan perilaku pada grup mesin yang dikonfigurasi untuk diaudit oleh kontrol aplikasi adaptif Security Center. Security Center menggunakan pembelajaran mesin untuk menganalisis proses yang berjalan di mesin Anda dan menyarankan daftar aplikasi yang dikenal aman. Hal ini disajikan sebagai aplikasi yang disarankan untuk diizinkan dalam kebijakan kontrol aplikasi adaptif.	AuditIfNotExists, Dinonaktifkan	3.0.0
Peringatan log aktivitas harus ada untuk operasi Keamanan tertentu	Kebijakan ini mengaudit operasi Keamanan tertentu tanpa peringatan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Audit di server SQL harus diaktifkan	Pengauditan di SQL Server Anda harus diaktifkan untuk melacak aktivitas di seluruh database di server dan menyimpannya dalam log audit.	AuditIfNotExists, Dinonaktifkan	2.0.0
Solusi perlindungan titik akhir harus dipasang pada set skala komputer virtual	Audit keberadaan dan kesehatan solusi perlindungan titik akhir pada set skala komputer virtual Anda, untuk melindunginya dari ancaman dan kerentanan.	AuditIfNotExists, Dinonaktifkan	3.0.0
Memantau Perlindungan Titik Akhir yang tidak ada di Azure Security Center	Server tanpa agen Perlindungan Titik Akhir yang diinstal akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.0.0
Tingkat harga standar Security Center harus dipilih	Tingkat harga standar memungkinkan deteksi ancaman untuk jaringan dan komputer virtual, menyediakan intelijen ancaman, deteksi anomali, dan analitik perilaku di Security Center	Audit, Dinonaktifkan	1.1.0
Penilaian kerentanan harus diaktifkan di SQL Managed Instance	Audit setiap Instans Terkelola SQL yang tidak mengaktifkan pemindaian penilaian kerentanan berulang. Penilaian kerentanan dapat menemukan, melacak, dan membantu Anda meremediasi kerentanan database potensial.	AuditIfNotExists, Dinonaktifkan	1.0.1
Penilaian kerentanan harus diaktifkan di server SQL Anda	Audit server Azure SQL yang tidak memiliki penilaian kerentanan yang dikonfigurasi dengan benar. Penilaian kerentanan dapat menemukan, melacak, dan membantu Anda meremediasi kerentanan database potensial.	AuditIfNotExists, Dinonaktifkan	3.0.0

Pengelolaan Konfigurasi

Menetapkan dan memelihara konfigurasi dasar dan inventaris sistem organisasi (termasuk perangkat keras, perangkat lunak, firmware, dan dokumentasi) di seluruh siklus hidup proses pengembangan sistem masing-masing.

ID: CMMC L3 CM.2.061 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Kontrol aplikasi adaptif untuk menetapkan aplikasi yang aman harus diaktifkan di komputer Anda	Aktifkan kontrol aplikasi untuk menentukan daftar aplikasi yang diketahui aman yang sedang berjalan di komputer Anda, dan aktifkan pemberitahuan ketika aplikasi lain berjalan. Hal ini membantu memperkuat komputer Anda terhadap malware. Untuk menyederhanakan proses konfigurasi dan pemeliharaan aturan Anda, Security Center menggunakan pembelajaran mesin untuk menganalisis aplikasi yang berjalan di setiap komputer dan menyarankan daftar aplikasi yang diketahui aman.	AuditIfNotExists, Dinonaktifkan	3.0.0
Peringatan log aktivitas harus ada untuk operasi Kebijakan tertentu	Kebijakan ini mengaudit operasi Kebijakan tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	3.0.0
Mesin Linux harus memenuhi persyaratan untuk dasar keamanan komputasi Azure	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Mesin tidak sesuai jika mesin tidak dikonfigurasi dengan benar untuk salah satu rekomendasi di dasar keamanan komputasi Azure.	AuditIfNotExists, Dinonaktifkan	2.2.0

Menggunakan prinsip fungsionalitas minimal dengan mengonfigurasi sistem organisasi untuk hanya menyediakan kemampuan yang penting.

ID: CMMC L3 CM.2.062 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Kontrol Akses Berbasis Peran Azure (RBAC) harus digunakan pada Layanan Kubernetes	Untuk menyediakan pemfilteran terperinci pada tindakan yang dapat dilakukan pengguna, gunakan Kontrol Akses Berbasis Peran Azure (RBAC) untuk mengelola izin di Kluster Layanan Kubernetes dan mengonfigurasi kebijakan otorisasi yang relevan.	Audit, Dinonaktifkan	1.0.3
Komputer Windows harus memenuhi persyaratan untuk 'Kebijakan Audit Sistem: Penggunaan Hak Istimewa'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Kebijakan Audit Sistem - Penggunaan Hak Istimewa' untuk mengaudit penggunaan hak istimewa yang tidak sensitif dan lainnya. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Mengontrol dan memantau perangkat lunak yang diinstal pengguna.

ID: CMMC L3 CM.2.063 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Kontrol aplikasi adaptif untuk menetapkan aplikasi yang aman harus diaktifkan di komputer Anda	Aktifkan kontrol aplikasi untuk menentukan daftar aplikasi yang diketahui aman yang sedang berjalan di komputer Anda, dan aktifkan pemberitahuan ketika aplikasi lain berjalan. Hal ini membantu memperkuat komputer Anda terhadap malware. Untuk menyederhanakan proses konfigurasi dan pemeliharaan aturan Anda, Security Center menggunakan pembelajaran mesin untuk menganalisis aplikasi yang berjalan di setiap komputer dan menyarankan daftar aplikasi yang diketahui aman.	AuditIfNotExists, Dinonaktifkan	3.0.0
Aturan daftar yang diizinkan dalam kebijakan kontrol aplikasi adaptif Anda harus diperbarui	Pantau perubahan perilaku pada grup mesin yang dikonfigurasi untuk diaudit oleh kontrol aplikasi adaptif Security Center. Security Center menggunakan pembelajaran mesin untuk menganalisis proses yang berjalan di mesin Anda dan menyarankan daftar aplikasi yang dikenal aman. Hal ini disajikan sebagai aplikasi yang disarankan untuk diizinkan dalam kebijakan kontrol aplikasi adaptif.	AuditIfNotExists, Dinonaktifkan	3.0.0
Tingkat harga standar Security Center harus dipilih	Tingkat harga standar memungkinkan deteksi ancaman untuk jaringan dan komputer virtual, menyediakan intelijen ancaman, deteksi anomali, dan analitik perilaku di Security Center	Audit, Dinonaktifkan	1.1.0
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Kontrol Akun Pengguna'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Kontrol Akun Pengguna' untuk mode untuk admin, perilaku prompt elevasi, dan virtualisasi file dan kegagalan penulisan registri. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Membuat dan menerapkan pengaturan konfigurasi keamanan untuk produk teknologi informasi yang digunakan dalam sistem organisasi.

ID: CMMC L3 CM.2.064 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Semua lalu lintas Internet harus dirutekan melalui Azure Firewall yang Anda sebarkan	Azure Security Center telah mengidentifikasi bahwa beberapa subnet Anda tidak dilindungi dengan firewall generasi berikutnya. Lindungi subnet Anda dari potensi ancaman dengan membatasi akses ke mereka dengan Azure Firewall atau firewall generasi berikutnya yang didukung	AuditIfNotExists, Dinonaktifkan	3.0.0-pratinjau
Semua port jaringan harus dibatasi pada grup keamanan jaringan yang terkait dengan komputer virtual Anda	Azure Security Center telah mengidentifikasi beberapa aturan masuk grup keamanan jaringan Anda terlalu permisif. Aturan masuk tidak boleh mengizinkan akses dari rentang 'Apa pun' atau 'Internet'. Ini berpotensi memungkinkan penyerang untuk menargetkan sumber daya Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0
Azure Defender untuk SQL harus diaktifkan untuk server Azure SQL yang tidak dilindungi	Audit server SQL tanpa Advanced Data Security	AuditIfNotExists, Dinonaktifkan	2.0.1
Azure Defender untuk SQL harus diaktifkan untuk Azure SQL Managed Instance yang tidak terlindungi	Audit setiap SQL Managed Instance tanpa keamanan data tingkat lanjut.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Key Vault harus mengaktifkan firewall	Aktifkan firewall brankas kunci agar brankas kunci tidak dapat diakses secara default ke IP publik mana pun. Secara opsional, Anda dapat mengonfigurasi rentang IP tertentu untuk membatasi akses ke jaringan tersebut. Pelajari lebih lanjut di: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Tolak, Dinonaktifkan	3.2.1
Azure Web Application Firewall harus diaktifkan untuk titik masuk Azure Front Door	Menyebarkan Azure Web Application Firewall (WAF) di depan aplikasi web yang menghadap publik untuk pemeriksaan tambahan lalu lintas masuk. Web Application Firewall (WAF) memberikan perlindungan terpusat dari aplikasi web Anda dari eksploitasi umum dan kerentanan seperti injeksi SQL, Cross-Site Scripting, eksekusi file lokal dan jarak jauh. Anda juga dapat membatasi akses ke aplikasi web Anda berdasarkan negara, rentang alamat IP, dan parameter http lainnya melalui aturan kustom.	Audit, Tolak, Dinonaktifkan	1.0.2
Web Application Firewall (WAF) harus diaktifkan untuk Azure Application Gateway	Menyebarkan Azure Web Application Firewall (WAF) di depan aplikasi web yang menghadap publik untuk pemeriksaan tambahan lalu lintas masuk. Web Application Firewall (WAF) memberikan perlindungan terpusat dari aplikasi web Anda dari eksploitasi umum dan kerentanan seperti injeksi SQL, Cross-Site Scripting, eksekusi file lokal dan jarak jauh. Anda juga dapat membatasi akses ke aplikasi web Anda berdasarkan negara, rentang alamat IP, dan parameter http lainnya melalui aturan kustom.	Audit, Tolak, Dinonaktifkan	2.0.0
Firewall Aplikasi Web (WAF) harus menggunakan mode yang ditentukan untuk Gateway Aplikasi	Mengamanatkan penggunaan mode 'Deteksi' atau 'Pencegahan' untuk aktif di semua kebijakan Web Application Firewall untuk Azure Application Gateway.	Audit, Tolak, Dinonaktifkan	1.0.0
Web Application Firewall (WAF) harus menggunakan mode yang ditentukan untuk Web Application Firewall	Mengamanatkan penggunaan mode 'Deteksi' atau 'Pencegahan' untuk aktif di semua kebijakan Web Application Firewall untuk Azure Front Door Service.	Audit, Tolak, Dinonaktifkan	1.0.0
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Keamanan Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Keamanan Jaringan' untuk menyertakan perilaku Sistem Lokal, PKU2U, Manajer LAN, klien LDAP, dan NTLM SSP. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Melacak, meninjau, menyetujui atau menolak, dan mencatat perubahan pada sistem organisasi.

ID: CMMC L3 CM.2.065 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Peringatan log aktivitas harus ada untuk operasi Administratif tertentu	Kebijakan ini mengaudit operasi Administratif tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Peringatan log aktivitas harus ada untuk operasi Kebijakan tertentu	Kebijakan ini mengaudit operasi Kebijakan tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	3.0.0
Peringatan log aktivitas harus ada untuk operasi Keamanan tertentu	Kebijakan ini mengaudit operasi Keamanan tertentu tanpa peringatan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Azure Monitor harus mengumpulkan log aktivitas dari semua wilayah	Kebijakan ini mengaudit profil log Azure Monitor yang tidak mengekspor aktivitas dari semua wilayah yang didukung Azure termasuk global.	AuditIfNotExists, Dinonaktifkan	2.0.0
Langganan Azure harus memiliki profil log untuk Log Aktivitas	Kebijakan ini memastikan jika profil log diaktifkan untuk mengekspor log aktivitas. Ini mengaudit jika tidak ada profil log yang dibuat untuk mengekspor log ke akun penyimpanan atau ke hub acara.	AuditIfNotExists, Dinonaktifkan	1.0.0
Komputer Windows harus memenuhi persyaratan untuk 'Kebijakan Audit Sistem: Perubahan Kebijakan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Kebijakan Audit Sistem - Perubahan Kebijakan' untuk mengaudit perubahan kebijakan audit sistem. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Membatasi, menonaktifkan, atau mencegah penggunaan program, fungsi, port, protokol, dan layanan yang tidak penting.

ID: CMMC L3 CM.3.068 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Akses publik akun penyimpanan tidak boleh diizinkan	Akses baca publik anonim ke container dan blob di Azure Storage adalah cara yang nyaman untuk berbagi data tetapi dapat menimbulkan risiko keamanan. Untuk mencegah pelanggaran data yang disebabkan oleh akses anonim yang tidak diinginkan, Microsoft merekomendasikan untuk mencegah akses publik ke akun penyimpanan kecuali skenario Anda memerlukannya.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	3.1.0-pratinjau
Kontrol aplikasi adaptif untuk menetapkan aplikasi yang aman harus diaktifkan di komputer Anda	Aktifkan kontrol aplikasi untuk menentukan daftar aplikasi yang diketahui aman yang sedang berjalan di komputer Anda, dan aktifkan pemberitahuan ketika aplikasi lain berjalan. Hal ini membantu memperkuat komputer Anda terhadap malware. Untuk menyederhanakan proses konfigurasi dan pemeliharaan aturan Anda, Security Center menggunakan pembelajaran mesin untuk menganalisis aplikasi yang berjalan di setiap komputer dan menyarankan daftar aplikasi yang diketahui aman.	AuditIfNotExists, Dinonaktifkan	3.0.0
Rekomendasi pengerasan jaringan adaptif harus diterapkan pada komputer virtual yang menghadap internet	Azure Security Center menganalisis pola lalu lintas komputer virtual yang dihadapi Internet dan memberikan rekomendasi aturan Grup Keamanan Jaringan yang mengurangi potensi serangan permukaan	AuditIfNotExists, Dinonaktifkan	3.0.0
Semua port jaringan harus dibatasi pada grup keamanan jaringan yang terkait dengan komputer virtual Anda	Azure Security Center telah mengidentifikasi beberapa aturan masuk grup keamanan jaringan Anda terlalu permisif. Aturan masuk tidak boleh mengizinkan akses dari rentang 'Apa pun' atau 'Internet'. Ini berpotensi memungkinkan penyerang untuk menargetkan sumber daya Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0
Aturan daftar yang diizinkan dalam kebijakan kontrol aplikasi adaptif Anda harus diperbarui	Pantau perubahan perilaku pada grup mesin yang dikonfigurasi untuk diaudit oleh kontrol aplikasi adaptif Security Center. Security Center menggunakan pembelajaran mesin untuk menganalisis proses yang berjalan di mesin Anda dan menyarankan daftar aplikasi yang dikenal aman. Hal ini disajikan sebagai aplikasi yang disarankan untuk diizinkan dalam kebijakan kontrol aplikasi adaptif.	AuditIfNotExists, Dinonaktifkan	3.0.0
Aplikasi App Service harus menonaktifkan penelusuran kesalahan jarak jauh	Penelusuran kesalahan jarak jauh mengharuskan port masuk dibuka pada aplikasi App Service. Penelusuran kesalahan jarak jauh harus dinonaktifkan.	AuditIfNotExists, Dinonaktifkan	2.0.0
Aplikasi App Service tidak boleh mengonfigurasi CORS untuk mengizinkan semua sumber daya untuk mengakses aplikasi Anda	Berbagi Sumber Daya Lintas Asal (CORS) tidak boleh mengizinkan semua domain mengakses aplikasi Anda. Izinkan hanya domain yang diperlukan untuk berinteraksi dengan aplikasi Anda.	AuditIfNotExists, Dinonaktifkan	2.0.0
Sumber daya Azure AI Services harus membatasi akses jaringan	Dengan membatasi akses jaringan, Anda dapat memastikan bahwa hanya jaringan yang diizinkan yang dapat mengakses layanan. Ini dapat dicapai dengan mengonfigurasi aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses layanan Azure AI.	Audit, Tolak, Dinonaktifkan	3.2.0
Registri kontainer tidak boleh mengizinkan akses jaringan yang tidak terbatas	Azure container registry secara default menerima koneksi melalui internet dari host di jaringan apa pun. Untuk melindungi registri Anda dari potensi ancaman, izinkan akses hanya dari titik akhir privat tertentu, alamat IP publik atau rentang alamat tertentu. Jika registri Anda tidak memiliki aturan jaringan yang dikonfigurasi, registri akan muncul di sumber daya yang tidak sehat. Pelajari lebih lanjut tentang aturan jaringan Container Registry di sini: https://aka.ms/acr/privatelink,https://aka.ms/acr/portal/public-network dan https://aka.ms/acr/vnet.	Audit, Tolak, Dinonaktifkan	2.0.0
CORS tidak boleh mengizinkan setiap domain mengakses API Anda untuk FHIR	Cross-Origin Resource Sharing (CORS) seharusnya tidak mengizinkan semua domain mengakses API Anda untuk FHIR. Untuk melindungi API Anda untuk FHIR, hapus akses untuk semua domain dan tentukan secara eksplisit domain yang diizinkan untuk terhubung.	audit, Audit, dinonaktifkan, Dinonaktifkan	1.1.0
Aplikasi Fungsi harus menonaktifkan penelusuran kesalahan jarak jauh	Penelusuran kesalahan jarak jauh mengharuskan port masuk dibuka pada aplikasi Fungsi. Penelusuran kesalahan jarak jauh harus dinonaktifkan.	AuditIfNotExists, Dinonaktifkan	2.0.0
Aplikasi Fungsi tidak boleh memiliki CORS yang terkonfigurasi untuk mengizinkan setiap sumber daya mengakses aplikasi Anda	Cross-Origin Resource Sharing (CORS) seharusnya tidak mengizinkan semua domain mengakses aplikasi Fungsi Anda. Izinkan hanya domain yang diperlukan untuk berinteraksi dengan aplikasi Fungsi Anda.	AuditIfNotExists, Dinonaktifkan	2.0.0
Komputer virtual yang terhubung ke internet harus dilindungi dengan grup keamanan jaringan	Lindungi komputer virtual Anda dari potensi ancaman dengan membatasi akses ke komputer virtual tersebut dengan grup keamanan jaringan (NSG). Pelajari lebih lanjut tentang mengontrol lalu lintas dengan NSG di https://aka.ms/nsg-doc	AuditIfNotExists, Dinonaktifkan	3.0.0
Pod kluster Kube hanya boleh menggunakan jaringan host dan rentang port yang disetujui	Batasi akses pod ke jaringan host dan rentang port host yang diizinkan di kluster Kubernetes. Rekomendasi ini adalah bagian dari CIS 5.2.4 yang dimaksudkan untuk meningkatkan keamanan lingkungan Kubernetes Anda. Kebijakan ini umumnya tersedia untuk Kubernetes Service (AKS), dan pratinjau untuk Kubernetes dengan dukungan Azure Arc. Untuk informasi selengkapnya, lihat https://aka.ms/kubepolicydoc.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	6.1.0
Port manajemen komputer virtual harus dilindungi dengan kontrol akses jaringan just-in-time	Kemungkinan akses Just In Time (JIT) jaringan akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.0.0
Komputer virtual yang tidak terhubung ke internet harus dilindungi dengan grup keamanan jaringan	Lindungi komputer virtual non-internet Anda dari potensi ancaman dengan membatasi akses dengan grup keamanan jaringan (NSG). Pelajari lebih lanjut tentang mengontrol lalu lintas dengan NSG di https://aka.ms/nsg-doc	AuditIfNotExists, Dinonaktifkan	3.0.0
Akses jaringan publik di Azure SQL Database harus dinonaktifkan	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan Azure SQL Database Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	1.1.0
Akses jaringan publik harus dinonaktifkan untuk server MariaDB	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for MariaDB Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.0
Akses jaringan publik harus dinonaktifkan untuk server fleksibel MySQL	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan server fleksibel Azure Database for MySQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik apa pun di luar jangkauan Azure IP dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.1.0
Akses jaringan publik harus dinonaktifkan untuk server MySQL	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for MySQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.0
Akses jaringan publik harus dinonaktifkan untuk server fleksibel PostgreSQL	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan server fleksibel Azure Database for PostgreSQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik apa pun di luar jangkauan Azure IP dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	3.0.1
Akses jaringan publik harus dinonaktifkan untuk server PostgreSQL	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for PostgreSQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.1
Akun penyimpanan harus membatasi akses jaringan	Akses jaringan ke akun penyimpanan harus dibatasi. Konfigurasikan aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses akun penyimpanan. Untuk mengizinkan koneksi dari internet tertentu atau klien lokal, akses dapat diberikan ke lalu lintas dari jaringan virtual Azure tertentu atau ke rentang alamat IP internet publik	Audit, Tolak, Dinonaktifkan	1.1.1
Subnet harus dikaitkan dengan Grup Keamanan Jaringan	Lindungi subnet Anda dari potensi ancaman dengan membatasi aksesnya dengan Network Security Group (NSG). NSG berisi daftar aturan Access Control List (ACL) yang mengizinkan atau menolak lalu lintas jaringan ke subnet Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0

Menerapkan kebijakan tolak dengan pengecualian (daftar cegah tangkal) untuk mencegah penggunaan perangkat lunak tidak sah atau kebijakan tolak semua atau izinkan dengan pengecualian (daftar yang diperbolehkan) untuk mengizinkan eksekusi perangkat lunak yang sah.

ID: CMMC L3 CM.3.069 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Kontrol aplikasi adaptif untuk menetapkan aplikasi yang aman harus diaktifkan di komputer Anda	Aktifkan kontrol aplikasi untuk menentukan daftar aplikasi yang diketahui aman yang sedang berjalan di komputer Anda, dan aktifkan pemberitahuan ketika aplikasi lain berjalan. Hal ini membantu memperkuat komputer Anda terhadap malware. Untuk menyederhanakan proses konfigurasi dan pemeliharaan aturan Anda, Security Center menggunakan pembelajaran mesin untuk menganalisis aplikasi yang berjalan di setiap komputer dan menyarankan daftar aplikasi yang diketahui aman.	AuditIfNotExists, Dinonaktifkan	3.0.0

Identifikasi dan Autentikasi

Mengautentikasi (atau memverifikasi) identitas pengguna, proses, atau perangkat, sebagai prasyarat untuk mengizinkan akses ke sistem informasi organisasi.

ID: CMMC L3 IA.1.077 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Akun dengan izin pemilik pada sumber daya Azure harus didukung oleh MFA	Autentikasi Multifaktor (MFA) harus diaktifkan untuk semua akun langganan dengan izin pemilik untuk mencegah pelanggaran akun atau sumber daya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Akun dengan izin baca pada sumber daya Azure harus didukung oleh MFA	Autentikasi Multifaktor (MFA) harus diaktifkan untuk semua akun langganan dengan hak baca istimewa untuk mencegah pelanggaran akun atau sumber daya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Akun dengan izin tulis pada sumber daya Azure harus didukung oleh MFA	Autentikasi Multifaktor (MFA) harus diaktifkan untuk semua akun langganan dengan hak tulis istimewa untuk mencegah pelanggaran akun atau sumber daya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada komputer virtual tanpa identitas	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure dan didukung oleh Konfigurasi Tamu tetapi tidak memiliki identitas terkelola. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada VM dengan identitas yang ditetapkan pengguna	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu dan memiliki setidaknya satu identitas yang ditetapkan pengguna tetapi tidak memiliki identitas terkelola yang ditetapkan sistem. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Audit mesin Linux yang tidak memiliki izin file passwd diatur ke 0644	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Komputer tidak sesuai jika komputer Linux izin file kata sandinya tidak diatur ke 0644	AuditIfNotExists, Dinonaktifkan	3.1.0
Mengaudit komputer Linux yang memiliki akun tanpa kata sandi	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Komputer tidak sesuai jika komputer Linux memiliki akun tanpa kata sandi	AuditIfNotExists, Dinonaktifkan	3.1.0
Sebarkan ekstensi Konfigurasi Tamu Windows untuk mengaktifkan penugasan Konfigurasi Tamu pada VM Windows	Kebijakan ini menyebarkan ekstensi Konfigurasi Tamu Windows ke komputer virtual Windows yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu. Ekstensi Konfigurasi Tamu Windows adalah prasyarat untuk semua penugasan Konfigurasi Tamu Windows dan harus disebarkan ke komputer sebelum menggunakan definisi kebijakan Konfigurasi Tamu Windows. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Keamanan Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Keamanan Jaringan' untuk menyertakan perilaku Sistem Lokal, PKU2U, Manajer LAN, klien LDAP, dan NTLM SSP. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Menerapkan kompleksitas kata sandi minimum dan perubahan karakter saat kata sandi baru dibuat.

ID: CMMC L3 IA.2.078 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada komputer virtual tanpa identitas	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure dan didukung oleh Konfigurasi Tamu tetapi tidak memiliki identitas terkelola. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada VM dengan identitas yang ditetapkan pengguna	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu dan memiliki setidaknya satu identitas yang ditetapkan pengguna tetapi tidak memiliki identitas terkelola yang ditetapkan sistem. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Mengaudit komputer Linux yang memiliki akun tanpa kata sandi	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Komputer tidak sesuai jika komputer Linux memiliki akun tanpa kata sandi	AuditIfNotExists, Dinonaktifkan	3.1.0
Audit komputer Windows dengan setelan kompleksitas kata sandi tidak diaktifkan	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Komputer tidak sesuai jika komputer Windows tidak memiliki setelan kompleksitas kata sandi yang diaktifkan	AuditIfNotExists, Dinonaktifkan	2.0.0
Mengaudit komputer Windows yang tidak membatasi panjang kata sandi minimum untuk jumlah karakter yang ditentukan	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Komputer tidak sesuai jika komputer Windows yang tidak membatasi panjang kata sandi minimum untuk jumlah karakter yang ditentukan. Nilai default untuk panjang kata sandi minimum adalah 14 karakter	AuditIfNotExists, Dinonaktifkan	2.1.0
Sebarkan ekstensi Konfigurasi Tamu Windows untuk mengaktifkan penugasan Konfigurasi Tamu pada VM Windows	Kebijakan ini menyebarkan ekstensi Konfigurasi Tamu Windows ke komputer virtual Windows yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu. Ekstensi Konfigurasi Tamu Windows adalah prasyarat untuk semua penugasan Konfigurasi Tamu Windows dan harus disebarkan ke komputer sebelum menggunakan definisi kebijakan Konfigurasi Tamu Windows. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Keamanan Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Keamanan Jaringan' untuk menyertakan perilaku Sistem Lokal, PKU2U, Manajer LAN, klien LDAP, dan NTLM SSP. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Melarang penggunaan kembali kata sandi untuk sekian kali pembuatan kata sandi.

ID: CMMC L3 IA.2.079 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada komputer virtual tanpa identitas	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure dan didukung oleh Konfigurasi Tamu tetapi tidak memiliki identitas terkelola. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada VM dengan identitas yang ditetapkan pengguna	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu dan memiliki setidaknya satu identitas yang ditetapkan pengguna tetapi tidak memiliki identitas terkelola yang ditetapkan sistem. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Mengaudit komputer Windows yang memungkinkan penggunaan kembali kata sandi setelah jumlah kata sandi unik yang ditentukan	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Komputer tidak sesuai jika komputer Windows yang memungkinkan penggunaan kembali kata sandi setelah jumlah kata sandi unik yang ditentukan. Nilai default untuk kata sandi unik adalah 24	AuditIfNotExists, Dinonaktifkan	2.1.0
Sebarkan ekstensi Konfigurasi Tamu Windows untuk mengaktifkan penugasan Konfigurasi Tamu pada VM Windows	Kebijakan ini menyebarkan ekstensi Konfigurasi Tamu Windows ke komputer virtual Windows yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu. Ekstensi Konfigurasi Tamu Windows adalah prasyarat untuk semua penugasan Konfigurasi Tamu Windows dan harus disebarkan ke komputer sebelum menggunakan definisi kebijakan Konfigurasi Tamu Windows. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Keamanan Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Keamanan Jaringan' untuk menyertakan perilaku Sistem Lokal, PKU2U, Manajer LAN, klien LDAP, dan NTLM SSP. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Hanya menyimpan dan mentransmisikan kata sandi yang dilindungi kriptografi.

ID: CMMC L3 IA.2.081 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada komputer virtual tanpa identitas	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure dan didukung oleh Konfigurasi Tamu tetapi tidak memiliki identitas terkelola. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Tambahkan identitas terkelola yang ditetapkan sistem untuk mengaktifkan penugasan Konfigurasi Tamu pada VM dengan identitas yang ditetapkan pengguna	Kebijakan ini menambahkan identitas terkelola yang ditetapkan sistem ke komputer virtual yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu dan memiliki setidaknya satu identitas yang ditetapkan pengguna tetapi tidak memiliki identitas terkelola yang ditetapkan sistem. Identitas terkelola yang ditetapkan sistem adalah prasyarat untuk semua penetapan Konfigurasi Tamu dan harus ditambahkan ke komputer sebelum menggunakan definisi kebijaka apa pun. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	ubah	4.1.0
Mengaudit komputer Windows yang tidak menyimpan kata sandi menggunakan enkripsi yang dapat dibalik	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Komputer tidak sesuai jika komputer Windows tidak menyimpan kata sandi menggunakan enkripsi yang dapat dibatalkan	AuditIfNotExists, Dinonaktifkan	2.0.0
Sebarkan ekstensi Konfigurasi Tamu Windows untuk mengaktifkan penugasan Konfigurasi Tamu pada VM Windows	Kebijakan ini menyebarkan ekstensi Konfigurasi Tamu Windows ke komputer virtual Windows yang di-hosting di Azure yang didukung oleh Konfigurasi Tamu. Ekstensi Konfigurasi Tamu Windows adalah prasyarat untuk semua penugasan Konfigurasi Tamu Windows dan harus disebarkan ke komputer sebelum menggunakan definisi kebijakan Konfigurasi Tamu Windows. Untuk informasi selengkapnya tentang Konfigurasi Tamu, kunjungi https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Keamanan Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Keamanan Jaringan' untuk menyertakan perilaku Sistem Lokal, PKU2U, Manajer LAN, klien LDAP, dan NTLM SSP. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Gunakan autentikasi multifaktor untuk akses lokal dan jaringan ke akun istimewa dan untuk akses jaringan ke akun non-hak istimewa.

ID: CMMC L3 IA.3.083 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Akun dengan izin pemilik pada sumber daya Azure harus didukung oleh MFA	Autentikasi Multifaktor (MFA) harus diaktifkan untuk semua akun langganan dengan izin pemilik untuk mencegah pelanggaran akun atau sumber daya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Akun dengan izin baca pada sumber daya Azure harus didukung oleh MFA	Autentikasi Multifaktor (MFA) harus diaktifkan untuk semua akun langganan dengan hak baca istimewa untuk mencegah pelanggaran akun atau sumber daya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Akun dengan izin tulis pada sumber daya Azure harus didukung oleh MFA	Autentikasi Multifaktor (MFA) harus diaktifkan untuk semua akun langganan dengan hak tulis istimewa untuk mencegah pelanggaran akun atau sumber daya.	AuditIfNotExists, Dinonaktifkan	1.0.0

Menggunakan mekanisme autentikasi tahan pemutaran ulang untuk akses jaringan ke akun dengan dan tanpa hak istimewa.

ID: CMMC L3 IA.3.084 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Akun dengan izin pemilik pada sumber daya Azure harus didukung oleh MFA	Autentikasi Multifaktor (MFA) harus diaktifkan untuk semua akun langganan dengan izin pemilik untuk mencegah pelanggaran akun atau sumber daya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Akun dengan izin baca pada sumber daya Azure harus didukung oleh MFA	Autentikasi Multifaktor (MFA) harus diaktifkan untuk semua akun langganan dengan hak baca istimewa untuk mencegah pelanggaran akun atau sumber daya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Akun dengan izin tulis pada sumber daya Azure harus didukung oleh MFA	Autentikasi Multifaktor (MFA) harus diaktifkan untuk semua akun langganan dengan hak tulis istimewa untuk mencegah pelanggaran akun atau sumber daya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Aplikasi App Service hanya dapat diakses melalui HTTPS	Penggunaan HTTPS memastikan autentikasi server/layanan dan melindungi data dalam perjalanan dari serangan penyadapan lapisan jaringan.	Audit, Dinonaktifkan, Tolak	4.0.0
Aplikasi App Service harus menggunakan versi TLS terbaru	Secara berkala, versi yang lebih baru dirilis untuk TLS baik karena kelemahan keamanan, termasuk fungsionalitas tambahan, dan tingkatkan kecepatan. Tingkatkan ke versi TLS terbaru untuk aplikasi App Service untuk memanfaatkan perbaikan keamanan, jika ada, dan/atau fungsionalitas baru dari versi terbaru.	AuditIfNotExists, Dinonaktifkan	2.0.1
Aplikasi fungsi seharusnya hanya dapat diakses melalui HTTPS	Penggunaan HTTPS memastikan autentikasi server/layanan dan melindungi data dalam perjalanan dari serangan penyadapan lapisan jaringan.	Audit, Dinonaktifkan, Tolak	5.0.0
Aplikasi Fungsi harus menggunakan versi TLS terbaru	Secara berkala, versi yang lebih baru dirilis untuk TLS baik karena kelemahan keamanan, termasuk fungsionalitas tambahan, dan tingkatkan kecepatan. Tingkatkan ke versi TLS terbaru untuk aplikasi Fungsi untuk memanfaatkan perbaikan keamanan, jika ada, dan/atau fungsionalitas baru dari versi terbaru.	AuditIfNotExists, Dinonaktifkan	2.0.1
Komputer Windows harus dikonfigurasi untuk menggunakan protokol komunikasi yang aman	Untuk melindungi privasi informasi yang dikomunikasikan melalui Internet, komputer Anda harus menggunakan versi terbaru protokol kriptografi standar industri, Keamanan Lapisan Transportasi (TLS). TLS mengamankan komunikasi melalui jaringan dengan mengenkripsi koneksi antar mesin.	AuditIfNotExists, Dinonaktifkan	4.1.1

Respons Insiden

Menetapkan kemampuan penanganan insiden operasional untuk sistem organisasi yang mencakup aktivitas persiapan, deteksi, analisis, penahanan, pemulihan, dan respons pengguna.

ID: CMMC L3 IR.2.092 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Pemberitahuan email untuk lansiran tingkat keparahan tinggi harus diaktifkan	Untuk memastikan orang yang relevan di organisasi Anda diberi tahu ketika terdapat potensi pelanggaran keamanan di salah satu langganan Anda, aktifkan pemberitahuan email untuk peringatan tingkat keparahan tinggi di Security Center.	AuditIfNotExists, Dinonaktifkan	1.1.0
Pemberitahuan email kepada pemilik langganan untuk lansiran tingkat keparahan tinggi harus diaktifkan	Untuk memastikan pemilik langganan Anda diberitahu ketika ada potensi pelanggaran keamanan di langganan mereka, atur pemberitahuan email ke pemilik langganan untuk peringatan tingkat keparahan tinggi di Security Center.	AuditIfNotExists, Dinonaktifkan	2.1.0
Langganan harus memiliki alamat email kontak untuk masalah keamanan	Untuk memastikan orang yang relevan di organisasi Anda diberi tahu saat ada potensi pelanggaran keamanan di salah satu langganan Anda, atur kontak keamanan untuk menerima pemberitahuan email dari Security Center.	AuditIfNotExists, Dinonaktifkan	1.0.1

Mendeteksi dan melaporkan peristiwa.

ID: CMMC L3 IR.2.093 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Semua lalu lintas Internet harus dirutekan melalui Azure Firewall yang Anda sebarkan	Azure Security Center telah mengidentifikasi bahwa beberapa subnet Anda tidak dilindungi dengan firewall generasi berikutnya. Lindungi subnet Anda dari potensi ancaman dengan membatasi akses ke mereka dengan Azure Firewall atau firewall generasi berikutnya yang didukung	AuditIfNotExists, Dinonaktifkan	3.0.0-pratinjau
Peringatan log aktivitas harus ada untuk operasi Keamanan tertentu	Kebijakan ini mengaudit operasi Keamanan tertentu tanpa peringatan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Azure Defender untuk App Service harus diaktifkan	Azure Defender for App Service memanfaatkan skala cloud, dan visibilitas yang dimiliki Azure sebagai penyedia cloud, untuk memantau serangan aplikasi web umum.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server Azure SQL Database harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Defender untuk Key Vault harus diaktifkan	Azure Defender untuk Key Vault memberikan lapisan perlindungan dan kecerdasan keamanan tambahan dengan mendeteksi upaya yang tidak biasa dan berpotensi berbahaya untuk mengakses atau mengeksploitasi akun key vault.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server harus diaktifkan	Azure Defender untuk server memberikan perlindungan ancaman waktu nyata untuk beban kerja server dan menghasilkan rekomendasi pengerasan serta peringatan tentang aktivitas yang mencurigakan.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server SQL pada mesin harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Key Vault harus mengaktifkan firewall	Aktifkan firewall brankas kunci agar brankas kunci tidak dapat diakses secara default ke IP publik mana pun. Secara opsional, Anda dapat mengonfigurasi rentang IP tertentu untuk membatasi akses ke jaringan tersebut. Pelajari lebih lanjut di: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Tolak, Dinonaktifkan	3.2.1
Azure Web Application Firewall harus diaktifkan untuk titik masuk Azure Front Door	Menyebarkan Azure Web Application Firewall (WAF) di depan aplikasi web yang menghadap publik untuk pemeriksaan tambahan lalu lintas masuk. Web Application Firewall (WAF) memberikan perlindungan terpusat dari aplikasi web Anda dari eksploitasi umum dan kerentanan seperti injeksi SQL, Cross-Site Scripting, eksekusi file lokal dan jarak jauh. Anda juga dapat membatasi akses ke aplikasi web Anda berdasarkan negara, rentang alamat IP, dan parameter http lainnya melalui aturan kustom.	Audit, Tolak, Dinonaktifkan	1.0.2
Menyebarkan Perlindungan Ancaman Tingkat Lanjut untuk Akun Cosmos DB	Kebijakan ini mengaktifkan Perlindungan Ancaman Lanjutan di seluruh akun Cosmos DB.	DeployIfNotExists, Nonaktif	1.0.0
Menyebarkan Defender for Storage (Klasik) pada akun penyimpanan	Kebijakan ini memungkinkan Defender for Storage (Klasik) pada akun penyimpanan.	DeployIfNotExists, Nonaktif	1.0.1
Pemberitahuan email untuk lansiran tingkat keparahan tinggi harus diaktifkan	Untuk memastikan orang yang relevan di organisasi Anda diberi tahu ketika terdapat potensi pelanggaran keamanan di salah satu langganan Anda, aktifkan pemberitahuan email untuk peringatan tingkat keparahan tinggi di Security Center.	AuditIfNotExists, Dinonaktifkan	1.1.0
Log alur harus dikonfigurasi untuk setiap grup keamanan jaringan	Audit untuk grup keamanan jaringan untuk memverifikasi apakah log aliran dikonfigurasi. Mengaktifkan log aliran memungkinkan untuk mencatat informasi tentang lalu lintas IP yang mengalir melalui grup keamanan jaringan. Ini dapat digunakan untuk mengoptimalkan aliran jaringan, memantau throughput, memverifikasi kepatuhan, mendeteksi intrusi, dan banyak lagi.	Audit, Dinonaktifkan	1.1.0
Pertahanan Microsoft untuk Kontainer harus diaktifkan	Pertahanan Microsoft untuk Kontainer menyediakan pengerasan, penilaian kerentanan, dan perlindungan run-time untuk lingkungan Azure, hibrid, dan multi-cloud Kubernetes Anda.	AuditIfNotExists, Dinonaktifkan	1.0.0
Pertahanan Microsoft untuk Penyimpanan harus diaktifkan	Microsoft Defender for Storage mendeteksi potensi ancaman terhadap akun penyimpanan Anda. Ini membantu mencegah tiga dampak utama pada data dan beban kerja Anda: unggahan file berbahaya, penyelundupan data sensitif, dan kerusakan data. Paket Defender for Storage baru mencakup Pemindaian Malware dan Deteksi Ancaman Data Sensitif. Paket ini juga menyediakan struktur harga yang dapat diprediksi (per akun penyimpanan) untuk kontrol atas cakupan dan biaya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Memantau Perlindungan Titik Akhir yang tidak ada di Azure Security Center	Server tanpa agen Perlindungan Titik Akhir yang diinstal akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.0.0
Web Application Firewall (WAF) harus diaktifkan untuk Azure Application Gateway	Menyebarkan Azure Web Application Firewall (WAF) di depan aplikasi web yang menghadap publik untuk pemeriksaan tambahan lalu lintas masuk. Web Application Firewall (WAF) memberikan perlindungan terpusat dari aplikasi web Anda dari eksploitasi umum dan kerentanan seperti injeksi SQL, Cross-Site Scripting, eksekusi file lokal dan jarak jauh. Anda juga dapat membatasi akses ke aplikasi web Anda berdasarkan negara, rentang alamat IP, dan parameter http lainnya melalui aturan kustom.	Audit, Tolak, Dinonaktifkan	2.0.0
Firewall Aplikasi Web (WAF) harus menggunakan mode yang ditentukan untuk Gateway Aplikasi	Mengamanatkan penggunaan mode 'Deteksi' atau 'Pencegahan' untuk aktif di semua kebijakan Web Application Firewall untuk Azure Application Gateway.	Audit, Tolak, Dinonaktifkan	1.0.0
Web Application Firewall (WAF) harus menggunakan mode yang ditentukan untuk Web Application Firewall	Mengamanatkan penggunaan mode 'Deteksi' atau 'Pencegahan' untuk aktif di semua kebijakan Web Application Firewall untuk Azure Front Door Service.	Audit, Tolak, Dinonaktifkan	1.0.0

Pemulihan

Melakukan dan menguji pencadangan data secara teratur.

ID: CMMC L3 RE.2.137 Kepemilikan: Pelanggan

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Komputer virtual audit tanpa konfigurasi pemulihan bencana	Mengaudit komputer virtual yang tidak memiliki konfigurasi pemulihan bencana. Untuk mempelajari penemuan bencana lebih lanjut, buka https://aka.ms/asr-doc.	auditIfNotExists	1.0.0
Azure Backup harus diaktifkan untuk Virtual Machines	Pastikan perlindungan Virtual Machines Azure Anda dengan mengaktifkan Azure Backup. Azure Backup adalah solusi perlindungan data yang aman dan hemat biaya untuk Azure.	AuditIfNotExists, Dinonaktifkan	3.0.0
Cadangan geo-redundan harus diaktifkan pada Azure Database for MariaDB	Azure Database for MariaDB memungkinkan Anda memilih opsi redundansi untuk server database Anda. Ini dapat diatur ke penyimpanan cadangan geo-redundan di mana data tidak hanya disimpan dalam wilayah di mana server Anda di-host, tetapi juga direplikasi ke wilayah berpasangan untuk memberikan opsi pemulihan jika terjadi kegagalan wilayah. Mengonfigurasi penyimpanan geo-redundan untuk pencadangan hanya diperbolehkan selama pembuatan server.	Audit, Dinonaktifkan	1.0.1
Pencadangan geo-redundan harus diaktifkan untuk Azure Database for MySQL	Azure Database for MySQL memungkinkan Anda memilih opsi redundansi untuk server database Anda. Ini dapat diatur ke penyimpanan cadangan geo-redundan di mana data tidak hanya disimpan dalam wilayah di mana server Anda di-host, tetapi juga direplikasi ke wilayah berpasangan untuk memberikan opsi pemulihan jika terjadi kegagalan wilayah. Mengonfigurasi penyimpanan geo-redundan untuk pencadangan hanya diperbolehkan selama pembuatan server.	Audit, Dinonaktifkan	1.0.1
Pencadangan geo-redundan harus diaktifkan untuk Azure Database for PostgreSQL	Azure Database for PostgreSQL memungkinkan Anda memilih opsi redundansi untuk server database Anda. Ini dapat diatur ke penyimpanan cadangan geo-redundan di mana data tidak hanya disimpan dalam wilayah di mana server Anda di-host, tetapi juga direplikasi ke wilayah berpasangan untuk memberikan opsi pemulihan jika terjadi kegagalan wilayah. Mengonfigurasi penyimpanan geo-redundan untuk pencadangan hanya diperbolehkan selama pembuatan server.	Audit, Dinonaktifkan	1.0.1
Cadangan geo-redundan jangka panjang harus diaktifkan untuk Azure SQL Database	Kebijakan ini mengaudit Azure SQL Database dengan pencadangan geo-redundan jangka panjang yang tidak diaktifkan.	AuditIfNotExists, Dinonaktifkan	2.0.0

Melakukan pencadangan data yang lengkap, komprehensif, dan tangguh sebagaimana didefinisikan organisasi secara teratur.

ID: CMMC L3 RE.3.139 Kepemilikan: Pelanggan

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Komputer virtual audit tanpa konfigurasi pemulihan bencana	Mengaudit komputer virtual yang tidak memiliki konfigurasi pemulihan bencana. Untuk mempelajari penemuan bencana lebih lanjut, buka https://aka.ms/asr-doc.	auditIfNotExists	1.0.0
Azure Backup harus diaktifkan untuk Virtual Machines	Pastikan perlindungan Virtual Machines Azure Anda dengan mengaktifkan Azure Backup. Azure Backup adalah solusi perlindungan data yang aman dan hemat biaya untuk Azure.	AuditIfNotExists, Dinonaktifkan	3.0.0
Cadangan geo-redundan harus diaktifkan pada Azure Database for MariaDB	Azure Database for MariaDB memungkinkan Anda memilih opsi redundansi untuk server database Anda. Ini dapat diatur ke penyimpanan cadangan geo-redundan di mana data tidak hanya disimpan dalam wilayah di mana server Anda di-host, tetapi juga direplikasi ke wilayah berpasangan untuk memberikan opsi pemulihan jika terjadi kegagalan wilayah. Mengonfigurasi penyimpanan geo-redundan untuk pencadangan hanya diperbolehkan selama pembuatan server.	Audit, Dinonaktifkan	1.0.1
Pencadangan geo-redundan harus diaktifkan untuk Azure Database for MySQL	Azure Database for MySQL memungkinkan Anda memilih opsi redundansi untuk server database Anda. Ini dapat diatur ke penyimpanan cadangan geo-redundan di mana data tidak hanya disimpan dalam wilayah di mana server Anda di-host, tetapi juga direplikasi ke wilayah berpasangan untuk memberikan opsi pemulihan jika terjadi kegagalan wilayah. Mengonfigurasi penyimpanan geo-redundan untuk pencadangan hanya diperbolehkan selama pembuatan server.	Audit, Dinonaktifkan	1.0.1
Pencadangan geo-redundan harus diaktifkan untuk Azure Database for PostgreSQL	Azure Database for PostgreSQL memungkinkan Anda memilih opsi redundansi untuk server database Anda. Ini dapat diatur ke penyimpanan cadangan geo-redundan di mana data tidak hanya disimpan dalam wilayah di mana server Anda di-host, tetapi juga direplikasi ke wilayah berpasangan untuk memberikan opsi pemulihan jika terjadi kegagalan wilayah. Mengonfigurasi penyimpanan geo-redundan untuk pencadangan hanya diperbolehkan selama pembuatan server.	Audit, Dinonaktifkan	1.0.1
Cadangan geo-redundan jangka panjang harus diaktifkan untuk Azure SQL Database	Kebijakan ini mengaudit Azure SQL Database dengan pencadangan geo-redundan jangka panjang yang tidak diaktifkan.	AuditIfNotExists, Dinonaktifkan	2.0.0

Tugas beresiko

Secara berkala menilai risiko terhadap operasi organisasi (termasuk misi, fungsi, citra, atau reputasi), aset organisasi, dan individu, yang dihasilkan dari operasi sistem organisasi dan pemrosesan, penyimpanan, atau transmisi CUI yang terkait.

ID: CMMC L3 RM.2.141 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Solusi penilaian kerentanan harus diaktifkan pada komputer virtual Anda	Mengaudit komputer virtual untuk mendeteksi apakah mereka menjalankan solusi penilaian kerentanan yang didukung. Komponen inti dari setiap risiko cyber dan program keamanan adalah identifikasi dan analisis kerentanan. Tingkat harga standar Azure Security Center mencakup pemindaian kerentanan untuk komputer virtual Anda tanpa biaya tambahan. Selain itu, Pusat Keamanan dapat secara otomatis menyebarkan alat ini untuk Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0
Azure Defender untuk App Service harus diaktifkan	Azure Defender for App Service memanfaatkan skala cloud, dan visibilitas yang dimiliki Azure sebagai penyedia cloud, untuk memantau serangan aplikasi web umum.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server Azure SQL Database harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Defender untuk Key Vault harus diaktifkan	Azure Defender untuk Key Vault memberikan lapisan perlindungan dan kecerdasan keamanan tambahan dengan mendeteksi upaya yang tidak biasa dan berpotensi berbahaya untuk mengakses atau mengeksploitasi akun key vault.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server harus diaktifkan	Azure Defender untuk server memberikan perlindungan ancaman waktu nyata untuk beban kerja server dan menghasilkan rekomendasi pengerasan serta peringatan tentang aktivitas yang mencurigakan.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server SQL pada mesin harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Defender untuk SQL harus diaktifkan untuk server Azure SQL yang tidak dilindungi	Audit server SQL tanpa Advanced Data Security	AuditIfNotExists, Dinonaktifkan	2.0.1
Azure Defender untuk SQL harus diaktifkan untuk Azure SQL Managed Instance yang tidak terlindungi	Audit setiap SQL Managed Instance tanpa keamanan data tingkat lanjut.	AuditIfNotExists, Dinonaktifkan	1.0.2
Pertahanan Microsoft untuk Kontainer harus diaktifkan	Pertahanan Microsoft untuk Kontainer menyediakan pengerasan, penilaian kerentanan, dan perlindungan run-time untuk lingkungan Azure, hibrid, dan multi-cloud Kubernetes Anda.	AuditIfNotExists, Dinonaktifkan	1.0.0
Pertahanan Microsoft untuk Penyimpanan harus diaktifkan	Microsoft Defender for Storage mendeteksi potensi ancaman terhadap akun penyimpanan Anda. Ini membantu mencegah tiga dampak utama pada data dan beban kerja Anda: unggahan file berbahaya, penyelundupan data sensitif, dan kerusakan data. Paket Defender for Storage baru mencakup Pemindaian Malware dan Deteksi Ancaman Data Sensitif. Paket ini juga menyediakan struktur harga yang dapat diprediksi (per akun penyimpanan) untuk kontrol atas cakupan dan biaya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Tingkat harga standar Security Center harus dipilih	Tingkat harga standar memungkinkan deteksi ancaman untuk jaringan dan komputer virtual, menyediakan intelijen ancaman, deteksi anomali, dan analitik perilaku di Security Center	Audit, Dinonaktifkan	1.1.0
Penilaian kerentanan harus diaktifkan di SQL Managed Instance	Audit setiap Instans Terkelola SQL yang tidak mengaktifkan pemindaian penilaian kerentanan berulang. Penilaian kerentanan dapat menemukan, melacak, dan membantu Anda meremediasi kerentanan database potensial.	AuditIfNotExists, Dinonaktifkan	1.0.1
Penilaian kerentanan harus diaktifkan di server SQL Anda	Audit server Azure SQL yang tidak memiliki penilaian kerentanan yang dikonfigurasi dengan benar. Penilaian kerentanan dapat menemukan, melacak, dan membantu Anda meremediasi kerentanan database potensial.	AuditIfNotExists, Dinonaktifkan	3.0.0

Memindai kerentanan di sistem dan aplikasi organisasi secara berkala dan ketika kerentanan baru yang memengaruhi sistem dan aplikasi diidentifikasi.

ID: CMMC L3 RM.2.142 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Solusi penilaian kerentanan harus diaktifkan pada komputer virtual Anda	Mengaudit komputer virtual untuk mendeteksi apakah mereka menjalankan solusi penilaian kerentanan yang didukung. Komponen inti dari setiap risiko cyber dan program keamanan adalah identifikasi dan analisis kerentanan. Tingkat harga standar Azure Security Center mencakup pemindaian kerentanan untuk komputer virtual Anda tanpa biaya tambahan. Selain itu, Pusat Keamanan dapat secara otomatis menyebarkan alat ini untuk Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0
Azure Defender untuk App Service harus diaktifkan	Azure Defender for App Service memanfaatkan skala cloud, dan visibilitas yang dimiliki Azure sebagai penyedia cloud, untuk memantau serangan aplikasi web umum.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server Azure SQL Database harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Defender untuk Key Vault harus diaktifkan	Azure Defender untuk Key Vault memberikan lapisan perlindungan dan kecerdasan keamanan tambahan dengan mendeteksi upaya yang tidak biasa dan berpotensi berbahaya untuk mengakses atau mengeksploitasi akun key vault.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server harus diaktifkan	Azure Defender untuk server memberikan perlindungan ancaman waktu nyata untuk beban kerja server dan menghasilkan rekomendasi pengerasan serta peringatan tentang aktivitas yang mencurigakan.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server SQL pada mesin harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Defender untuk SQL harus diaktifkan untuk server Azure SQL yang tidak dilindungi	Audit server SQL tanpa Advanced Data Security	AuditIfNotExists, Dinonaktifkan	2.0.1
Azure Defender untuk SQL harus diaktifkan untuk Azure SQL Managed Instance yang tidak terlindungi	Audit setiap SQL Managed Instance tanpa keamanan data tingkat lanjut.	AuditIfNotExists, Dinonaktifkan	1.0.2
Pertahanan Microsoft untuk Kontainer harus diaktifkan	Pertahanan Microsoft untuk Kontainer menyediakan pengerasan, penilaian kerentanan, dan perlindungan run-time untuk lingkungan Azure, hibrid, dan multi-cloud Kubernetes Anda.	AuditIfNotExists, Dinonaktifkan	1.0.0
Pertahanan Microsoft untuk Penyimpanan harus diaktifkan	Microsoft Defender for Storage mendeteksi potensi ancaman terhadap akun penyimpanan Anda. Ini membantu mencegah tiga dampak utama pada data dan beban kerja Anda: unggahan file berbahaya, penyelundupan data sensitif, dan kerusakan data. Paket Defender for Storage baru mencakup Pemindaian Malware dan Deteksi Ancaman Data Sensitif. Paket ini juga menyediakan struktur harga yang dapat diprediksi (per akun penyimpanan) untuk kontrol atas cakupan dan biaya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Tingkat harga standar Security Center harus dipilih	Tingkat harga standar memungkinkan deteksi ancaman untuk jaringan dan komputer virtual, menyediakan intelijen ancaman, deteksi anomali, dan analitik perilaku di Security Center	Audit, Dinonaktifkan	1.1.0
Penilaian kerentanan harus diaktifkan di SQL Managed Instance	Audit setiap Instans Terkelola SQL yang tidak mengaktifkan pemindaian penilaian kerentanan berulang. Penilaian kerentanan dapat menemukan, melacak, dan membantu Anda meremediasi kerentanan database potensial.	AuditIfNotExists, Dinonaktifkan	1.0.1
Penilaian kerentanan harus diaktifkan di server SQL Anda	Audit server Azure SQL yang tidak memiliki penilaian kerentanan yang dikonfigurasi dengan benar. Penilaian kerentanan dapat menemukan, melacak, dan membantu Anda meremediasi kerentanan database potensial.	AuditIfNotExists, Dinonaktifkan	3.0.0

Meremediasi kerentanan sesuai dengan penilaian risiko.

ID: CMMC L3 RM.2.143 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Solusi penilaian kerentanan harus diaktifkan pada komputer virtual Anda	Mengaudit komputer virtual untuk mendeteksi apakah mereka menjalankan solusi penilaian kerentanan yang didukung. Komponen inti dari setiap risiko cyber dan program keamanan adalah identifikasi dan analisis kerentanan. Tingkat harga standar Azure Security Center mencakup pemindaian kerentanan untuk komputer virtual Anda tanpa biaya tambahan. Selain itu, Pusat Keamanan dapat secara otomatis menyebarkan alat ini untuk Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0
Azure Defender untuk App Service harus diaktifkan	Azure Defender for App Service memanfaatkan skala cloud, dan visibilitas yang dimiliki Azure sebagai penyedia cloud, untuk memantau serangan aplikasi web umum.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server Azure SQL Database harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Defender untuk Key Vault harus diaktifkan	Azure Defender untuk Key Vault memberikan lapisan perlindungan dan kecerdasan keamanan tambahan dengan mendeteksi upaya yang tidak biasa dan berpotensi berbahaya untuk mengakses atau mengeksploitasi akun key vault.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server harus diaktifkan	Azure Defender untuk server memberikan perlindungan ancaman waktu nyata untuk beban kerja server dan menghasilkan rekomendasi pengerasan serta peringatan tentang aktivitas yang mencurigakan.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server SQL pada mesin harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Defender untuk SQL harus diaktifkan untuk server Azure SQL yang tidak dilindungi	Audit server SQL tanpa Advanced Data Security	AuditIfNotExists, Dinonaktifkan	2.0.1
Azure Defender untuk SQL harus diaktifkan untuk Azure SQL Managed Instance yang tidak terlindungi	Audit setiap SQL Managed Instance tanpa keamanan data tingkat lanjut.	AuditIfNotExists, Dinonaktifkan	1.0.2
Layanan Kubernetes harus ditingkatkan ke versi Kubernetes yang tidak rentan	Tingkatkan klaster layanan Kubernetes Anda ke versi Kubernetes yang lebih baru untuk melindungi dari kerentanan yang diketahui di versi Kubernetes Anda saat ini. Kerentanan CVE-2019-9946 telah di-patch di Kubernetes versi 1.11.9+, 1.12.7+, 1.13.5+, dan 1.14.0+	Audit, Dinonaktifkan	1.0.2
Pertahanan Microsoft untuk Kontainer harus diaktifkan	Pertahanan Microsoft untuk Kontainer menyediakan pengerasan, penilaian kerentanan, dan perlindungan run-time untuk lingkungan Azure, hibrid, dan multi-cloud Kubernetes Anda.	AuditIfNotExists, Dinonaktifkan	1.0.0
Pertahanan Microsoft untuk Penyimpanan harus diaktifkan	Microsoft Defender for Storage mendeteksi potensi ancaman terhadap akun penyimpanan Anda. Ini membantu mencegah tiga dampak utama pada data dan beban kerja Anda: unggahan file berbahaya, penyelundupan data sensitif, dan kerusakan data. Paket Defender for Storage baru mencakup Pemindaian Malware dan Deteksi Ancaman Data Sensitif. Paket ini juga menyediakan struktur harga yang dapat diprediksi (per akun penyimpanan) untuk kontrol atas cakupan dan biaya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Tingkat harga standar Security Center harus dipilih	Tingkat harga standar memungkinkan deteksi ancaman untuk jaringan dan komputer virtual, menyediakan intelijen ancaman, deteksi anomali, dan analitik perilaku di Security Center	Audit, Dinonaktifkan	1.1.0
Database SQL harus memiliki temuan kerentanan yang diselesaikan	Pantau hasil pemindaian penilaian kerentanan dan rekomendasi tentang cara memulihkan kerentanan basis data.	AuditIfNotExists, Dinonaktifkan	4.1.0
Kerentanan dalam konfigurasi keamanan kontainer harus diremediasi	Audit kerentanan dalam konfigurasi keamanan pada mesin dengan Docker diinstal dan ditampilkan sebagai rekomendasi di Security Center.	AuditIfNotExists, Dinonaktifkan	3.0.0
Kerentanan dalam konfigurasi keamanan di komputer Anda harus diremediasi	Server yang tidak memenuhi baseline yang dikonfigurasi akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.1.0
Kerentanan dalam konfigurasi keamanan pada set skala komputer virtual Anda harus diperbaiki	Audit kerentanan OS pada set skala komputer virtual Anda untuk melindunginya dari serangan.	AuditIfNotExists, Dinonaktifkan	3.0.0
Penilaian kerentanan harus diaktifkan di SQL Managed Instance	Audit setiap Instans Terkelola SQL yang tidak mengaktifkan pemindaian penilaian kerentanan berulang. Penilaian kerentanan dapat menemukan, melacak, dan membantu Anda meremediasi kerentanan database potensial.	AuditIfNotExists, Dinonaktifkan	1.0.1
Penilaian kerentanan harus diaktifkan di server SQL Anda	Audit server Azure SQL yang tidak memiliki penilaian kerentanan yang dikonfigurasi dengan benar. Penilaian kerentanan dapat menemukan, melacak, dan membantu Anda meremediasi kerentanan database potensial.	AuditIfNotExists, Dinonaktifkan	3.0.0

Manajemen risiko

Melakukan penilaian risiko secara berkala untuk mengidentifikasi dan memprioritaskan risiko sesuai dengan kategori risiko, sumber risiko, dan kriteria pengukuran risiko yang ditetapkan.

ID: CMMC L3 RM.3.144 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Azure Defender untuk App Service harus diaktifkan	Azure Defender for App Service memanfaatkan skala cloud, dan visibilitas yang dimiliki Azure sebagai penyedia cloud, untuk memantau serangan aplikasi web umum.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server Azure SQL Database harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Defender untuk Key Vault harus diaktifkan	Azure Defender untuk Key Vault memberikan lapisan perlindungan dan kecerdasan keamanan tambahan dengan mendeteksi upaya yang tidak biasa dan berpotensi berbahaya untuk mengakses atau mengeksploitasi akun key vault.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server harus diaktifkan	Azure Defender untuk server memberikan perlindungan ancaman waktu nyata untuk beban kerja server dan menghasilkan rekomendasi pengerasan serta peringatan tentang aktivitas yang mencurigakan.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server SQL pada mesin harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Pertahanan Microsoft untuk Kontainer harus diaktifkan	Pertahanan Microsoft untuk Kontainer menyediakan pengerasan, penilaian kerentanan, dan perlindungan run-time untuk lingkungan Azure, hibrid, dan multi-cloud Kubernetes Anda.	AuditIfNotExists, Dinonaktifkan	1.0.0
Pertahanan Microsoft untuk Penyimpanan harus diaktifkan	Microsoft Defender for Storage mendeteksi potensi ancaman terhadap akun penyimpanan Anda. Ini membantu mencegah tiga dampak utama pada data dan beban kerja Anda: unggahan file berbahaya, penyelundupan data sensitif, dan kerusakan data. Paket Defender for Storage baru mencakup Pemindaian Malware dan Deteksi Ancaman Data Sensitif. Paket ini juga menyediakan struktur harga yang dapat diprediksi (per akun penyimpanan) untuk kontrol atas cakupan dan biaya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Tingkat harga standar Security Center harus dipilih	Tingkat harga standar memungkinkan deteksi ancaman untuk jaringan dan komputer virtual, menyediakan intelijen ancaman, deteksi anomali, dan analitik perilaku di Security Center	Audit, Dinonaktifkan	1.1.0

Perlindungan Sistem dan Komunikasi

Memantau, mengontrol, dan melindungi komunikasi (yaitu informasi yang ditransmisikan atau diterima oleh sistem organisasi) di batasan eksternal dan batasan internal utama sistem organisasi.

ID: CMMC L3 SC.1.175 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Akses publik akun penyimpanan tidak boleh diizinkan	Akses baca publik anonim ke container dan blob di Azure Storage adalah cara yang nyaman untuk berbagi data tetapi dapat menimbulkan risiko keamanan. Untuk mencegah pelanggaran data yang disebabkan oleh akses anonim yang tidak diinginkan, Microsoft merekomendasikan untuk mencegah akses publik ke akun penyimpanan kecuali skenario Anda memerlukannya.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	3.1.0-pratinjau
Rekomendasi pengerasan jaringan adaptif harus diterapkan pada komputer virtual yang menghadap internet	Azure Security Center menganalisis pola lalu lintas komputer virtual yang dihadapi Internet dan memberikan rekomendasi aturan Grup Keamanan Jaringan yang mengurangi potensi serangan permukaan	AuditIfNotExists, Dinonaktifkan	3.0.0
Semua port jaringan harus dibatasi pada grup keamanan jaringan yang terkait dengan komputer virtual Anda	Azure Security Center telah mengidentifikasi beberapa aturan masuk grup keamanan jaringan Anda terlalu permisif. Aturan masuk tidak boleh mengizinkan akses dari rentang 'Apa pun' atau 'Internet'. Ini berpotensi memungkinkan penyerang untuk menargetkan sumber daya Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0
Aplikasi App Service hanya dapat diakses melalui HTTPS	Penggunaan HTTPS memastikan autentikasi server/layanan dan melindungi data dalam perjalanan dari serangan penyadapan lapisan jaringan.	Audit, Dinonaktifkan, Tolak	4.0.0
Aplikasi App Service harus menggunakan versi TLS terbaru	Secara berkala, versi yang lebih baru dirilis untuk TLS baik karena kelemahan keamanan, termasuk fungsionalitas tambahan, dan tingkatkan kecepatan. Tingkatkan ke versi TLS terbaru untuk aplikasi App Service untuk memanfaatkan perbaikan keamanan, jika ada, dan/atau fungsionalitas baru dari versi terbaru.	AuditIfNotExists, Dinonaktifkan	2.0.1
Sumber daya Azure AI Services harus membatasi akses jaringan	Dengan membatasi akses jaringan, Anda dapat memastikan bahwa hanya jaringan yang diizinkan yang dapat mengakses layanan. Ini dapat dicapai dengan mengonfigurasi aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses layanan Azure AI.	Audit, Tolak, Dinonaktifkan	3.2.0
Azure Web Application Firewall harus diaktifkan untuk titik masuk Azure Front Door	Menyebarkan Azure Web Application Firewall (WAF) di depan aplikasi web yang menghadap publik untuk pemeriksaan tambahan lalu lintas masuk. Web Application Firewall (WAF) memberikan perlindungan terpusat dari aplikasi web Anda dari eksploitasi umum dan kerentanan seperti injeksi SQL, Cross-Site Scripting, eksekusi file lokal dan jarak jauh. Anda juga dapat membatasi akses ke aplikasi web Anda berdasarkan negara, rentang alamat IP, dan parameter http lainnya melalui aturan kustom.	Audit, Tolak, Dinonaktifkan	1.0.2
Registri kontainer tidak boleh mengizinkan akses jaringan yang tidak terbatas	Azure container registry secara default menerima koneksi melalui internet dari host di jaringan apa pun. Untuk melindungi registri Anda dari potensi ancaman, izinkan akses hanya dari titik akhir privat tertentu, alamat IP publik atau rentang alamat tertentu. Jika registri Anda tidak memiliki aturan jaringan yang dikonfigurasi, registri akan muncul di sumber daya yang tidak sehat. Pelajari lebih lanjut tentang aturan jaringan Container Registry di sini: https://aka.ms/acr/privatelink,https://aka.ms/acr/portal/public-network dan https://aka.ms/acr/vnet.	Audit, Tolak, Dinonaktifkan	2.0.0
Log alur harus dikonfigurasi untuk setiap grup keamanan jaringan	Audit untuk grup keamanan jaringan untuk memverifikasi apakah log aliran dikonfigurasi. Mengaktifkan log aliran memungkinkan untuk mencatat informasi tentang lalu lintas IP yang mengalir melalui grup keamanan jaringan. Ini dapat digunakan untuk mengoptimalkan aliran jaringan, memantau throughput, memverifikasi kepatuhan, mendeteksi intrusi, dan banyak lagi.	Audit, Dinonaktifkan	1.1.0
Aplikasi fungsi seharusnya hanya dapat diakses melalui HTTPS	Penggunaan HTTPS memastikan autentikasi server/layanan dan melindungi data dalam perjalanan dari serangan penyadapan lapisan jaringan.	Audit, Dinonaktifkan, Tolak	5.0.0
Aplikasi Fungsi harus menggunakan versi TLS terbaru	Secara berkala, versi yang lebih baru dirilis untuk TLS baik karena kelemahan keamanan, termasuk fungsionalitas tambahan, dan tingkatkan kecepatan. Tingkatkan ke versi TLS terbaru untuk aplikasi Fungsi untuk memanfaatkan perbaikan keamanan, jika ada, dan/atau fungsionalitas baru dari versi terbaru.	AuditIfNotExists, Dinonaktifkan	2.0.1
Komputer virtual yang terhubung ke internet harus dilindungi dengan grup keamanan jaringan	Lindungi komputer virtual Anda dari potensi ancaman dengan membatasi akses ke komputer virtual tersebut dengan grup keamanan jaringan (NSG). Pelajari lebih lanjut tentang mengontrol lalu lintas dengan NSG di https://aka.ms/nsg-doc	AuditIfNotExists, Dinonaktifkan	3.0.0
Pod kluster Kube hanya boleh menggunakan jaringan host dan rentang port yang disetujui	Batasi akses pod ke jaringan host dan rentang port host yang diizinkan di kluster Kubernetes. Rekomendasi ini adalah bagian dari CIS 5.2.4 yang dimaksudkan untuk meningkatkan keamanan lingkungan Kubernetes Anda. Kebijakan ini umumnya tersedia untuk Kubernetes Service (AKS), dan pratinjau untuk Kubernetes dengan dukungan Azure Arc. Untuk informasi selengkapnya, lihat https://aka.ms/kubepolicydoc.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	6.1.0
Port manajemen komputer virtual harus dilindungi dengan kontrol akses jaringan just-in-time	Kemungkinan akses Just In Time (JIT) jaringan akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.0.0
Network Watcher harus diaktifkan	Network Watcher adalah layanan regional yang memungkinkan Anda memantau dan mendiagnosis kondisi pada tingkat skenario jaringan di, ke, dan dari Azure. Pemantauan tingkat skenario memungkinkan Anda mendiagnosis masalah pada tampilan tingkat jaringan ujung ke ujung. Diperlukan untuk memiliki grup sumber daya pengawas jaringan untuk dibuat di setiap wilayah tempat jaringan virtual berada. Pemberitahuan diaktifkan jika grup sumber daya pengawas jaringan tidak tersedia di wilayah tertentu.	AuditIfNotExists, Dinonaktifkan	3.0.0
Komputer virtual yang tidak terhubung ke internet harus dilindungi dengan grup keamanan jaringan	Lindungi komputer virtual non-internet Anda dari potensi ancaman dengan membatasi akses dengan grup keamanan jaringan (NSG). Pelajari lebih lanjut tentang mengontrol lalu lintas dengan NSG di https://aka.ms/nsg-doc	AuditIfNotExists, Dinonaktifkan	3.0.0
Hanya koneksi aman ke Azure Cache for Redis Anda yang harus diaktifkan	Audit memungkinkan hanya koneksi melalui SSL ke Azure Cache for Redis. Penggunaan koneksi aman memastikan autentikasi antara server dan layanan serta melindungi data dalam perjalanan dari serangan lapisan jaringan seperti man-in-the-middle, eavesdropping, dan session-hijacking	Audit, Tolak, Dinonaktifkan	1.0.0
Akses jaringan publik di Azure SQL Database harus dinonaktifkan	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan Azure SQL Database Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	1.1.0
Akses jaringan publik harus dinonaktifkan untuk server MariaDB	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for MariaDB Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.0
Akses jaringan publik harus dinonaktifkan untuk server fleksibel MySQL	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan server fleksibel Azure Database for MySQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik apa pun di luar jangkauan Azure IP dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.1.0
Akses jaringan publik harus dinonaktifkan untuk server MySQL	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for MySQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.0
Akses jaringan publik harus dinonaktifkan untuk server fleksibel PostgreSQL	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan server fleksibel Azure Database for PostgreSQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik apa pun di luar jangkauan Azure IP dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	3.0.1
Akses jaringan publik harus dinonaktifkan untuk server PostgreSQL	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for PostgreSQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.1
Transfer aman ke akun penyimpanan harus diaktifkan	Persyaratan audit Transfer aman di akun penyimpanan Anda. Transfer aman adalah opsi yang memaksa akun penyimpanan Anda untuk menerima permintaan hanya dari koneksi aman (HTTPS). Penggunaan HTTPS memastikan autentikasi antara server dan layanan dan melindungi data dalam perjalanan dari serangan lapisan jaringan seperti man-in-the-middle, eavesdropping, dan session-hijacking	Audit, Tolak, Dinonaktifkan	2.0.0
Akun penyimpanan harus membatasi akses jaringan	Akses jaringan ke akun penyimpanan harus dibatasi. Konfigurasikan aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses akun penyimpanan. Untuk mengizinkan koneksi dari internet tertentu atau klien lokal, akses dapat diberikan ke lalu lintas dari jaringan virtual Azure tertentu atau ke rentang alamat IP internet publik	Audit, Tolak, Dinonaktifkan	1.1.1
Web Application Firewall (WAF) harus diaktifkan untuk Azure Application Gateway	Menyebarkan Azure Web Application Firewall (WAF) di depan aplikasi web yang menghadap publik untuk pemeriksaan tambahan lalu lintas masuk. Web Application Firewall (WAF) memberikan perlindungan terpusat dari aplikasi web Anda dari eksploitasi umum dan kerentanan seperti injeksi SQL, Cross-Site Scripting, eksekusi file lokal dan jarak jauh. Anda juga dapat membatasi akses ke aplikasi web Anda berdasarkan negara, rentang alamat IP, dan parameter http lainnya melalui aturan kustom.	Audit, Tolak, Dinonaktifkan	2.0.0
Firewall Aplikasi Web (WAF) harus menggunakan mode yang ditentukan untuk Gateway Aplikasi	Mengamanatkan penggunaan mode 'Deteksi' atau 'Pencegahan' untuk aktif di semua kebijakan Web Application Firewall untuk Azure Application Gateway.	Audit, Tolak, Dinonaktifkan	1.0.0
Web Application Firewall (WAF) harus menggunakan mode yang ditentukan untuk Web Application Firewall	Mengamanatkan penggunaan mode 'Deteksi' atau 'Pencegahan' untuk aktif di semua kebijakan Web Application Firewall untuk Azure Front Door Service.	Audit, Tolak, Dinonaktifkan	1.0.0
Komputer Windows harus dikonfigurasi untuk menggunakan protokol komunikasi yang aman	Untuk melindungi privasi informasi yang dikomunikasikan melalui Internet, komputer Anda harus menggunakan versi terbaru protokol kriptografi standar industri, Keamanan Lapisan Transportasi (TLS). TLS mengamankan komunikasi melalui jaringan dengan mengenkripsi koneksi antar mesin.	AuditIfNotExists, Dinonaktifkan	4.1.1
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Akses Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Akses Jaringan' untuk menyertakan akses bagi pengguna anonim, akun lokal, dan akses jarak jauh ke registri. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Keamanan Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Keamanan Jaringan' untuk menyertakan perilaku Sistem Lokal, PKU2U, Manajer LAN, klien LDAP, dan NTLM SSP. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Menerapkan subjaringan untuk komponen sistem yang dapat diakses publik yang terpisah secara fisik atau logis dari jaringan internal.

ID: CMMC L3 SC.1.176 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Rekomendasi pengerasan jaringan adaptif harus diterapkan pada komputer virtual yang menghadap internet	Azure Security Center menganalisis pola lalu lintas komputer virtual yang dihadapi Internet dan memberikan rekomendasi aturan Grup Keamanan Jaringan yang mengurangi potensi serangan permukaan	AuditIfNotExists, Dinonaktifkan	3.0.0
Semua port jaringan harus dibatasi pada grup keamanan jaringan yang terkait dengan komputer virtual Anda	Azure Security Center telah mengidentifikasi beberapa aturan masuk grup keamanan jaringan Anda terlalu permisif. Aturan masuk tidak boleh mengizinkan akses dari rentang 'Apa pun' atau 'Internet'. Ini berpotensi memungkinkan penyerang untuk menargetkan sumber daya Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0
Komputer virtual yang terhubung ke internet harus dilindungi dengan grup keamanan jaringan	Lindungi komputer virtual Anda dari potensi ancaman dengan membatasi akses ke komputer virtual tersebut dengan grup keamanan jaringan (NSG). Pelajari lebih lanjut tentang mengontrol lalu lintas dengan NSG di https://aka.ms/nsg-doc	AuditIfNotExists, Dinonaktifkan	3.0.0
Akun penyimpanan harus membatasi akses jaringan	Akses jaringan ke akun penyimpanan harus dibatasi. Konfigurasikan aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses akun penyimpanan. Untuk mengizinkan koneksi dari internet tertentu atau klien lokal, akses dapat diberikan ke lalu lintas dari jaringan virtual Azure tertentu atau ke rentang alamat IP internet publik	Audit, Tolak, Dinonaktifkan	1.1.1
Subnet harus dikaitkan dengan Grup Keamanan Jaringan	Lindungi subnet Anda dari potensi ancaman dengan membatasi aksesnya dengan Network Security Group (NSG). NSG berisi daftar aturan Access Control List (ACL) yang mengizinkan atau menolak lalu lintas jaringan ke subnet Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0

Menggunakan sesi terenkripsi untuk pengelolaan perangkat jaringan.

ID: CMMC L3 SC.2.179 Kepemilikan: Pelanggan

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Port manajemen komputer virtual harus dilindungi dengan kontrol akses jaringan just-in-time	Kemungkinan akses Just In Time (JIT) jaringan akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.0.0

Menggunakan kriptografi yang divalidasi FIPS saat digunakan untuk melindungi kerahasiaan CUI.

ID: CMMC L3 SC.3.177 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Mengaudit komputer Windows yang tidak menyimpan kata sandi menggunakan enkripsi yang dapat dibalik	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Komputer tidak sesuai jika komputer Windows tidak menyimpan kata sandi menggunakan enkripsi yang dapat dibatalkan	AuditIfNotExists, Dinonaktifkan	2.0.0
Variabel akun Automation harus dienkripsi	Penting untuk mengaktifkan enkripsi aset variabel akun Azure Automation saat menyimpan data sensitif	Audit, Tolak, Dinonaktifkan	1.1.0
Azure API untuk FHIR harus menggunakan kunci yang dikelola pelanggan untuk mengenkripsi data saat tidak aktif	Gunakan kunci yang dikelola pelanggan untuk mengontrol enkripsi di seluruh data yang disimpan di Azure API untuk FHIR jika ini merupakan persyaratan peraturan atau kepatuhan. Kunci yang dikelola pelanggan juga memberikan enkripsi ganda dengan menambahkan enkripsi lapisan kedua di atas enkripsi default yang dilakukan dengan kunci yang dikelola layanan.	audit, Audit, dinonaktifkan, Dinonaktifkan	1.1.0
Pekerjaan Azure Data Box harus mengaktifkan enkripsi ganda untuk data tidak aktif di perangkat	Aktifkan enkripsi berbasis perangkat lunak lapisan kedua untuk data tidak aktif di perangkat. Perangkat sudah dilindungi melalui Standar Enkripsi Lanjutan enkripsi 256-bit untuk data saat tidak aktif. Opsi ini menambahkan enkripsi data lapis kedua.	Audit, Tolak, Dinonaktifkan	1.0.0
Enkripsi Azure Data Explorer saat nonaktif harus menggunakan kunci yang dikelola pelanggan	Mengaktifkan enkripsi saat tidak aktif menggunakan kunci yang dikelola pelanggan di kluster Azure Data Explorer Anda memberikan kontrol tambahan atas kunci yang digunakan oleh enkripsi saat tidak aktif. Fitur ini seringkali berlaku untuk pelanggan dengan persyaratan kepatuhan khusus dan memerlukan Gudang Kunci untuk mengelola kunci.	Audit, Tolak, Dinonaktifkan	1.0.0
Pekerjaan Azure Stream Analytics harus menggunakan kunci yang dikelola pelanggan untuk mengenkripsi data	Gunakan kunci yang dikelola pelanggan saat Anda ingin menyimpan metadata dan aset data pribadi apa pun dengan aman dari tugas Analisis Aliran di akun penyimpanan Anda. Hal ini memberi Anda kendali penuh atas cara data Azure Stream Analytics Anda dienkripsi.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	1.1.0
Ruang kerja Azure Synapse harus menggunakan kunci yang dikelola pelanggan untuk mengenkripsi data tidak aktif	Gunakan kunci yang dikelola pelanggan untuk mengontrol enkripsi di seluruh data yang disimpan di ruang kerja Azure Synapse. Kunci yang dikelola pelanggan memberikan enkripsi ganda dengan menambahkan enkripsi lapisan kedua di atas enkripsi default dengan kunci yang dikelola layanan.	Audit, Tolak, Dinonaktifkan	1.0.0
Sistem operasi dan disk data di kluster Azure Kubernetes Service harus dienkripsi dengan kunci yang dikelola pelanggan	Mengenkripsi OS dan disk data menggunakan kunci yang dikelola pelanggan memberikan lebih banyak kontrol dan fleksibilitas yang lebih besar dalam manajemen kunci. Ini adalah persyaratan umum dalam banyak standar kepatuhan peraturan dan industri.	Audit, Tolak, Dinonaktifkan	1.0.1
Sertifikat yang menggunakan kriptografi RSA harus memiliki ukuran kunci minimum yang ditentukan	Kelola persyaratan kepatuhan organisasi Anda dengan menetapkan ukuran kunci minimum untuk sertifikat RSA yang disimpan di brankas kunci Anda.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	2.1.0
Akun Azure Cognitive Services harus mengaktifkan enkripsi data dengan kunci yang dikelola pelanggan	Kunci yang dikelola pelanggan biasanya diperlukan untuk memenuhi standar kepatuhan terhadap peraturan. Kunci yang dikelola pelanggan memungkinkan data yang disimpan di Azure Cognitive Services dienkripsi dengan kunci Azure Key Vault yang dibuat dan dimiliki oleh Anda. Anda memiliki kendali dan tanggung jawab penuh atas siklus hidup utama, termasuk rotasi dan manajemen. Pelajari lebih lanjut tentang kunci yang dikelola pelanggan di https://go.microsoft.com/fwlink/?linkid=2121321.	Audit, Tolak, Dinonaktifkan	2.1.0
Pendaftaran penampung harus dienkripsi dengan kunci yang dikelola pelanggan	Gunakan kunci yang dikelola pelanggan untuk mengelola enkripsi tidak aktif di seluruh isi disk terkelola Anda. Secara default, data dienkripsi saat tidak aktif dengan kunci yang dikelola layanan, tetapi kunci yang dikelola pelanggan biasanya diperlukan untuk memenuhi standar kepatuhan peraturan. Kunci yang dikelola pelanggan memungkinkan data dienkripsi dengan kunci Azure Key Vault yang dibuat dan dimiliki oleh Anda. Anda memiliki kontrol dan tanggung jawab penuh atas siklus hidup kunci, termasuk perputaran dan manajemen. Pelajari lebih lanjut di https://aka.ms/acr/CMK.	Audit, Tolak, Dinonaktifkan	1.1.2
Enkripsi disk harus diaktifkan di Azure Data Explorer	Mengaktifkan enkripsi disk membantu melindungi dan mengamankan data Anda untuk memenuhi komitmen keamanan dan kepatuhan organisasi Anda.	Audit, Tolak, Dinonaktifkan	2.0.0
Enkripsi ganda harus diaktifkan di Azure Data Explorer	Mengaktifkan enkripsi ganda membantu melindungi dan mengamankan data Anda untuk memenuhi komitmen keamanan dan kepatuhan organisasi Anda. Ketika enkripsi ganda telah diaktifkan, data di akun penyimpanan dienkripsi dua kali, sekali di tingkat layanan dan sekali di tingkat infrastruktur, menggunakan dua algoritme enkripsi yang berbeda dan dua kunci yang berbeda.	Audit, Tolak, Dinonaktifkan	2.0.0
Enkripsi infrastruktur harus diaktifkan untuk server Azure Database for MySQL	Aktifkan enkripsi infrastruktur untuk server Azure Database for MySQL agar memiliki tingkat jaminan yang lebih tinggi bahwa data aman. Saat enkripsi infrastruktur diaktifkan, data saat tidak aktif dienkripsi dua kali menggunakan kunci terkelola Microsoft yang sesuai dengan FIPS 140-2.	Audit, Tolak, Dinonaktifkan	1.0.0
Enkripsi infrastruktur harus diaktifkan untuk server Azure Database for PostgreSQL	Aktifkan enkripsi infrastruktur untuk server Azure Database for PostgreSQL agar memiliki tingkat jaminan yang lebih tinggi bahwa data aman. Saat enkripsi infrastruktur diaktifkan, data saat tidak aktif dienkripsi dua kali menggunakan kunci yang dikelola Microsoft yang sesuai dengan FIPS 140-2	Audit, Tolak, Dinonaktifkan	1.0.0
Kunci harus berupa RSA atau EC jenis kriptografi yang ditentukan	Beberapa aplikasi memerlukan penggunaan kunci yang didukung oleh jenis kriptografi tertentu. Terapkan jenis kunci kriptografik tertentu, RSA atau EC, di lingkungan Anda.	Audit, Tolak, Dinonaktifkan	1.0.1
Kunci yang menggunakan kriptografi kurva eliptik harus memiliki nama kurva yang ditentukan	Kunci yang didukung oleh kriptografi kurva elips dapat memiliki nama kurva yang berbeda. Beberapa aplikasi hanya kompatibel dengan kunci kurva eliptik tertentu. Terapkan jenis kunci kurva eliptik yang diizinkan untuk dibuat di lingkungan Anda.	Audit, Tolak, Dinonaktifkan	1.0.1
Kunci yang menggunakan kriptografi RSA harus memiliki ukuran kunci minimum yang ditentukan	Atur ukuran kunci minimum yang diperbolehkan untuk digunakan dengan brankas kunci Anda. Penggunaan kunci RSA dengan ukuran kunci kecil bukanlah praktik yang aman dan tidak memenuhi banyak persyaratan sertifikasi industri.	Audit, Tolak, Dinonaktifkan	1.0.1
Memerlukan enkripsi pada akun Data Lake Store	Kebijakan ini memastikan enkripsi diaktifkan di semua akun Data Lake Store	tolak	1.0.0
Kluster Service Fabric harus memiliki properti ClusterProtectionLevel yang disetel ke EncryptAndSign	Service Fabric menyediakan tiga tingkat perlindungan (None, Sign, dan EncryptAndSign) untuk komunikasi node-to-node menggunakan sertifikat kluster utama. Atur tingkat perlindungan untuk memastikan bahwa semua pesan node-to-node dienkripsi dan ditandatangani secara digital	Audit, Tolak, Dinonaktifkan	1.1.0
ISQL managed instances harus menggunakan kunci yang dikelola pelanggan untuk mengenkripsi data yang tidak aktif	Implementasi Enkripsi Data Transparan (TDE) dengan kunci Anda sendiri memberikan transparansi dan kontrol yang lebih baik atas Pelindung TDE, keamanan yang lebih baik dengan layanan eksternal yang didukung HSM, dan promosi pemisahan tugas. Rekomendasi ini berlaku untuk organisasi dengan persyaratan kepatuhan terkait.	Audit, Tolak, Dinonaktifkan	2.0.0
Server SQL harus menggunakan kunci yang dikelola pelanggan untuk mengenkripsi data saat tidak aktif	Implementasi Transparent Data Encryption (TDE) dengan kunci Anda sendiri memberikan transparansi dan kontrol yang lebih baik atas Pelindung TDE, keamanan yang lebih baik dengan layanan eksternal yang didukung HSM, dan promosi pemisahan tugas. Rekomendasi ini berlaku untuk organisasi dengan persyaratan kepatuhan terkait.	Audit, Tolak, Dinonaktifkan	2.0.1
Akun penyimpanan harus memiliki enkripsi infrastruktur	Aktifkan enkripsi infrastruktur untuk tingkat jaminan yang lebih tinggi bahwa data aman. Saat enkripsi infrastruktur diaktifkan, data dalam akun penyimpanan dienkripsi dua kali.	Audit, Tolak, Dinonaktifkan	1.0.0
Akun penyimpanan harus menggunakan kunci yang dikelola pelanggan untuk enkripsi	Amankan akun penyimpanan blob dan file Anda dengan fleksibilitas yang lebih besar menggunakan kunci yang dikelola pelanggan. Saat Anda menentukan kunci yang dikelola pelanggan, kunci tersebut digunakan untuk melindungi dan mengontrol akses ke kunci yang mengenkripsi data Anda. Menggunakan kunci yang dikelola pelanggan memberikan kemampuan tambahan untuk mengontrol rotasi kunci enkripsi kunci atau menghapus data secara kriptografis.	Audit, Dinonaktifkan	1.0.3
Enkripsi Data Transparan pada database SQL harus diaktifkan	Enkripsi data transparan harus diaktifkan untuk melindungi data-yang-tidak-aktif dan memenuhi persyaratan kepatuhan	AuditIfNotExists, Dinonaktifkan	2.0.0
Komputer virtual harus mengenkripsi disk sementara, cache, serta aliran data antara sumber daya Komputasi dan Penyimpanan	Secara default, OS dan disk data mesin virtual dienkripsi saat tidak aktif menggunakan kunci yang dikelola platform. Disk sementara, cache data, dan data yang mengalir di antara komputasi dan penyimpanan tidak dienkripsi. Abaikan rekomendasi ini jika: 1. menggunakan enkripsi di host, atau 2. enkripsi sisi server pada Disk Terkelola memenuhi persyaratan keamanan Anda. Pelajari lebih lanjut dalam: Enkripsi sisi server dari Azure Disk Storage: https://aka.ms/disksse, Penawaran enkripsi disk yang berbeda: https://aka.ms/diskencryptioncomparison	AuditIfNotExists, Dinonaktifkan	2.0.3

Mempekerjakan desain arsitektur, teknik pengembangan perangkat lunak, dan prinsip-prinsip rekayasa sistem yang mempromosikan keamanan informasi yang efektif dalam sistem organisasi.

ID: CMMC L3 SC.3.180 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Subnet harus dikaitkan dengan Grup Keamanan Jaringan	Lindungi subnet Anda dari potensi ancaman dengan membatasi aksesnya dengan Network Security Group (NSG). NSG berisi daftar aturan Access Control List (ACL) yang mengizinkan atau menolak lalu lintas jaringan ke subnet Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0

Memisahkan fungsionalitas pengguna dari fungsionalitas pengelolaan sistem.

ID: CMMC L3 SC.3.181 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Maksimum 3 pemilik harus ditunjuk untuk langganan Anda	Direkomendasikan untuk menetapkan hingga 3 pemilik langganan untuk mengurangi potensi pelanggaran oleh pemilik yang disusupi.	AuditIfNotExists, Dinonaktifkan	3.0.0
Administrator Azure Active Directory harus disediakan untuk server SQL	Penyediaan audit administrator Microsoft Azure Active Directory untuk server SQL Anda agar mengaktifkan autentikasi Microsoft Azure Active Directory. Autentikasi Microsoft Azure Active Directory memungkinkan manajemen izin yang disederhanakan dan manajemen identitas terpusat dari pengguna database dan layanan Microsoft lainnya	AuditIfNotExists, Dinonaktifkan	1.0.0
Mengaudit komputer Windows yang memiliki anggota yang ditentukan dalam grup Admin	Mengharuskan prasyarat disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol. Mesin tidak sesuai jika grup Administrator lokal berisi satu atau lebih anggota yang tercantum dalam parameter kebijakan.	auditIfNotExists	2.0.0
Akun yang diblokir dengan izin pemilik pada sumber daya Azure harus dihapus	Akun yang tidak digunakan lagi dengan izin pemilik harus dihapus dari langganan Anda. Akun yang tidak digunakan lagi adalah akun yang telah diblokir untuk masuk.	AuditIfNotExists, Dinonaktifkan	1.0.0
Akun tamu dengan izin pemilik pada sumber daya Azure harus dihapus	Akun eksternal dengan izin pemilik harus dihapus dari langganan Anda agar dapat mencegah akses tanpa pengawasan.	AuditIfNotExists, Dinonaktifkan	1.0.0
Harus ada lebih dari satu pemilik yang ditetapkan ke langganan Anda	Sebaiknya tetapkan lebih dari satu pemilik langganan agar memiliki redundansi akses administrator.	AuditIfNotExists, Dinonaktifkan	3.0.0

Menolak lalu lintas komunikasi jaringan secara default dan mengizinkan lalu lintas komunikasi jaringan berdasarkan pengecualian (misalnya tolak semua, izinkan dengan pengecualian).

ID: CMMC L3 SC.3.183 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Semua lalu lintas Internet harus dirutekan melalui Azure Firewall yang Anda sebarkan	Azure Security Center telah mengidentifikasi bahwa beberapa subnet Anda tidak dilindungi dengan firewall generasi berikutnya. Lindungi subnet Anda dari potensi ancaman dengan membatasi akses ke mereka dengan Azure Firewall atau firewall generasi berikutnya yang didukung	AuditIfNotExists, Dinonaktifkan	3.0.0-pratinjau
[Pratinjau]: Akses publik akun penyimpanan tidak boleh diizinkan	Akses baca publik anonim ke container dan blob di Azure Storage adalah cara yang nyaman untuk berbagi data tetapi dapat menimbulkan risiko keamanan. Untuk mencegah pelanggaran data yang disebabkan oleh akses anonim yang tidak diinginkan, Microsoft merekomendasikan untuk mencegah akses publik ke akun penyimpanan kecuali skenario Anda memerlukannya.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	3.1.0-pratinjau
Rekomendasi pengerasan jaringan adaptif harus diterapkan pada komputer virtual yang menghadap internet	Azure Security Center menganalisis pola lalu lintas komputer virtual yang dihadapi Internet dan memberikan rekomendasi aturan Grup Keamanan Jaringan yang mengurangi potensi serangan permukaan	AuditIfNotExists, Dinonaktifkan	3.0.0
Semua port jaringan harus dibatasi pada grup keamanan jaringan yang terkait dengan komputer virtual Anda	Azure Security Center telah mengidentifikasi beberapa aturan masuk grup keamanan jaringan Anda terlalu permisif. Aturan masuk tidak boleh mengizinkan akses dari rentang 'Apa pun' atau 'Internet'. Ini berpotensi memungkinkan penyerang untuk menargetkan sumber daya Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0
Aplikasi App Service tidak boleh mengonfigurasi CORS untuk mengizinkan semua sumber daya untuk mengakses aplikasi Anda	Berbagi Sumber Daya Lintas Asal (CORS) tidak boleh mengizinkan semua domain mengakses aplikasi Anda. Izinkan hanya domain yang diperlukan untuk berinteraksi dengan aplikasi Anda.	AuditIfNotExists, Dinonaktifkan	2.0.0
Sumber daya Azure AI Services harus membatasi akses jaringan	Dengan membatasi akses jaringan, Anda dapat memastikan bahwa hanya jaringan yang diizinkan yang dapat mengakses layanan. Ini dapat dicapai dengan mengonfigurasi aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses layanan Azure AI.	Audit, Tolak, Dinonaktifkan	3.2.0
Azure Key Vault harus mengaktifkan firewall	Aktifkan firewall brankas kunci agar brankas kunci tidak dapat diakses secara default ke IP publik mana pun. Secara opsional, Anda dapat mengonfigurasi rentang IP tertentu untuk membatasi akses ke jaringan tersebut. Pelajari lebih lanjut di: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Tolak, Dinonaktifkan	3.2.1
Azure Web Application Firewall harus diaktifkan untuk titik masuk Azure Front Door	Menyebarkan Azure Web Application Firewall (WAF) di depan aplikasi web yang menghadap publik untuk pemeriksaan tambahan lalu lintas masuk. Web Application Firewall (WAF) memberikan perlindungan terpusat dari aplikasi web Anda dari eksploitasi umum dan kerentanan seperti injeksi SQL, Cross-Site Scripting, eksekusi file lokal dan jarak jauh. Anda juga dapat membatasi akses ke aplikasi web Anda berdasarkan negara, rentang alamat IP, dan parameter http lainnya melalui aturan kustom.	Audit, Tolak, Dinonaktifkan	1.0.2
Registri kontainer tidak boleh mengizinkan akses jaringan yang tidak terbatas	Azure container registry secara default menerima koneksi melalui internet dari host di jaringan apa pun. Untuk melindungi registri Anda dari potensi ancaman, izinkan akses hanya dari titik akhir privat tertentu, alamat IP publik atau rentang alamat tertentu. Jika registri Anda tidak memiliki aturan jaringan yang dikonfigurasi, registri akan muncul di sumber daya yang tidak sehat. Pelajari lebih lanjut tentang aturan jaringan Container Registry di sini: https://aka.ms/acr/privatelink,https://aka.ms/acr/portal/public-network dan https://aka.ms/acr/vnet.	Audit, Tolak, Dinonaktifkan	2.0.0
CORS tidak boleh mengizinkan setiap domain mengakses API Anda untuk FHIR	Cross-Origin Resource Sharing (CORS) seharusnya tidak mengizinkan semua domain mengakses API Anda untuk FHIR. Untuk melindungi API Anda untuk FHIR, hapus akses untuk semua domain dan tentukan secara eksplisit domain yang diizinkan untuk terhubung.	audit, Audit, dinonaktifkan, Dinonaktifkan	1.1.0
Log alur harus dikonfigurasi untuk setiap grup keamanan jaringan	Audit untuk grup keamanan jaringan untuk memverifikasi apakah log aliran dikonfigurasi. Mengaktifkan log aliran memungkinkan untuk mencatat informasi tentang lalu lintas IP yang mengalir melalui grup keamanan jaringan. Ini dapat digunakan untuk mengoptimalkan aliran jaringan, memantau throughput, memverifikasi kepatuhan, mendeteksi intrusi, dan banyak lagi.	Audit, Dinonaktifkan	1.1.0
Aplikasi Fungsi tidak boleh memiliki CORS yang terkonfigurasi untuk mengizinkan setiap sumber daya mengakses aplikasi Anda	Cross-Origin Resource Sharing (CORS) seharusnya tidak mengizinkan semua domain mengakses aplikasi Fungsi Anda. Izinkan hanya domain yang diperlukan untuk berinteraksi dengan aplikasi Fungsi Anda.	AuditIfNotExists, Dinonaktifkan	2.0.0
Komputer virtual yang terhubung ke internet harus dilindungi dengan grup keamanan jaringan	Lindungi komputer virtual Anda dari potensi ancaman dengan membatasi akses ke komputer virtual tersebut dengan grup keamanan jaringan (NSG). Pelajari lebih lanjut tentang mengontrol lalu lintas dengan NSG di https://aka.ms/nsg-doc	AuditIfNotExists, Dinonaktifkan	3.0.0
Pod kluster Kube hanya boleh menggunakan jaringan host dan rentang port yang disetujui	Batasi akses pod ke jaringan host dan rentang port host yang diizinkan di kluster Kubernetes. Rekomendasi ini adalah bagian dari CIS 5.2.4 yang dimaksudkan untuk meningkatkan keamanan lingkungan Kubernetes Anda. Kebijakan ini umumnya tersedia untuk Kubernetes Service (AKS), dan pratinjau untuk Kubernetes dengan dukungan Azure Arc. Untuk informasi selengkapnya, lihat https://aka.ms/kubepolicydoc.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	6.1.0
Port manajemen komputer virtual harus dilindungi dengan kontrol akses jaringan just-in-time	Kemungkinan akses Just In Time (JIT) jaringan akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.0.0
Network Watcher harus diaktifkan	Network Watcher adalah layanan regional yang memungkinkan Anda memantau dan mendiagnosis kondisi pada tingkat skenario jaringan di, ke, dan dari Azure. Pemantauan tingkat skenario memungkinkan Anda mendiagnosis masalah pada tampilan tingkat jaringan ujung ke ujung. Diperlukan untuk memiliki grup sumber daya pengawas jaringan untuk dibuat di setiap wilayah tempat jaringan virtual berada. Pemberitahuan diaktifkan jika grup sumber daya pengawas jaringan tidak tersedia di wilayah tertentu.	AuditIfNotExists, Dinonaktifkan	3.0.0
Komputer virtual yang tidak terhubung ke internet harus dilindungi dengan grup keamanan jaringan	Lindungi komputer virtual non-internet Anda dari potensi ancaman dengan membatasi akses dengan grup keamanan jaringan (NSG). Pelajari lebih lanjut tentang mengontrol lalu lintas dengan NSG di https://aka.ms/nsg-doc	AuditIfNotExists, Dinonaktifkan	3.0.0
Akses jaringan publik di Azure SQL Database harus dinonaktifkan	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan Azure SQL Database Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	1.1.0
Akses jaringan publik harus dinonaktifkan untuk server MariaDB	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for MariaDB Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.0
Akses jaringan publik harus dinonaktifkan untuk server fleksibel MySQL	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan server fleksibel Azure Database for MySQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik apa pun di luar jangkauan Azure IP dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.1.0
Akses jaringan publik harus dinonaktifkan untuk server MySQL	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for MySQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menyangkal semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.0
Akses jaringan publik harus dinonaktifkan untuk server fleksibel PostgreSQL	Menonaktifkan properti akses jaringan publik meningkatkan keamanan dengan memastikan server fleksibel Azure Database for PostgreSQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini secara ketat menonaktifkan akses dari ruang alamat publik apa pun di luar jangkauan Azure IP dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	3.0.1
Akses jaringan publik harus dinonaktifkan untuk server PostgreSQL	Nonaktifkan properti akses jaringan publik untuk meningkatkan keamanan dan memastikan Azure Database for PostgreSQL Anda hanya dapat diakses dari titik akhir pribadi. Konfigurasi ini menonaktifkan akses dari ruang alamat publik mana pun di luar rentang IP Azure, dan menolak semua login yang cocok dengan IP atau aturan firewall berbasis jaringan virtual.	Audit, Tolak, Dinonaktifkan	2.0.1
Akun penyimpanan harus mengizinkan akses dari layanan Microsoft tepercaya	Beberapa layanan Microsoft yang berinteraksi dengan akun penyimpanan beroperasi dari jaringan yang tidak dapat diberikan akses melalui aturan jaringan. Untuk membantu jenis layanan ini berfungsi sebagaimana mestinya, izinkan kumpulan layanan Microsoft tepercaya untuk mengabaikan aturan jaringan. Layanan ini kemudian akan menggunakan autentikasi yang kuat untuk mengakses akun penyimpanan.	Audit, Tolak, Dinonaktifkan	1.0.0
Akun penyimpanan harus membatasi akses jaringan	Akses jaringan ke akun penyimpanan harus dibatasi. Konfigurasikan aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses akun penyimpanan. Untuk mengizinkan koneksi dari internet tertentu atau klien lokal, akses dapat diberikan ke lalu lintas dari jaringan virtual Azure tertentu atau ke rentang alamat IP internet publik	Audit, Tolak, Dinonaktifkan	1.1.1
Subnet harus dikaitkan dengan Grup Keamanan Jaringan	Lindungi subnet Anda dari potensi ancaman dengan membatasi aksesnya dengan Network Security Group (NSG). NSG berisi daftar aturan Access Control List (ACL) yang mengizinkan atau menolak lalu lintas jaringan ke subnet Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0
Web Application Firewall (WAF) harus diaktifkan untuk Azure Application Gateway	Menyebarkan Azure Web Application Firewall (WAF) di depan aplikasi web yang menghadap publik untuk pemeriksaan tambahan lalu lintas masuk. Web Application Firewall (WAF) memberikan perlindungan terpusat dari aplikasi web Anda dari eksploitasi umum dan kerentanan seperti injeksi SQL, Cross-Site Scripting, eksekusi file lokal dan jarak jauh. Anda juga dapat membatasi akses ke aplikasi web Anda berdasarkan negara, rentang alamat IP, dan parameter http lainnya melalui aturan kustom.	Audit, Tolak, Dinonaktifkan	2.0.0
Firewall Aplikasi Web (WAF) harus menggunakan mode yang ditentukan untuk Gateway Aplikasi	Mengamanatkan penggunaan mode 'Deteksi' atau 'Pencegahan' untuk aktif di semua kebijakan Web Application Firewall untuk Azure Application Gateway.	Audit, Tolak, Dinonaktifkan	1.0.0
Web Application Firewall (WAF) harus menggunakan mode yang ditentukan untuk Web Application Firewall	Mengamanatkan penggunaan mode 'Deteksi' atau 'Pencegahan' untuk aktif di semua kebijakan Web Application Firewall untuk Azure Front Door Service.	Audit, Tolak, Dinonaktifkan	1.0.0
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Akses Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Akses Jaringan' untuk menyertakan akses bagi pengguna anonim, akun lokal, dan akses jarak jauh ke registri. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0
Komputer Windows harus memenuhi persyaratan untuk 'Opsi Keamanan: Keamanan Jaringan'	Mesin Windows harus memiliki pengaturan Kebijakan Grup yang ditentukan dalam kategori 'Opsi Keamanan - Keamanan Jaringan' untuk menyertakan perilaku Sistem Lokal, PKU2U, Manajer LAN, klien LDAP, dan NTLM SSP. Kebijakan ini mengharuskan prasyarat Konfigurasi Tamu telah diterapkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	3.0.0

Menerapkan mekanisme kriptografi untuk mencegah pengungkapan CUI tidak sah selama transisi kecuali jika dilindungi oleh pengamanan fisik alternatif.

ID: CMMC L3 SC.3.185 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Aplikasi App Service hanya dapat diakses melalui HTTPS	Penggunaan HTTPS memastikan autentikasi server/layanan dan melindungi data dalam perjalanan dari serangan penyadapan lapisan jaringan.	Audit, Dinonaktifkan, Tolak	4.0.0
Aplikasi App Service harus menggunakan versi TLS terbaru	Secara berkala, versi yang lebih baru dirilis untuk TLS baik karena kelemahan keamanan, termasuk fungsionalitas tambahan, dan tingkatkan kecepatan. Tingkatkan ke versi TLS terbaru untuk aplikasi App Service untuk memanfaatkan perbaikan keamanan, jika ada, dan/atau fungsionalitas baru dari versi terbaru.	AuditIfNotExists, Dinonaktifkan	2.0.1
Terapkan koneksi SSL harus diaktifkan untuk server database MySQL	Azure Database for MySQL mendukung koneksi server Azure Database for MySQL Anda ke aplikasi klien menggunakan Secure Sockets Layer (SSL). Menerapkan koneksi SSL antara server database Anda dan aplikasi klien Anda membantu melindungi dari serangan 'man in the middle' dengan mengenkripsi aliran data antara server dan aplikasi Anda. Konfigurasi ini memberlakukan bahwa SSL selalu diaktifkan untuk mengakses server database Anda.	Audit, Dinonaktifkan	1.0.1
Terapkan koneksi SSL harus diaktifkan untuk server database PostgreSQL	Azure Database for PostgreSQL mendukung penyambungan server Azure Database for PostgreSQL ke aplikasi klien menggunakan Secure Sockets Layer (SSL). Menerapkan koneksi SSL antara server database Anda dan aplikasi klien Anda membantu melindungi dari serangan 'man in the middle' dengan mengenkripsi aliran data antara server dan aplikasi Anda. Konfigurasi ini memberlakukan bahwa SSL selalu diaktifkan untuk mengakses server database Anda.	Audit, Dinonaktifkan	1.0.1
Aplikasi fungsi seharusnya hanya dapat diakses melalui HTTPS	Penggunaan HTTPS memastikan autentikasi server/layanan dan melindungi data dalam perjalanan dari serangan penyadapan lapisan jaringan.	Audit, Dinonaktifkan, Tolak	5.0.0
Aplikasi Fungsi harus menggunakan versi TLS terbaru	Secara berkala, versi yang lebih baru dirilis untuk TLS baik karena kelemahan keamanan, termasuk fungsionalitas tambahan, dan tingkatkan kecepatan. Tingkatkan ke versi TLS terbaru untuk aplikasi Fungsi untuk memanfaatkan perbaikan keamanan, jika ada, dan/atau fungsionalitas baru dari versi terbaru.	AuditIfNotExists, Dinonaktifkan	2.0.1
Hanya koneksi aman ke Azure Cache for Redis Anda yang harus diaktifkan	Audit memungkinkan hanya koneksi melalui SSL ke Azure Cache for Redis. Penggunaan koneksi aman memastikan autentikasi antara server dan layanan serta melindungi data dalam perjalanan dari serangan lapisan jaringan seperti man-in-the-middle, eavesdropping, dan session-hijacking	Audit, Tolak, Dinonaktifkan	1.0.0
Transfer aman ke akun penyimpanan harus diaktifkan	Persyaratan audit Transfer aman di akun penyimpanan Anda. Transfer aman adalah opsi yang memaksa akun penyimpanan Anda untuk menerima permintaan hanya dari koneksi aman (HTTPS). Penggunaan HTTPS memastikan autentikasi antara server dan layanan dan melindungi data dalam perjalanan dari serangan lapisan jaringan seperti man-in-the-middle, eavesdropping, dan session-hijacking	Audit, Tolak, Dinonaktifkan	2.0.0
Akun penyimpanan harus membatasi akses jaringan	Akses jaringan ke akun penyimpanan harus dibatasi. Konfigurasikan aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses akun penyimpanan. Untuk mengizinkan koneksi dari internet tertentu atau klien lokal, akses dapat diberikan ke lalu lintas dari jaringan virtual Azure tertentu atau ke rentang alamat IP internet publik	Audit, Tolak, Dinonaktifkan	1.1.1
Komputer Windows harus dikonfigurasi untuk menggunakan protokol komunikasi yang aman	Untuk melindungi privasi informasi yang dikomunikasikan melalui Internet, komputer Anda harus menggunakan versi terbaru protokol kriptografi standar industri, Keamanan Lapisan Transportasi (TLS). TLS mengamankan komunikasi melalui jaringan dengan mengenkripsi koneksi antar mesin.	AuditIfNotExists, Dinonaktifkan	4.1.1

Menetapkan dan mengelola kunci kriptografi untuk kriptografi yang digunakan dalam sistem organisasi.

ID: CMMC L3 SC.3.187 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Azure Defender untuk Key Vault harus diaktifkan	Azure Defender untuk Key Vault memberikan lapisan perlindungan dan kecerdasan keamanan tambahan dengan mendeteksi upaya yang tidak biasa dan berpotensi berbahaya untuk mengakses atau mengeksploitasi akun key vault.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Key Vault harus mengaktifkan firewall	Aktifkan firewall brankas kunci agar brankas kunci tidak dapat diakses secara default ke IP publik mana pun. Secara opsional, Anda dapat mengonfigurasi rentang IP tertentu untuk membatasi akses ke jaringan tersebut. Pelajari lebih lanjut di: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Tolak, Dinonaktifkan	3.2.1
Kunci Azure Key Vault harus memiliki tanggal kedaluwarsa	Kunci kriptografi harus memiliki tanggal kedaluwarsa yang ditentukan dan tidak permanen. Kunci yang valid selamanya memberikan lebih banyak waktu bagi penyerang potensial untuk menyusupi kunci tersebut. Menetapkan tanggal kedaluwarsa pada kunci kriptografi adalah praktik keamanan yang direkomendasikan.	Audit, Tolak, Dinonaktifkan	1.0.2
Brankas kunci harus mengaktifkan perlindungan penghapusan	Penghapusan brankas kunci yang berbahaya dapat menyebabkan hilangnya data secara permanen. Anda dapat mencegah kehilangan data permanen dengan mengaktifkan perlindungan penghapusan menyeluruh dan penghapusan sementara. Perlindungan penghapusan menyeluruh melindungi Anda dari serangan orang dalam dengan memberlakukan periode retensi wajib untuk brankas kunci yang dihapus sementara. Tidak ada seorang pun di dalam organisasi Anda atau Microsoft yang dapat membersihkan brankas kunci Anda selama periode penyimpanan penghapusan sementara. Perlu diingat bahwa brankas kunci yang dibuat setelah 1 September 2019 mengaktifkan penghapusan sementara secara default.	Audit, Tolak, Dinonaktifkan	2.1.0
Brankas kunci harus mengaktifkan penghapusan sementara	Menghapus brankas kunci tanpa mengaktifkan penghapusan sementara akan menghapus semua rahasia, kunci, dan sertifikat yang disimpan di brankas kunci secara permanen. Penghapusan brankas kunci secara tidak sengaja dapat menyebabkan hilangnya data secara permanen. Penghapusan sementara memungkinkan Anda memulihkan brankas kunci yang terhapus secara tidak sengaja untuk periode retensi yang dapat dikonfigurasi.	Audit, Tolak, Dinonaktifkan	3.0.0
Kunci harus berupa RSA atau EC jenis kriptografi yang ditentukan	Beberapa aplikasi memerlukan penggunaan kunci yang didukung oleh jenis kriptografi tertentu. Terapkan jenis kunci kriptografik tertentu, RSA atau EC, di lingkungan Anda.	Audit, Tolak, Dinonaktifkan	1.0.1
Kunci yang menggunakan kriptografi kurva eliptik harus memiliki nama kurva yang ditentukan	Kunci yang didukung oleh kriptografi kurva elips dapat memiliki nama kurva yang berbeda. Beberapa aplikasi hanya kompatibel dengan kunci kurva eliptik tertentu. Terapkan jenis kunci kurva eliptik yang diizinkan untuk dibuat di lingkungan Anda.	Audit, Tolak, Dinonaktifkan	1.0.1
Kunci yang menggunakan kriptografi RSA harus memiliki ukuran kunci minimum yang ditentukan	Atur ukuran kunci minimum yang diperbolehkan untuk digunakan dengan brankas kunci Anda. Penggunaan kunci RSA dengan ukuran kunci kecil bukanlah praktik yang aman dan tidak memenuhi banyak persyaratan sertifikasi industri.	Audit, Tolak, Dinonaktifkan	1.0.1

Melindungi keaslian sesi komunikasi.

ID: CMMC L3 SC.3.190 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Akun dengan izin pemilik pada sumber daya Azure harus didukung oleh MFA	Autentikasi Multifaktor (MFA) harus diaktifkan untuk semua akun langganan dengan izin pemilik untuk mencegah pelanggaran akun atau sumber daya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Akun dengan izin baca pada sumber daya Azure harus didukung oleh MFA	Autentikasi Multifaktor (MFA) harus diaktifkan untuk semua akun langganan dengan hak baca istimewa untuk mencegah pelanggaran akun atau sumber daya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Akun dengan izin tulis pada sumber daya Azure harus didukung oleh MFA	Autentikasi Multifaktor (MFA) harus diaktifkan untuk semua akun langganan dengan hak tulis istimewa untuk mencegah pelanggaran akun atau sumber daya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Aplikasi App Service hanya dapat diakses melalui HTTPS	Penggunaan HTTPS memastikan autentikasi server/layanan dan melindungi data dalam perjalanan dari serangan penyadapan lapisan jaringan.	Audit, Dinonaktifkan, Tolak	4.0.0
Aplikasi App Service harus menggunakan versi TLS terbaru	Secara berkala, versi yang lebih baru dirilis untuk TLS baik karena kelemahan keamanan, termasuk fungsionalitas tambahan, dan tingkatkan kecepatan. Tingkatkan ke versi TLS terbaru untuk aplikasi App Service untuk memanfaatkan perbaikan keamanan, jika ada, dan/atau fungsionalitas baru dari versi terbaru.	AuditIfNotExists, Dinonaktifkan	2.0.1
Sertifikat yang menggunakan kriptografi RSA harus memiliki ukuran kunci minimum yang ditentukan	Kelola persyaratan kepatuhan organisasi Anda dengan menetapkan ukuran kunci minimum untuk sertifikat RSA yang disimpan di brankas kunci Anda.	audit, Audit, tolak, Tolak, dinonaktifkan, Dinonaktifkan	2.1.0
Terapkan koneksi SSL harus diaktifkan untuk server database MySQL	Azure Database for MySQL mendukung koneksi server Azure Database for MySQL Anda ke aplikasi klien menggunakan Secure Sockets Layer (SSL). Menerapkan koneksi SSL antara server database Anda dan aplikasi klien Anda membantu melindungi dari serangan 'man in the middle' dengan mengenkripsi aliran data antara server dan aplikasi Anda. Konfigurasi ini memberlakukan bahwa SSL selalu diaktifkan untuk mengakses server database Anda.	Audit, Dinonaktifkan	1.0.1
Terapkan koneksi SSL harus diaktifkan untuk server database PostgreSQL	Azure Database for PostgreSQL mendukung penyambungan server Azure Database for PostgreSQL ke aplikasi klien menggunakan Secure Sockets Layer (SSL). Menerapkan koneksi SSL antara server database Anda dan aplikasi klien Anda membantu melindungi dari serangan 'man in the middle' dengan mengenkripsi aliran data antara server dan aplikasi Anda. Konfigurasi ini memberlakukan bahwa SSL selalu diaktifkan untuk mengakses server database Anda.	Audit, Dinonaktifkan	1.0.1
Aplikasi fungsi seharusnya hanya dapat diakses melalui HTTPS	Penggunaan HTTPS memastikan autentikasi server/layanan dan melindungi data dalam perjalanan dari serangan penyadapan lapisan jaringan.	Audit, Dinonaktifkan, Tolak	5.0.0
Aplikasi Fungsi harus menggunakan versi TLS terbaru	Secara berkala, versi yang lebih baru dirilis untuk TLS baik karena kelemahan keamanan, termasuk fungsionalitas tambahan, dan tingkatkan kecepatan. Tingkatkan ke versi TLS terbaru untuk aplikasi Fungsi untuk memanfaatkan perbaikan keamanan, jika ada, dan/atau fungsionalitas baru dari versi terbaru.	AuditIfNotExists, Dinonaktifkan	2.0.1
Komputer Windows harus dikonfigurasi untuk menggunakan protokol komunikasi yang aman	Untuk melindungi privasi informasi yang dikomunikasikan melalui Internet, komputer Anda harus menggunakan versi terbaru protokol kriptografi standar industri, Keamanan Lapisan Transportasi (TLS). TLS mengamankan komunikasi melalui jaringan dengan mengenkripsi koneksi antar mesin.	AuditIfNotExists, Dinonaktifkan	4.1.1

Lindungi kerahasiaan CUI saat tidak aktif.

ID: CMMC L3 SC.3.191 Kepemilikan: Dibagi

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Variabel akun Automation harus dienkripsi	Penting untuk mengaktifkan enkripsi aset variabel akun Azure Automation saat menyimpan data sensitif	Audit, Tolak, Dinonaktifkan	1.1.0
Pekerjaan Azure Data Box harus mengaktifkan enkripsi ganda untuk data tidak aktif di perangkat	Aktifkan enkripsi berbasis perangkat lunak lapisan kedua untuk data tidak aktif di perangkat. Perangkat sudah dilindungi melalui Standar Enkripsi Lanjutan enkripsi 256-bit untuk data saat tidak aktif. Opsi ini menambahkan enkripsi data lapis kedua.	Audit, Tolak, Dinonaktifkan	1.0.0
Azure Defender untuk SQL harus diaktifkan untuk server Azure SQL yang tidak dilindungi	Audit server SQL tanpa Advanced Data Security	AuditIfNotExists, Dinonaktifkan	2.0.1
Azure Defender untuk SQL harus diaktifkan untuk Azure SQL Managed Instance yang tidak terlindungi	Audit setiap SQL Managed Instance tanpa keamanan data tingkat lanjut.	AuditIfNotExists, Dinonaktifkan	1.0.2
Enkripsi disk harus diaktifkan di Azure Data Explorer	Mengaktifkan enkripsi disk membantu melindungi dan mengamankan data Anda untuk memenuhi komitmen keamanan dan kepatuhan organisasi Anda.	Audit, Tolak, Dinonaktifkan	2.0.0
Enkripsi ganda harus diaktifkan di Azure Data Explorer	Mengaktifkan enkripsi ganda membantu melindungi dan mengamankan data Anda untuk memenuhi komitmen keamanan dan kepatuhan organisasi Anda. Ketika enkripsi ganda telah diaktifkan, data di akun penyimpanan dienkripsi dua kali, sekali di tingkat layanan dan sekali di tingkat infrastruktur, menggunakan dua algoritme enkripsi yang berbeda dan dua kunci yang berbeda.	Audit, Tolak, Dinonaktifkan	2.0.0
Enkripsi infrastruktur harus diaktifkan untuk server Azure Database for MySQL	Aktifkan enkripsi infrastruktur untuk server Azure Database for MySQL agar memiliki tingkat jaminan yang lebih tinggi bahwa data aman. Saat enkripsi infrastruktur diaktifkan, data saat tidak aktif dienkripsi dua kali menggunakan kunci terkelola Microsoft yang sesuai dengan FIPS 140-2.	Audit, Tolak, Dinonaktifkan	1.0.0
Enkripsi infrastruktur harus diaktifkan untuk server Azure Database for PostgreSQL	Aktifkan enkripsi infrastruktur untuk server Azure Database for PostgreSQL agar memiliki tingkat jaminan yang lebih tinggi bahwa data aman. Saat enkripsi infrastruktur diaktifkan, data saat tidak aktif dienkripsi dua kali menggunakan kunci yang dikelola Microsoft yang sesuai dengan FIPS 140-2	Audit, Tolak, Dinonaktifkan	1.0.0
Memerlukan enkripsi pada akun Data Lake Store	Kebijakan ini memastikan enkripsi diaktifkan di semua akun Data Lake Store	tolak	1.0.0
Kluster Service Fabric harus memiliki properti ClusterProtectionLevel yang disetel ke EncryptAndSign	Service Fabric menyediakan tiga tingkat perlindungan (None, Sign, dan EncryptAndSign) untuk komunikasi node-to-node menggunakan sertifikat kluster utama. Atur tingkat perlindungan untuk memastikan bahwa semua pesan node-to-node dienkripsi dan ditandatangani secara digital	Audit, Tolak, Dinonaktifkan	1.1.0
Akun penyimpanan harus memiliki enkripsi infrastruktur	Aktifkan enkripsi infrastruktur untuk tingkat jaminan yang lebih tinggi bahwa data aman. Saat enkripsi infrastruktur diaktifkan, data dalam akun penyimpanan dienkripsi dua kali.	Audit, Tolak, Dinonaktifkan	1.0.0
Akun penyimpanan harus membatasi akses jaringan	Akses jaringan ke akun penyimpanan harus dibatasi. Konfigurasikan aturan jaringan sehingga hanya aplikasi dari jaringan yang diizinkan yang dapat mengakses akun penyimpanan. Untuk mengizinkan koneksi dari internet tertentu atau klien lokal, akses dapat diberikan ke lalu lintas dari jaringan virtual Azure tertentu atau ke rentang alamat IP internet publik	Audit, Tolak, Dinonaktifkan	1.1.1
Enkripsi Data Transparan pada database SQL harus diaktifkan	Enkripsi data transparan harus diaktifkan untuk melindungi data-yang-tidak-aktif dan memenuhi persyaratan kepatuhan	AuditIfNotExists, Dinonaktifkan	2.0.0
Komputer virtual harus mengenkripsi disk sementara, cache, serta aliran data antara sumber daya Komputasi dan Penyimpanan	Secara default, OS dan disk data mesin virtual dienkripsi saat tidak aktif menggunakan kunci yang dikelola platform. Disk sementara, cache data, dan data yang mengalir di antara komputasi dan penyimpanan tidak dienkripsi. Abaikan rekomendasi ini jika: 1. menggunakan enkripsi di host, atau 2. enkripsi sisi server pada Disk Terkelola memenuhi persyaratan keamanan Anda. Pelajari lebih lanjut dalam: Enkripsi sisi server dari Azure Disk Storage: https://aka.ms/disksse, Penawaran enkripsi disk yang berbeda: https://aka.ms/diskencryptioncomparison	AuditIfNotExists, Dinonaktifkan	2.0.3

Integritas Sistem dan Informasi

Mengidentifikasi, melaporkan, dan memperbaiki kelemahan sistem informasi dan informasi secara tepat waktu.

ID: CMMC L3 SI.1.210 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Aplikasi App Service harus menggunakan 'Versi HTTP' terbaru	Secara berkala, versi yang lebih baru dirilis untuk HTTP baik karena kelemahan keamanan atau untuk menyertakan fungsionalitas tambahan. Menggunakan versi HTTP terbaru untuk aplikasi web guna memanfaatkan perbaikan keamanan, jika ada, dan/atau fungsionalitas baru dari versi yang lebih baru.	AuditIfNotExists, Dinonaktifkan	4.0.0
Aplikasi App Service harus menggunakan versi TLS terbaru	Secara berkala, versi yang lebih baru dirilis untuk TLS baik karena kelemahan keamanan, termasuk fungsionalitas tambahan, dan tingkatkan kecepatan. Tingkatkan ke versi TLS terbaru untuk aplikasi App Service untuk memanfaatkan perbaikan keamanan, jika ada, dan/atau fungsionalitas baru dari versi terbaru.	AuditIfNotExists, Dinonaktifkan	2.0.1
Aplikasi Fungsi harus menggunakan 'Versi HTTP' terbaru	Secara berkala, versi yang lebih baru dirilis untuk HTTP baik karena kelemahan keamanan atau untuk menyertakan fungsionalitas tambahan. Menggunakan versi HTTP terbaru untuk aplikasi web guna memanfaatkan perbaikan keamanan, jika ada, dan/atau fungsionalitas baru dari versi yang lebih baru.	AuditIfNotExists, Dinonaktifkan	4.0.0
Aplikasi Fungsi harus menggunakan versi TLS terbaru	Secara berkala, versi yang lebih baru dirilis untuk TLS baik karena kelemahan keamanan, termasuk fungsionalitas tambahan, dan tingkatkan kecepatan. Tingkatkan ke versi TLS terbaru untuk aplikasi Fungsi untuk memanfaatkan perbaikan keamanan, jika ada, dan/atau fungsionalitas baru dari versi terbaru.	AuditIfNotExists, Dinonaktifkan	2.0.1
Layanan Kubernetes harus ditingkatkan ke versi Kubernetes yang tidak rentan	Tingkatkan klaster layanan Kubernetes Anda ke versi Kubernetes yang lebih baru untuk melindungi dari kerentanan yang diketahui di versi Kubernetes Anda saat ini. Kerentanan CVE-2019-9946 telah di-patch di Kubernetes versi 1.11.9+, 1.12.7+, 1.13.5+, dan 1.14.0+	Audit, Dinonaktifkan	1.0.2
Microsoft Antimalware untuk Azure harus dikonfigurasi untuk memperbarui tanda tangan perlindungan secara otomatis	Kebijakan ini mengaudit komputer virtual Windows apa pun yang tidak dikonfigurasi dengan pembaruan otomatis tanda tangan perlindungan Microsoft Antimalware.	AuditIfNotExists, Dinonaktifkan	1.0.0
Database SQL harus memiliki temuan kerentanan yang diselesaikan	Pantau hasil pemindaian penilaian kerentanan dan rekomendasi tentang cara memulihkan kerentanan basis data.	AuditIfNotExists, Dinonaktifkan	4.1.0
Pembaruan sistem pada set skala komputer virtual harus dipasang	Audit apakah ada pembaruan keamanan sistem yang hilang dan pembaruan penting yang harus diinstal untuk memastikan bahwa set skala komputer virtual Windows dan Linux Anda aman.	AuditIfNotExists, Dinonaktifkan	3.0.0
Pembaruan sistem harus dipasang di komputer Anda	Pembaruan sistem keamanan yang hilang di server Anda akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	4.0.0
Kerentanan dalam konfigurasi keamanan pada mesin Anda harus diperbaiki	Server yang tidak memenuhi baseline yang dikonfigurasi akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.1.0
Kerentanan dalam konfigurasi keamanan pada set skala komputer virtual Anda harus diperbaiki	Audit kerentanan OS pada set skala komputer virtual Anda untuk melindunginya dari serangan.	AuditIfNotExists, Dinonaktifkan	3.0.0

Memberikan perlindungan dari kode berbahaya di lokasi yang sesuai dalam sistem informasi organisasi.

ID: CMMC L3 SI.1.211 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Solusi perlindungan titik akhir harus dipasang pada set skala komputer virtual	Audit keberadaan dan kesehatan solusi perlindungan titik akhir pada set skala komputer virtual Anda, untuk melindunginya dari ancaman dan kerentanan.	AuditIfNotExists, Dinonaktifkan	3.0.0
Microsoft Antimalware untuk Azure harus dikonfigurasi untuk memperbarui tanda tangan perlindungan secara otomatis	Kebijakan ini mengaudit komputer virtual Windows apa pun yang tidak dikonfigurasi dengan pembaruan otomatis tanda tangan perlindungan Microsoft Antimalware.	AuditIfNotExists, Dinonaktifkan	1.0.0
Ekstensi Microsoft IaaSAntimalware harus disebarkan di server Windows	Kebijakan ini mengaudit VM server Windows apa pun tanpa ekstensi Microsoft IaaSAntimalware yang diterapkan.	AuditIfNotExists, Dinonaktifkan	1.1.0
Memantau Perlindungan Titik Akhir yang tidak ada di Azure Security Center	Server tanpa agen Perlindungan Titik Akhir yang diinstal akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.0.0

Memperbarui mekanisme perlindungan kode berbahaya ketika rilis baru tersedia.

ID: CMMC L3 SI.1.212 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Microsoft Antimalware untuk Azure harus dikonfigurasi untuk memperbarui tanda tangan perlindungan secara otomatis	Kebijakan ini mengaudit komputer virtual Windows apa pun yang tidak dikonfigurasi dengan pembaruan otomatis tanda tangan perlindungan Microsoft Antimalware.	AuditIfNotExists, Dinonaktifkan	1.0.0

Melakukan pemindaian berkala pada sistem informasi dan pemindaian real time pada file dari sumber eksternal saat file diunduh, dibuka, atau dieksekusi.

ID: CMMC L3 SI.1.213 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Azure Defender untuk App Service harus diaktifkan	Azure Defender for App Service memanfaatkan skala cloud, dan visibilitas yang dimiliki Azure sebagai penyedia cloud, untuk memantau serangan aplikasi web umum.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server Azure SQL Database harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Defender untuk Key Vault harus diaktifkan	Azure Defender untuk Key Vault memberikan lapisan perlindungan dan kecerdasan keamanan tambahan dengan mendeteksi upaya yang tidak biasa dan berpotensi berbahaya untuk mengakses atau mengeksploitasi akun key vault.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server harus diaktifkan	Azure Defender untuk server memberikan perlindungan ancaman waktu nyata untuk beban kerja server dan menghasilkan rekomendasi pengerasan serta peringatan tentang aktivitas yang mencurigakan.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server SQL pada mesin harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Microsoft Antimalware untuk Azure harus dikonfigurasi untuk memperbarui tanda tangan perlindungan secara otomatis	Kebijakan ini mengaudit komputer virtual Windows apa pun yang tidak dikonfigurasi dengan pembaruan otomatis tanda tangan perlindungan Microsoft Antimalware.	AuditIfNotExists, Dinonaktifkan	1.0.0
Pertahanan Microsoft untuk Kontainer harus diaktifkan	Pertahanan Microsoft untuk Kontainer menyediakan pengerasan, penilaian kerentanan, dan perlindungan run-time untuk lingkungan Azure, hibrid, dan multi-cloud Kubernetes Anda.	AuditIfNotExists, Dinonaktifkan	1.0.0
Pertahanan Microsoft untuk Penyimpanan harus diaktifkan	Microsoft Defender for Storage mendeteksi potensi ancaman terhadap akun penyimpanan Anda. Ini membantu mencegah tiga dampak utama pada data dan beban kerja Anda: unggahan file berbahaya, penyelundupan data sensitif, dan kerusakan data. Paket Defender for Storage baru mencakup Pemindaian Malware dan Deteksi Ancaman Data Sensitif. Paket ini juga menyediakan struktur harga yang dapat diprediksi (per akun penyimpanan) untuk kontrol atas cakupan dan biaya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Ekstensi Microsoft IaaSAntimalware harus disebarkan di server Windows	Kebijakan ini mengaudit VM server Windows apa pun tanpa ekstensi Microsoft IaaSAntimalware yang diterapkan.	AuditIfNotExists, Dinonaktifkan	1.1.0
Memantau Perlindungan Titik Akhir yang tidak ada di Azure Security Center	Server tanpa agen Perlindungan Titik Akhir yang diinstal akan dipantau oleh Azure Security Center sebagai rekomendasi	AuditIfNotExists, Dinonaktifkan	3.0.0

Pantau sistem organisasi, termasuk lalu lintas komunikasi masuk dan keluar, untuk mendeteksi serangan dan indikator potensi serangan.

ID: CMMC L3 SI.2.216 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
[Pratinjau]: Semua lalu lintas Internet harus dirutekan melalui Azure Firewall yang Anda sebarkan	Azure Security Center telah mengidentifikasi bahwa beberapa subnet Anda tidak dilindungi dengan firewall generasi berikutnya. Lindungi subnet Anda dari potensi ancaman dengan membatasi akses ke mereka dengan Azure Firewall atau firewall generasi berikutnya yang didukung	AuditIfNotExists, Dinonaktifkan	3.0.0-pratinjau
Peringatan log aktivitas harus ada untuk operasi Administratif tertentu	Kebijakan ini mengaudit operasi Administratif tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Peringatan log aktivitas harus ada untuk operasi Kebijakan tertentu	Kebijakan ini mengaudit operasi Kebijakan tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	3.0.0
Peringatan log aktivitas harus ada untuk operasi Keamanan tertentu	Kebijakan ini mengaudit operasi Keamanan tertentu tanpa peringatan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Azure Defender untuk App Service harus diaktifkan	Azure Defender for App Service memanfaatkan skala cloud, dan visibilitas yang dimiliki Azure sebagai penyedia cloud, untuk memantau serangan aplikasi web umum.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server Azure SQL Database harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Defender untuk Key Vault harus diaktifkan	Azure Defender untuk Key Vault memberikan lapisan perlindungan dan kecerdasan keamanan tambahan dengan mendeteksi upaya yang tidak biasa dan berpotensi berbahaya untuk mengakses atau mengeksploitasi akun key vault.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server harus diaktifkan	Azure Defender untuk server memberikan perlindungan ancaman waktu nyata untuk beban kerja server dan menghasilkan rekomendasi pengerasan serta peringatan tentang aktivitas yang mencurigakan.	AuditIfNotExists, Dinonaktifkan	1.0.3
Azure Defender untuk server SQL pada mesin harus diaktifkan	Azure Defender for SQL menyediakan fungsionalitas untuk memunculkan dan mengurangi potensi kerentanan database, mendeteksi aktivitas anomali yang dapat mengindikasikan ancaman terhadap database SQL, dan menemukan serta mengklasifikasikan data sensitif.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Defender untuk SQL harus diaktifkan untuk server Azure SQL yang tidak dilindungi	Audit server SQL tanpa Advanced Data Security	AuditIfNotExists, Dinonaktifkan	2.0.1
Azure Defender untuk SQL harus diaktifkan untuk Azure SQL Managed Instance yang tidak terlindungi	Audit setiap SQL Managed Instance tanpa keamanan data tingkat lanjut.	AuditIfNotExists, Dinonaktifkan	1.0.2
Azure Monitor harus mengumpulkan log aktivitas dari semua wilayah	Kebijakan ini mengaudit profil log Azure Monitor yang tidak mengekspor aktivitas dari semua wilayah yang didukung Azure termasuk global.	AuditIfNotExists, Dinonaktifkan	2.0.0
Langganan Azure harus memiliki profil log untuk Log Aktivitas	Kebijakan ini memastikan jika profil log diaktifkan untuk mengekspor log aktivitas. Ini mengaudit jika tidak ada profil log yang dibuat untuk mengekspor log ke akun penyimpanan atau ke hub acara.	AuditIfNotExists, Dinonaktifkan	1.0.0
Azure Web Application Firewall harus diaktifkan untuk titik masuk Azure Front Door	Menyebarkan Azure Web Application Firewall (WAF) di depan aplikasi web yang menghadap publik untuk pemeriksaan tambahan lalu lintas masuk. Web Application Firewall (WAF) memberikan perlindungan terpusat dari aplikasi web Anda dari eksploitasi umum dan kerentanan seperti injeksi SQL, Cross-Site Scripting, eksekusi file lokal dan jarak jauh. Anda juga dapat membatasi akses ke aplikasi web Anda berdasarkan negara, rentang alamat IP, dan parameter http lainnya melalui aturan kustom.	Audit, Tolak, Dinonaktifkan	1.0.2
Pemberitahuan email kepada pemilik langganan untuk lansiran tingkat keparahan tinggi harus diaktifkan	Untuk memastikan pemilik langganan Anda diberitahu ketika ada potensi pelanggaran keamanan di langganan mereka, atur pemberitahuan email ke pemilik langganan untuk peringatan tingkat keparahan tinggi di Security Center.	AuditIfNotExists, Dinonaktifkan	2.1.0
Log alur harus dikonfigurasi untuk setiap grup keamanan jaringan	Audit untuk grup keamanan jaringan untuk memverifikasi apakah log aliran dikonfigurasi. Mengaktifkan log aliran memungkinkan untuk mencatat informasi tentang lalu lintas IP yang mengalir melalui grup keamanan jaringan. Ini dapat digunakan untuk mengoptimalkan aliran jaringan, memantau throughput, memverifikasi kepatuhan, mendeteksi intrusi, dan banyak lagi.	Audit, Dinonaktifkan	1.1.0
Pertahanan Microsoft untuk Kontainer harus diaktifkan	Pertahanan Microsoft untuk Kontainer menyediakan pengerasan, penilaian kerentanan, dan perlindungan run-time untuk lingkungan Azure, hibrid, dan multi-cloud Kubernetes Anda.	AuditIfNotExists, Dinonaktifkan	1.0.0
Pertahanan Microsoft untuk Penyimpanan harus diaktifkan	Microsoft Defender for Storage mendeteksi potensi ancaman terhadap akun penyimpanan Anda. Ini membantu mencegah tiga dampak utama pada data dan beban kerja Anda: unggahan file berbahaya, penyelundupan data sensitif, dan kerusakan data. Paket Defender for Storage baru mencakup Pemindaian Malware dan Deteksi Ancaman Data Sensitif. Paket ini juga menyediakan struktur harga yang dapat diprediksi (per akun penyimpanan) untuk kontrol atas cakupan dan biaya.	AuditIfNotExists, Dinonaktifkan	1.0.0
Network Watcher harus diaktifkan	Network Watcher adalah layanan regional yang memungkinkan Anda memantau dan mendiagnosis kondisi pada tingkat skenario jaringan di, ke, dan dari Azure. Pemantauan tingkat skenario memungkinkan Anda mendiagnosis masalah pada tampilan tingkat jaringan ujung ke ujung. Diperlukan untuk memiliki grup sumber daya pengawas jaringan untuk dibuat di setiap wilayah tempat jaringan virtual berada. Pemberitahuan diaktifkan jika grup sumber daya pengawas jaringan tidak tersedia di wilayah tertentu.	AuditIfNotExists, Dinonaktifkan	3.0.0
Langganan harus memiliki alamat email kontak untuk masalah keamanan	Untuk memastikan orang yang relevan di organisasi Anda diberi tahu saat ada potensi pelanggaran keamanan di salah satu langganan Anda, atur kontak keamanan untuk menerima pemberitahuan email dari Security Center.	AuditIfNotExists, Dinonaktifkan	1.0.1
Web Application Firewall (WAF) harus diaktifkan untuk Azure Application Gateway	Menyebarkan Azure Web Application Firewall (WAF) di depan aplikasi web yang menghadap publik untuk pemeriksaan tambahan lalu lintas masuk. Web Application Firewall (WAF) memberikan perlindungan terpusat dari aplikasi web Anda dari eksploitasi umum dan kerentanan seperti injeksi SQL, Cross-Site Scripting, eksekusi file lokal dan jarak jauh. Anda juga dapat membatasi akses ke aplikasi web Anda berdasarkan negara, rentang alamat IP, dan parameter http lainnya melalui aturan kustom.	Audit, Tolak, Dinonaktifkan	2.0.0
Firewall Aplikasi Web (WAF) harus menggunakan mode yang ditentukan untuk Gateway Aplikasi	Mengamanatkan penggunaan mode 'Deteksi' atau 'Pencegahan' untuk aktif di semua kebijakan Web Application Firewall untuk Azure Application Gateway.	Audit, Tolak, Dinonaktifkan	1.0.0
Web Application Firewall (WAF) harus menggunakan mode yang ditentukan untuk Web Application Firewall	Mengamanatkan penggunaan mode 'Deteksi' atau 'Pencegahan' untuk aktif di semua kebijakan Web Application Firewall untuk Azure Front Door Service.	Audit, Tolak, Dinonaktifkan	1.0.0

Mengidentifikasi penggunaan yang tidak sah dari sistem organisasi.

ID: CMMC L3 SI.2.217 Kepemilikan: Bersama

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Log aktivitas harus disimpan setidaknya selama satu tahun	Kebijakan ini mengaudit log aktivitas jika retensi tidak disetel selama 365 hari atau selamanya (hari retensi disetel ke 0).	AuditIfNotExists, Dinonaktifkan	1.0.0
Peringatan log aktivitas harus ada untuk operasi Administratif tertentu	Kebijakan ini mengaudit operasi Administratif tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Peringatan log aktivitas harus ada untuk operasi Kebijakan tertentu	Kebijakan ini mengaudit operasi Kebijakan tertentu tanpa pemberitahuan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	3.0.0
Peringatan log aktivitas harus ada untuk operasi Keamanan tertentu	Kebijakan ini mengaudit operasi Keamanan tertentu tanpa peringatan log aktivitas yang dikonfigurasi.	AuditIfNotExists, Dinonaktifkan	1.0.0
Azure Defender untuk SQL harus diaktifkan untuk server Azure SQL yang tidak dilindungi	Audit server SQL tanpa Advanced Data Security	AuditIfNotExists, Dinonaktifkan	2.0.1
Azure Defender untuk SQL harus diaktifkan untuk Azure SQL Managed Instance yang tidak terlindungi	Audit setiap SQL Managed Instance tanpa keamanan data tingkat lanjut.	AuditIfNotExists, Dinonaktifkan	1.0.2
Profil log Azure Monitor harus mengumpulkan log untuk kategori 'tulis,' 'hapus,' dan 'tindakan'	Kebijakan ini memastikan bahwa profil log mengumpulkan log untuk kategori 'tulis,' 'hapus,' dan 'tindakan'	AuditIfNotExists, Dinonaktifkan	1.0.0
Azure Monitor harus mengumpulkan log aktivitas dari semua wilayah	Kebijakan ini mengaudit profil log Azure Monitor yang tidak mengekspor aktivitas dari semua wilayah yang didukung Azure termasuk global.	AuditIfNotExists, Dinonaktifkan	2.0.0
Langganan Azure harus memiliki profil log untuk Log Aktivitas	Kebijakan ini memastikan jika profil log diaktifkan untuk mengekspor log aktivitas. Ini mengaudit jika tidak ada profil log yang dibuat untuk mengekspor log ke akun penyimpanan atau ke hub acara.	AuditIfNotExists, Dinonaktifkan	1.0.0
Pemberitahuan email kepada pemilik langganan untuk lansiran tingkat keparahan tinggi harus diaktifkan	Untuk memastikan pemilik langganan Anda diberitahu ketika ada potensi pelanggaran keamanan di langganan mereka, atur pemberitahuan email ke pemilik langganan untuk peringatan tingkat keparahan tinggi di Security Center.	AuditIfNotExists, Dinonaktifkan	2.1.0
Network Watcher harus diaktifkan	Network Watcher adalah layanan regional yang memungkinkan Anda memantau dan mendiagnosis kondisi pada tingkat skenario jaringan di, ke, dan dari Azure. Pemantauan tingkat skenario memungkinkan Anda mendiagnosis masalah pada tampilan tingkat jaringan ujung ke ujung. Diperlukan untuk memiliki grup sumber daya pengawas jaringan untuk dibuat di setiap wilayah tempat jaringan virtual berada. Pemberitahuan diaktifkan jika grup sumber daya pengawas jaringan tidak tersedia di wilayah tertentu.	AuditIfNotExists, Dinonaktifkan	3.0.0

Langkah berikutnya

Artikel tambahan tentang Azure Policy:

• Ikhtisar Kepatuhan terhadap Peraturan.
• Lihat struktur definisi inisiatif.
• Tinjau contoh lain di Contoh Azure Policy.
• Tinjau Memahami efek kebijakan.
• Pelajari cara memulihkan sumber daya yang tidak sesuai syarat.