Apa itu Kontrol Postur SSH (pratinjau privat)-- dengan Azure Policy dan Konfigurasi Mesin?

! [PENTING] Artikel ini menjelaskan versi pratinjau awal Kontrol Postur SSH. Untuk dokumentasi terbaru, lihat Apa itu Kontrol Postur SSH sebagai gantinya.

Kontrol Postur SSH memungkinkan Anda menggunakan alur kerja Azure Policy dan Konfigurasi Mesin yang familier untuk:

• Memastikan kepatuhan terhadap standar di industri atau organisasi Anda
• Mengurangi permukaan serangan fitur manajemen jarak jauh
• Pastikan penyiapan yang konsisten di seluruh armada Anda untuk keamanan dan produktivitas

Kontrol Postur SSH juga memberikan Alasan terperinci yang menjelaskan bagaimana kepatuhan atau ketidakpatuhan ditentukan. Alasan ini mempermudah untuk mengambil tindakan atau untuk sepenuhnya men dokumentasikan kepatuhan.

Kontrol Postur SSH menganalisis dan memberlakukan sekitar 20 parameter server SSH (sshd). Secara default mengaudit dan menerapkan praktik terbaik yang konsisten dengan Garis Besar Keamanan Azure Compute untuk Linux. Anda juga dapat menyesuaikan parameter tertentu agar sesuai dengan lingkungan Anda. Misalnya, Anda dapat menyesuaikan pengguna dan grup mana yang diizinkan mengakses SSH.

Batasan pratinjau privat

Penting

Kontrol Postur SSH berada dalam pratinjau privat-- dimaksudkan untuk memicu dialog antara Anda dan Microsoft.

• Pratinjau ini dimaksudkan untuk digunakan dengan mesin dev/test terisolasi di mana masalah apa pun (termasuk secara tidak sengaja mengunci diri anda dari akses SSH) tidak akan memiliki konsekuensi penting.
• Pratinjau melibatkan impor definisi kebijakan, daripada memilihnya dari daftar bawaan Azure Policy.
• Distro Linux yang didukung awalnya terbatas pada Ubuntu Server (20.04, 22.04) dan Debian (11, 12). Harap beri tahu kami (info kontak di akhir halaman) distro mana yang ingin Anda lihat masukkan pratinjau berikutnya.

Contoh memulai

Contoh ini difokuskan untuk memulai dengan cepat. Ini membuat asumsi yang disederhanakan dan tidak mengeksplorasi semua yang mungkin. Misalnya, ini menggunakan pengaturan SSH default dari PolicyDefinition, daripada menyesuaikan parameter seperti pengguna dan grup yang diizinkan. Informasi yang lebih komprehensif tentang Kontrol Postur SSH termasuk pengaturan dan perilaku diharapkan dalam waktu dekat.

Tip

Model mental dan terminologi berikut digunakan di seluruh artikel ini.

• PolicyDefinition : Definisi dan metadata Kontrol Postur SSH, seperti yang diwakili dalam layanan Azure Policy.
• PolicyAssignment : Menautkan Kebijakan Kontrol Postur SSH AndaDefinisi ke cakupan tempat kebijakan tersebut harus diterapkan, seperti grup sumber daya.
• Komputer : Titik akhir yang mampu dikelola oleh Azure Policy dan Konfigurasi Mesin (alias Konfigurasi Tamu). Dengan kata lain, komputer yang diaktifkan Arc atau Azure VM.

J. Prasyarat

1. Akun Azure dengan izin untuk membuat grup sumber daya, VM (atau komputer Arc), definisi kebijakan, dan penetapan kebijakan.
2. Untuk prasyarat tambahan, pilih pengalaman pilihan Anda:

Portal

1. Menggunakan browser web, masuk ke Portal Microsoft Azure atau setara lokal Anda.

PowerShell

1. Lingkungan PowerShell dengan modul berikut terinstal:
   1. Az.ResourceGraph
   2. Az.Accounts
   3. Az.Resources
2. Gunakan Get-AzContext dan/atau Set-AzContext cmdlet untuk memastikan lingkungan Azure yang diinginkan ditargetkan.

Tip

Azure Cloud Shell dalam mode PowerShell adalah lingkungan yang siap digunakan, dan merupakan cara mudah untuk memulai.

Azure CLI

Tidak tersedia saat ini. Tertunda https://github.com/Azure/azure-cli/issues/28377. Silakan gunakan portal atau instruksi PowerShell.

B. Membuat grup sumber daya

Portal

1. Buat grup sumber daya. Dalam langkah-langkah mendatang, ini akan digunakan untuk mencakup kebijakan, dan untuk berisi mesin uji baru.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group" 
$myAzureLocation = "eastus" ## Modify as needed

$myResourceGroup = New-AzResourceGroup -Name $myResourceGroupName -Location $myAzureLocation

Azure CLI

Tidak tersedia saat ini. Tertunda https://github.com/Azure/azure-cli/issues/28377. Silakan gunakan portal atau instruksi PowerShell.

C. Membuat PolicyDefinition

Catatan

Langkah tambahan ini (membuat daripada hanya memilih PolicyDefinition) diperlukan selama pratinjau privat.

Portal

1. Navigasi ke halaman Gambaran Umum Azure Policy . Misalnya, Anda dapat menggunakan URI: https://portal.azure.com/#view/Microsoft_Azure_Policy/PolicyMenuBlade/~/Overview.
2. Navigasi ke tampilan Definisi .
3. Klik tombol + Definisi Kebijakan untuk membuat PolicyDefinition baru, memasukkan yang berikut ini sebagai input.
   1. Lokasi definisi: Pilih langganan Azure Anda tempat PolicyDefinition akan berada.
   2. Nama: [Pratinjau] Kebijakan Kontrol Postur SSH
   3. Kategori: Gunakan Yang Sudah Ada, lalu pilih Konfigurasi Tamu
   4. Aturan kebijakan: Hapus JSON yang sudah ada sebelumnya, dan tempelkan definisi kebijakan PolicyDefinition JSON dari Pratinjau Kontrol Postur SSH
4. Klik Simpan

PowerShell

$sshPolicyDefinitionJsonUri = "https://raw.githubusercontent.com/Azure/azure-osconfig/main/src/adapters/mc/sshpreview/OsConfigPolicy_DeployIfNotExists.json"
$sshPolicyDefinitionName = "[Preview] SSH Posture Control policy"

$sshPolicyDefinition = New-AzPolicyDefinition -Name $sshPolicyDefinitionName -Policy $sshPolicyDefinitionJsonUri

Azure CLI

Tidak tersedia saat ini. Tertunda https://github.com/Azure/azure-cli/issues/28377. Silakan gunakan portal atau instruksi PowerShell.

D. Menggunakan PolicyAssignment untuk menerapkan PolicyDefinition ke grup sumber daya Anda

Perhatian

Kebijakan ini memodifikasi konfigurasi sshd pada komputer dalam cakupan. Instruksi ini meminta Anda menetapkannya ke grup sumber daya yang awalnya kosong, di mana Anda nantinya akan membuat mesin uji. Berhati-hatilah jika Anda memilih untuk menetapkan ke cakupan yang lebih luas.

Portal

1. Menavigasi ke Kebijakan | Halaman definisi yang mencantumkan semua definisi kebijakan yang tersedia.
2. Pilih Kebijakan [Pratinjau] Kebijakan Kontrol Postur SSHDefinisi yang Anda buat sebelumnya
3. Klik Tetapkan.
4. Untuk Cakupan pilih grup sumber daya tempat Anda nantinya akan membuat mesin uji baru.
5. Lanjutkan ke tab Parameter .
   1. Pilih "true" untuk Sertakan mesin yang terhubung dengan Arc, kecuali Anda secara khusus ingin mengecualikan komputer yang terhubung dengan Arc.
   2. CATATAN: Jika Anda ingin menyesuaikan pengaturan SSH, seperti grup yang diizinkan, hapus centang kotak Hanya tampilkan parameter... untuk mengungkapkan semua parameter yang tersedia. Jika Anda memilih untuk menentukan pengguna atau grup yang diizinkan atau ditolak, perlu diketahui bahwa Anda akan memasukkan string yang dibatasi spasi, misalnya userA userB.
6. Lanjutkan ke tab Remediasi .
   1. CATATAN: Meskipun demo ini berfokus pada komputer baru, dalam skenario lain di mana Anda ingin PolicyAssignment diterapkan ke komputer yang ada, Anda dapat mencentang kotak untuk Membuat tugas remediasi.
   2. Pilih Buat Identitas Terkelola dengan Sistem yang ditetapkan dan lokasi identitas pilihan Anda.
7. Lanjutkan ke Tinjau + buat
   1. Pilih Buat untuk menyelesaikan PolicyAssignment.

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myAzureLocation = "eastus"
$sshPolicyDefinitionName = "[Preview] SSH Posture Control policy"
$sshPolicyAssignmentName = "[Preview] SSH Posture Control assignment"

$myResourceGroup = Get-AzResourceGroup -Name $myResourceGroupName
$sshPolicyDefinition = Get-AzPolicyDefinition -Name $sshPolicyDefinitionName

## Assign our new SSH policy to the resource group
$sshPolicyAssignment = New-AzPolicyAssignment -Name $sshPolicyAssignmentName -PolicyDefinition $sshPolicyDefinition -Scope $myResourceGroup.ResourceId -AssignIdentity -Location $myAzureLocation
## Complete RBAC assignment
New-AzRoleAssignment -ObjectId $sshPolicyAssignment.Identity.PrincipalId -RoleDefinitionId $sshPolicyDefinition.Properties.PolicyRule.then.details.roleDefinitionIds[0].split("/")[4] -Scope "/subscriptions/$((Get-AzContext).Subscription.Id)"

Azure CLI

Tidak tersedia saat ini. Tertunda https://github.com/Azure/azure-cli/issues/28377. Silakan gunakan portal atau instruksi PowerShell.

E. Membuat komputer baru

Meskipun PolicyAssignments baru dapat berlaku untuk komputer yang ada, prosesnya dapat memakan waktu hingga 24 jam. Untuk mulai cepat ini, kita akan fokus mengevaluasi komputer baru. Dalam contoh ini kami akan membuat Azure VM, tetapi Anda dapat membuat komputer yang diaktifkan Arc jika mau.

Portal

1. Navigasi ke pengalaman Azure Virtual Machines .
2. Buat VM baru, memastikan properti berikut:
   1. Langganan dan Grup Sumber Daya harus cocok dengan tempat PolicyAssignment dilingkup.
   2. Gambar harus "Unbuntu Server 22.04...".
   3. Arsitektur VM harus x64.
   4. Properti lain seperti nama VM, ukuran, dll. dapat menjadi apa pun yang Anda inginkan.
3. Tunggu hingga pembuatan VM selesai, lalu klik Buka Sumber Daya untuk mencapai halaman gambaran umum komputer
4. Di navigasi sebelah kiri, pilih Identitas dan pastikan bahwa komputer memiliki identitas terkelola sistem
5. Di navigasi sebelah kiri, pilih Ekstensi + aplikasi, lalu + Tambahkan
6. Pilih ekstensi Konfigurasi Mesin Azure Automanage dan pilih Berikutnya
7. Pilih Tinjau + buat, lalu buat

PowerShell

$myResourceGroupName = "ssh_demo_resource_group"
$myNameForNewVM = "sshdemovm01"

## Creates a new VM which is prepped to work with MachineConfiguration
## by having a system assigned identity and the GuestConfiguration extension
New-AzVM -Name $myNameForNewVM -ResourceGroupName $myResourceGroupName -SystemAssignedIdentity -Image Ubuntu2204
Set-AzVMExtension -ResourceGroupName $myResourceGroupName -VMName $myNameForNewVM -ExtensionType "ConfigurationforLinux" -Publisher "Microsoft.GuestConfiguration" -Name "AzurePolicyForLinux" -TypeHandlerVersion 1.0

Azure CLI

Tidak tersedia saat ini. Tertunda https://github.com/Azure/azure-cli/issues/28377. Silakan gunakan portal atau instruksi PowerShell.

F. Beristirahatlah sebelum melanjutkan

Ketika PolicyDefinitions, PolicyAssignments, dan mesin baru terlibat, dibutuhkan beberapa menit agar semuanya mencapai status stabil. Pertimbangkan untuk menunggu setidaknya 30 menit sebelum melanjutkan ke langkah berikutnya.

G. Mengamati hasil kepatuhan

Langkah-langkah berikut memungkinkan Anda melihat rollup kepatuhan di ketinggian yang berbeda:

• Kepatuhan berdasarkan PolicyAssignment
  • Jumlah komputer yang sesuai dan tidak patuh
  • Ketinggian tertinggi, sangat berguna untuk armada besar
• Kepatuhan berdasarkan komputer
  • Daftar komputer dengan ya/tidak per komputer
• Kepatuhan dengan mengatur, untuk komputer tertentu
  • Tingkat detail terdalam, seperti cuplikan layar di bagian atas artikel ini.

Tip

Komputer baru Anda kemungkinan akan dinilai tidak patuh ketika menemukan kebijakan untuk pertama kalinya. Pengaturan SSH default dalam kebijakan lebih ketat daripada banyak gambar OS yang telah dikonfigurasi secara default. Setelah tambahan 20 menit atau lebih, Anda harus menemukan bahwa komputer Anda menjadi sesuai berkat logika remediasi bawaan kontrol Postur SSH.

Portal

1. Menavigasi ke Kebijakan | Halaman kepatuhan .
2. Pilih [Pratinjau] Kebijakan Kontrol Postur SSH.
3. Perhatikan bahwa jumlah mesin yang sesuai / tidak patuh dilaporkan
4. Di bawah Kepatuhan Sumber Daya , Anda dapat melihat status untuk masing-masing komputer
5. Untuk menelusuri detail pengaturan demi pengaturan untuk komputer tertentu:
   1. Klik ... di samping mesin, dan pilih Tampilkan sumber daya untuk mencapai halaman Gambaran Umum komputer
   2. Di navigasi sebelah kiri di bawah Operasi, klik Manajemen konfigurasi (bukan Konfigurasi di bawah Pengaturan)
   3. Klik LinuxSSHServerSecurityBaseline
   4. Halaman yang dihasilkan menunjukkan setiap pengaturan dalam konfigurasi dengan detail tentang kepatuhan serta bagaimana kepatuhan ditentukan.

PowerShell

Untuk mengamati status pada ketinggian tertinggi (hanya jumlah komputer), Anda dapat menggunakan yang berikut:

$machineCountsQuery = @'
guestconfigurationresources
| where name startswith("LinuxSshServerSecurityBaseline")
| extend complianceStatus = tostring(properties.complianceStatus)
| summarize machineCount = count() by complianceStatus
'@

Search-AzGraph -Query $machineCountsQuery

<#
Sample output from an environment with two machines:

complianceStatus machineCount
---------------- ------------
Pending                     1
Compliant                   1
#>

Untuk melihat kepatuhan berdasarkan komputer, Anda dapat menggunakan hal berikut:

$machinePerRowQuery = @'
guestconfigurationresources
| where name startswith("LinuxSshServerSecurityBaseline")
| project 
    machine = split(properties.targetResourceId,'/')[-1],
    complianceStatus = properties.complianceStatus,
    lastComplianceStatusChecked = properties.lastComplianceStatusChecked
'@

Search-AzGraph -Query $machinePerRowQuery

<#
Sample output:

machine     complianceStatus lastComplianceStatusChecked
-------     ---------------- ---------------------------
sshdemovm01 Compliant        2/15/2024 11:07:21 PM
sshdemovm02 Pending          1/1/0001 12:00:00 AM
#>

Untuk melihat detail pengaturan demi pengaturan, Anda bisa menggunakan yang berikut ini:

$settingPerRowQuery = @'
guestconfigurationresources
| where name startswith ('LinuxSshServerSecurityBaseline')
| extend machine = split(properties.targetResourceId,'/')[-1]
| mvexpand properties.latestAssignmentReport.resources
| mvexpand properties_latestAssignmentReport_resources.reasons
| project machine,
    complianceCheck = tostring(properties_latestAssignmentReport_resources.resourceId),
    complianceStatus = tostring(properties.complianceStatus),
    complianceReason = tostring(properties_latestAssignmentReport_resources_reasons.phrase)
'@

Search-AzGraph $settingPerRowQuery

<#
Sample output:

machine     complianceCheck                                                  complianceStatus     complianceReason
-------     ---------------                                                  ------               ------
sshdemovm01 Ensure permissions on /etc/ssh/sshd_config are configured        Compliant            Access to '/etc/ssh/sshd_config' matches required ...
sshdemovm01 Ensure SSH is configured to meet best practices (protocol 2)     Compliant            'Protocol 2' is found uncommented in /etc/ssh/sshd_config
sshdemovm01 Ensure SSH is configured to ignore rhosts                        Compliant            The sshd service reports that 'ignorerhosts' is set to 'yes'
sshdemovm01 Ensure SSH LogLevel is set to INFO                               Compliant            The sshd service reports that 'loglevel' is set to 'INFO'
sshdemovm01 Ensure SSH MaxAuthTries is configured                            Compliant            The sshd service reports that 'maxauthtries' is set to '6'
sshdemovm01 Ensure allowed users for SSH access are configured               Compliant            The sshd service reports that 'allowusers' is set to '*@*'
sshdemovm01 Ensure denied users for SSH are configured                       Compliant            The sshd service reports that 'denyusers' is set to 'root'
sshdemovm01 Ensure allowed groups for SSH are configured                     Compliant            The sshd service reports that 'allowgroups' is set to '*'
sshdemovm01 Ensure denied groups for SSH are configured                      Compliant            The sshd service reports that 'denygroups' is set to 'root'
sshdemovm01 Ensure SSH host-based authenticationis disabled                  Compliant            The sshd service reports that 'hostbasedauthentication' is ...
#>

Azure CLI

Tidak tersedia saat ini. Tertunda https://github.com/Azure/azure-cli/issues/28377. Silakan gunakan portal atau instruksi PowerShell.

Langkah selanjutnya

Hubungi tim di Microsoft untuk memberikan umpan balik, permintaan fitur, dll.

ssh_posture_control_through_azure@service.microsoft.com