Garis besar keamanan Azure untuk server dengan dukungan Azure Arc

Garis besar keamanan ini menerapkan panduan dari tolok ukur keamanan cloud Microsoft versi 1.0 ke server dengan dukungan Azure Arc. Tolok ukur keamanan cloud Microsoft memberikan rekomendasi tentang bagaimana Anda dapat mengamankan solusi cloud Anda di Azure. Konten dikelompokkan menurut kontrol keamanan yang ditentukan oleh tolok ukur keamanan cloud Microsoft dan panduan terkait yang berlaku untuk server yang diaktifkan Azure Arc.

Anda dapat memantau garis besar keamanan ini dan rekomendasinya menggunakan Microsoft Defender untuk Cloud. definisi Azure Policy akan tercantum di bagian Kepatuhan Terhadap Peraturan di halaman portal Microsoft Defender untuk Cloud.

Saat fitur memiliki Definisi Azure Policy yang relevan, fitur tersebut tercantum dalam garis besar ini untuk membantu Anda mengukur kepatuhan dengan kontrol dan rekomendasi tolok ukur keamanan cloud Microsoft. Beberapa rekomendasi mungkin memerlukan paket Microsoft Defender berbayar untuk mengaktifkan skenario keamanan tertentu.

Catatan

Fitur yang tidak berlaku untuk server dengan dukungan Azure Arc telah dikecualikan. Untuk melihat bagaimana server yang didukung Azure Arc sepenuhnya memetakan ke tolok ukur keamanan cloud Microsoft, lihat file pemetaan garis besar keamanan server dengan dukungan Azure Arc lengkap.

Profil keamanan

Profil keamanan merangkum perilaku berdampak tinggi dari server dengan dukungan Azure Arc, yang dapat mengakibatkan peningkatan pertimbangan keamanan.

Atribut Perilaku Layanan	Nilai
Kategori Produk	Hybrid/Multi-Cloud, MGMT/Governance
Pelanggan dapat mengakses HOST / OS	Tidak Ada Akses
Layanan dapat disebarkan ke jaringan virtual pelanggan	FALSE
Menyimpan konten pelanggan saat tidak aktif	Salah

Keamanan jaringan

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Keamanan jaringan.

NS-1: Membangun batas segmentasi jaringan

Fitur

Integrasi Jaringan Virtual

Deskripsi: Layanan mendukung penyebaran ke Virtual Network privat pelanggan (VNet). Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
FALSE	Tidak berlaku	Tidak berlaku

Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.

NS-2: Mengamankan layanan cloud dengan kontrol jaringan

Fitur

Azure Private Link

Deskripsi: Kemampuan pemfilteran IP asli layanan untuk memfilter lalu lintas jaringan (tidak bingung dengan NSG atau Azure Firewall). Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	Salah	Pelanggan

Panduan Konfigurasi: Sebarkan titik akhir privat untuk semua sumber daya Azure yang mendukung fitur Private Link untuk membuat titik akses privat untuk sumber daya.

Referensi: Gunakan Azure Private Link untuk menyambungkan server dengan aman ke Azure Arc

Menonaktifkan Akses Jaringan Publik

Deskripsi: Layanan mendukung penonaktifan akses jaringan publik baik melalui menggunakan aturan pemfilteran IP ACL tingkat layanan (bukan NSG atau Azure Firewall) atau menggunakan sakelar pengalih 'Nonaktifkan Akses Jaringan Publik'. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	Salah	Pelanggan

Panduan Konfigurasi: Nonaktifkan akses jaringan publik baik menggunakan aturan pemfilteran IP ACL tingkat layanan atau sakelar pengalih untuk akses jaringan publik.

Referensi: Gunakan Azure Private Link untuk menyambungkan server dengan aman ke Azure Arc

Manajemen identitas

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Manajemen identitas.

IM-1: Menggunakan identitas dan sistem autentikasi terpusat

Fitur

Autentikasi Azure AD Diperlukan untuk Akses Sarana Data

Deskripsi: Layanan mendukung penggunaan autentikasi Azure AD untuk akses sarana data. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	True	Microsoft

Catatan fitur: Tidak ada API sarana data yang menghadap pelanggan.

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

Referensi: Kontrol identitas dan akses untuk server dengan dukungan Azure Arc

Metode Autentikasi Lokal untuk Akses Data Plane

Deskripsi: Metode autentikasi lokal yang didukung untuk akses sarana data, seperti nama pengguna dan kata sandi lokal. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	Salah	Pelanggan

Catatan fitur: Autentikasi lokal hanya digunakan saat menyambungkan ke server menggunakan SSH atau Windows Admin Center. Hindari penggunaan metode atau akun autentikasi lokal, ini harus dinonaktifkan sedapat mungkin. Sebagai gantinya, gunakan Azure AD untuk mengautentikasi jika memungkinkan.

Panduan Konfigurasi: Batasi penggunaan metode autentikasi lokal untuk akses sarana data. Sebagai gantinya, gunakan Azure Active Directory (Azure AD) sebagai metode autentikasi default untuk mengontrol akses sarana data Anda.

Referensi: Akses SSH ke server dengan dukungan Azure Arc

IM-3: Mengelola identitas aplikasi dengan aman dan otomatis

Fitur

Identitas Terkelola

Deskripsi: Tindakan bidang data mendukung autentikasi menggunakan identitas terkelola. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	True	Microsoft

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

Referensi: Mengautentikasi terhadap sumber daya Azure dengan server dengan dukungan Azure Arc

Perwakilan Layanan

Deskripsi: Bidang data mendukung autentikasi menggunakan perwakilan layanan. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Tidak ada panduan Microsoft saat ini untuk konfigurasi fitur ini. Harap tinjau dan tentukan apakah organisasi Anda ingin mengonfigurasi fitur keamanan ini.

Referensi: Membuat perwakilan layanan untuk onboarding dalam skala besar

IM-8: Membatasi pemaparan info masuk dan rahasia

Fitur

Kredensial Layanan dan Rahasia Mendukung Integrasi dan Penyimpanan di Azure Key Vault

Deskripsi: Bidang data mendukung penggunaan asli Azure Key Vault untuk penyimpanan kredensial dan rahasia. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
FALSE	Tidak berlaku	Tidak berlaku

Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.

Akses dengan hak istimewa

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Akses istimewa.

PA-1: Memisahkan dan membatasi pengguna dengan hak istimewa tinggi/administratif

Fitur

Akun Admin Lokal

Deskripsi: Layanan memiliki konsep akun administratif lokal. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Catatan fitur: Hindari penggunaan metode atau akun autentikasi lokal, ini harus dinonaktifkan sedapat mungkin. Sebagai gantinya, gunakan Azure AD untuk mengautentikasi jika memungkinkan.

Panduan Konfigurasi: Jika tidak diperlukan untuk operasi administratif rutin, nonaktifkan atau batasi akun admin lokal apa pun hanya untuk penggunaan darurat.

Referensi: Akses SSH ke server dengan dukungan Azure Arc

PA-7: Mengikuti prinsip administrasi yang cukup (prinsip hak istimewa paling rendah)

Fitur

Azure RBAC untuk Data Plane

Deskripsi: Azure Role-Based Access Control (Azure RBAC) dapat digunakan untuk mengelola akses ke tindakan sarana data layanan. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	True	Microsoft

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

Referensi: Kontrol identitas dan akses untuk server dengan dukungan Azure Arc

Perlindungan data

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Perlindungan data.

DP-1: Menemukan, mengklasifikasikan, dan memberi label data sensitif

Fitur

Penemuan dan Klasifikasi Data Sensitif

Deskripsi: Alat (seperti Azure Purview atau Azure Information Protection) dapat digunakan untuk penemuan dan klasifikasi data dalam layanan. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
FALSE	Tidak berlaku	Tidak berlaku

Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.

DP-3: Mengenkripsi data sensitif saat transit

Fitur

Data dalam Enkripsi Transit

Deskripsi: Layanan mendukung enkripsi dalam transit data untuk bidang data. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	True	Microsoft

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

Referensi: Topologi jaringan dan konektivitas untuk server dengan dukungan Azure Arc

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.HybridCompute:

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Komputer Windows harus dikonfigurasi untuk menggunakan protokol komunikasi yang aman	Untuk melindungi privasi informasi yang dikomunikasikan melalui Internet, komputer Anda harus menggunakan versi terbaru protokol kriptografi standar industri, Keamanan Lapisan Transportasi (TLS). TLS mengamankan komunikasi melalui jaringan dengan mengenkripsi koneksi antar mesin.	AuditIfNotExists, Dinonaktifkan	4.1.1

DP-4: Mengaktifkan enkripsi data tidak aktif secara default

Fitur

Enkripsi Data tidak Aktif Menggunakan Kunci Platform

Deskripsi: Enkripsi data tidak aktif menggunakan kunci platform didukung, konten pelanggan apa pun saat tidak aktif dienkripsi dengan kunci yang dikelola Microsoft ini. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	True	Microsoft

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

Manajemen Aset

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Manajemen aset.

AM-2: Hanya menggunakan layanan yang disetujui

Fitur

Dukungan Azure Policy

Deskripsi: Konfigurasi layanan dapat dipantau dan diberlakukan melalui Azure Policy. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Gunakan Microsoft Defender untuk Cloud untuk mengonfigurasi Azure Policy untuk mengaudit dan menerapkan konfigurasi sumber daya Azure Anda. Gunakan Azure Monitor untuk membuat peringatan saat ada deviasi konfigurasi yang terdeteksi pada sumber daya. Gunakan efek [tolak] dan [sebarkan jika tidak ada] Azure Policy untuk menerapkan konfigurasi yang aman di seluruh sumber daya Azure.

Referensi: Azure Policy definisi bawaan untuk server dengan dukungan Azure Arc

Pengelogan dan Deteksi Ancaman

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Pengelogan dan deteksi ancaman.

LT-1: Mengaktifkan kemampuan deteksi ancaman

Fitur

Microsoft Defender untuk Penawaran Layanan / Produk

Deskripsi: Layanan memiliki solusi Microsoft Defender khusus penawaran untuk memantau dan memperingatkan masalah keamanan. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Gunakan Azure Active Directory (Azure AD) sebagai metode autentikasi default untuk mengontrol akses sarana manajemen Anda. Saat Anda mendapatkan pemberitahuan dari Microsoft Defender untuk Key Vault, selidiki dan tanggapi pemberitahuan.

Referensi: Pengantar Microsoft Defender untuk Server

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.HybridCompute:

Nama (portal Microsoft Azure)	Deskripsi	Efek	Versi (GitHub)
Windows Defender Exploit Guard harus diaktifkan di komputer Anda	Windows Defender Exploit Guard menggunakan agen Konfigurasi Tamu Azure Policy. Exploit Guard memiliki empat komponen yang dirancang untuk mengunci perangkat dari berbagai vektor serangan dan memblokir perilaku yang biasa digunakan dalam serangan malware sekaligus memungkinkan perusahaan untuk menyeimbangkan risiko keamanan dan persyaratan produktivitas (khusus Windows).	AuditIfNotExists, Dinonaktifkan	2.0.0

LT-4: Mengaktifkan pengelogan untuk penyelidikan keamanan

Fitur

Log Sumber Daya Azure

Deskripsi: Layanan menghasilkan log sumber daya yang dapat menyediakan metrik dan pengelogan khusus layanan yang ditingkatkan. Pelanggan dapat mengonfigurasi log sumber daya ini dan mengirimnya ke sink data mereka sendiri seperti akun penyimpanan atau ruang kerja analitik log. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
FALSE	Tidak berlaku	Tidak berlaku

Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.

Pencadangan dan Pemulihan

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Pencadangan dan pemulihan.

BR-1: Pastikan pencadangan otomatis secara rutin

Fitur

Pencadangan Azure

Deskripsi: Layanan dapat dicadangkan oleh layanan Azure Backup. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
FALSE	Tidak berlaku	Tidak berlaku

Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.

Kemampuan Pencadangan Asli Layanan

Deskripsi: Layanan mendukung kemampuan pencadangan aslinya sendiri (jika tidak menggunakan Azure Backup). Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
FALSE	Tidak berlaku	Tidak berlaku

Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.

Langkah berikutnya

• Lihat gambaran umum tolok ukur keamanan cloud Microsoft
• Pelajari selengkapnya tentang Garis besar keamanan Azure