Garis besar keamanan Azure untuk Azure Data Explorer
Garis besar keamanan ini menerapkan panduan dari tolok ukur keamanan cloud Microsoft versi 1.0 ke Azure Data Explorer. Tolok ukur keamanan cloud Microsoft memberikan rekomendasi tentang bagaimana Anda dapat mengamankan solusi cloud Anda di Azure. Konten dikelompokkan menurut kontrol keamanan yang ditentukan oleh tolok ukur keamanan cloud Microsoft dan panduan terkait yang berlaku untuk Azure Data Explorer.
Anda dapat memantau garis besar keamanan ini dan rekomendasinya menggunakan Microsoft Defender untuk Cloud. definisi Azure Policy akan tercantum di bagian Kepatuhan Terhadap Peraturan di halaman portal Microsoft Defender untuk Cloud.
Saat fitur memiliki Definisi Azure Policy yang relevan, fitur tersebut tercantum dalam garis besar ini untuk membantu Anda mengukur kepatuhan dengan kontrol dan rekomendasi tolok ukur keamanan cloud Microsoft. Beberapa rekomendasi mungkin memerlukan paket Microsoft Defender berbayar untuk mengaktifkan skenario keamanan tertentu.
Catatan
Fitur yang tidak berlaku untuk Azure Data Explorer telah dikecualikan. Untuk melihat bagaimana Azure Data Explorer sepenuhnya memetakan tolok ukur keamanan cloud Microsoft, lihat file pemetaan garis besar keamanan Azure Data Explorer lengkap.
Profil keamanan
Profil keamanan meringkas perilaku berdampak tinggi azure Data Explorer, yang dapat mengakibatkan peningkatan pertimbangan keamanan.
Atribut Perilaku Layanan | Nilai |
---|---|
Kategori Produk | Analitik, Database |
Pelanggan dapat mengakses HOST / OS | Tidak Ada Akses |
Layanan dapat disebarkan ke jaringan virtual pelanggan | True |
Menyimpan konten pelanggan saat tidak aktif | True |
Keamanan jaringan
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Keamanan jaringan.
NS-1: Membangun batas segmentasi jaringan
Fitur
Integrasi Jaringan Virtual
Deskripsi: Layanan mendukung penyebaran ke Virtual Network privat pelanggan (VNet). Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Catatan fitur: Kami sangat disarankan menggunakan titik akhir privat untuk mengamankan akses jaringan ke kluster Anda. Opsi ini memiliki banyak keuntungan dibandingkan injeksi jaringan virtual yang menghasilkan overhead pemeliharaan yang lebih rendah, termasuk proses penyebaran yang lebih sederhana dan lebih kuat terhadap perubahan jaringan virtual.
Panduan Konfigurasi: Sebarkan kluster Azure Data Explorer ke subnet di Virtual Network (VNet) Anda. Ini akan memungkinkan Anda menerapkan aturan NSG untuk membatasi lalu lintas kluster Azure Data Explorer Anda dan menyambungkan jaringan lokal Anda ke subnet kluster Azure Data Explorer.
Referensi: Menyebarkan kluster Azure Data Explorer ke dalam Virtual Network Anda
Dukungan Kelompok Keamanan Jaringan
Deskripsi: Lalu lintas jaringan layanan menghormati penetapan aturan Kelompok Keamanan Jaringan pada subnetnya. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Catatan fitur: Ini didukung dan diperlukan untuk mengonfigurasi aturan Kelompok Keamanan Jaringan jika Azure Data Explorer disuntikkan ke jaringan virtual pelanggan. Tidak disarankan untuk menyuntikkan Azure Data Explorer ke jaringan virtual. Disarankan untuk mengikuti implementasi keamanan jaringan berbasis Titik Akhir Privat: Titik akhir privat untuk Azure Data Explorer.
Panduan Konfigurasi: Jika Anda memutuskan untuk menyuntikkan Azure Data Explorer ke jaringan virtual (solusi berbasis titik akhir privat sangat disarankan) kami mengharuskan Anda menggunakan delegasi subnet untuk penyebaran kluster Anda. Untuk melakukannya, Anda harus mendelegasikan subnet ke Microsoft.Kusto/clusters sebelum membuat kluster di subnet.
Dengan mengaktifkan delegasi subnet pada subnet kluster, Anda mengaktifkan layanan untuk menentukan pra-kondisinya untuk penyebaran dalam bentuk Kebijakan Niat Jaringan. Saat membuat kluster di subnet, konfigurasi NSG yang disebutkan di bagian berikut secara otomatis dibuat untuk Anda.
Referensi: Mengonfigurasi aturan Kelompok Keamanan Jaringan
NS-2: Mengamankan layanan cloud dengan kontrol jaringan
Fitur
Azure Private Link
Deskripsi: Kemampuan pemfilteran IP asli layanan untuk memfilter lalu lintas jaringan (tidak bingung dengan NSG atau Azure Firewall). Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Sangat disarankan untuk menggunakan titik akhir privat untuk mengamankan akses jaringan ke kluster Anda. Opsi ini memiliki banyak keuntungan dibandingkan integrasi jaringan virtual yang menghasilkan overhead pemeliharaan yang lebih rendah, termasuk proses penyebaran yang lebih sederhana dan lebih kuat terhadap perubahan jaringan virtual.
Referensi: Titik akhir privat untuk Azure Data Explorer
Menonaktifkan Akses Jaringan Publik
Deskripsi: Layanan mendukung penonaktifan akses jaringan publik baik melalui menggunakan aturan pemfilteran IP ACL tingkat layanan (bukan NSG atau Azure Firewall) atau menggunakan sakelar pengalih 'Nonaktifkan Akses Jaringan Publik'. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Nonaktifkan akses jaringan publik baik menggunakan aturan pemfilteran IP ACL tingkat layanan atau sakelar pengalih untuk akses jaringan publik.
Referensi: Membatasi akses publik ke kluster Azure Data Explorer Anda
Manajemen identitas
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Manajemen identitas.
IM-1: Menggunakan identitas dan sistem autentikasi terpusat
Fitur
Autentikasi Azure AD Diperlukan untuk Akses Sarana Data
Deskripsi: Layanan mendukung penggunaan autentikasi Azure AD untuk akses sarana data. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Gunakan Azure Active Directory (Azure AD) sebagai metode autentikasi default untuk mengontrol akses sarana data Anda.
Referensi: Cara mengautentikasi dengan Azure Active Directory (Azure AD) untuk akses Azure Data Explorer
Metode Autentikasi Lokal untuk Akses Data Plane
Deskripsi: Metode autentikasi lokal yang didukung untuk akses sarana data, seperti nama pengguna dan kata sandi lokal. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
FALSE | Tidak berlaku | Tidak berlaku |
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
IM-3: Mengelola identitas aplikasi dengan aman dan otomatis
Fitur
Identitas Terkelola
Deskripsi: Tindakan bidang data mendukung autentikasi menggunakan identitas terkelola. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | True | Microsoft |
Catatan fitur: Azure Data Explorer memungkinkan autentikasi pada bidang datanya dengan identitas Azure Active Directory apa pun. Ini berarti Identitas Terkelola Sistem dan Pengguna didukung. Selain itu, Azure Data Explorer mendukung penggunaan Identitas Terkelola untuk mengautentikasi layanan lain untuk Penyerapan dan Kueri. Untuk informasi selengkapnya, silakan kunjungi: Gambaran umum identitas terkelola.
Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.
Referensi: Autentikasi Azure Active Directory
Perwakilan Layanan
Deskripsi: Bidang data mendukung autentikasi menggunakan perwakilan layanan. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | True | Microsoft |
Catatan fitur: Azure Data Explorer mendukung semua jenis identitas Azure Active Directory, termasuk perwakilan layanan
Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.
Referensi: Autentikasi Azure Active Directory menggunakan aplikasi
IM-7: Membatasi akses sumber daya berdasarkan kondisi
Fitur
Akses Bersyarah untuk Data Plane
Deskripsi: Akses sarana data dapat dikontrol menggunakan Kebijakan Akses Bersyarah Azure AD. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Tentukan kondisi dan kriteria yang berlaku untuk akses bersyarah Azure Active Directory (Azure AD) dalam beban kerja. Pertimbangkan kasus penggunaan umum seperti memblokir atau memberikan akses dari lokasi tertentu, memblokir perilaku masuk berisiko, atau mengharuskan perangkat yang dikelola organisasi untuk aplikasi tertentu.
Referensi: Akses Bersyarah dengan Azure Data Explorer
IM-8: Membatasi pemaparan info masuk dan rahasia
Fitur
Kredensial Layanan dan Rahasia Mendukung Integrasi dan Penyimpanan di Azure Key Vault
Deskripsi: Bidang data mendukung penggunaan asli Azure Key Vault untuk penyimpanan kredensial dan rahasia. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
FALSE | Tidak berlaku | Tidak berlaku |
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
Akses dengan hak istimewa
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Akses istimewa.
PA-1: Memisahkan dan membatasi pengguna dengan hak istimewa tinggi/administratif
Fitur
Akun Admin Lokal
Deskripsi: Layanan memiliki konsep akun administratif lokal. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
FALSE | Tidak berlaku | Tidak berlaku |
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
PA-7: Mengikuti prinsip administrasi yang cukup (prinsip hak istimewa paling rendah)
Fitur
Azure RBAC untuk Data Plane
Deskripsi: Azure Role-Based Access Control (Azure RBAC) dapat digunakan untuk mengelola akses ke tindakan sarana data layanan. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
FALSE | Tidak berlaku | Tidak berlaku |
Catatan fitur: Azure Data Explorer memungkinkan Anda mengontrol akses ke bidang data (database dan tabel), menggunakan model kontrol akses berbasis peran. Di bawah model ini, prinsipal (pengguna, grup, dan aplikasi) dipetakan ke peran. Prinsipal dapat mengakses sumber daya sesuai dengan peran yang ditetapkan. Namun, bidang data Azure Data Explorer diputar dari Azure RBAC untuk sarana kontrol.
Lihat: Mengelola izin database Azure Data Explorer
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
PA-8: Menentukan proses akses untuk dukungan penyedia cloud
Fitur
Customer Lockbox
Deskripsi: Customer Lockbox dapat digunakan untuk akses dukungan Microsoft. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | True | Microsoft |
Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.
Perlindungan data
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Perlindungan data.
DP-1: Menemukan, mengklasifikasikan, dan memberi label data sensitif
Fitur
Penemuan dan Klasifikasi Data Sensitif
Deskripsi: Alat (seperti Azure Purview atau Azure Information Protection) dapat digunakan untuk penemuan dan klasifikasi data dalam layanan. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Catatan fitur: Azure Data Explorer didukung di Microsoft Purview.
Panduan Konfigurasi: Azure Data Explorer didukung di Microsoft Purview. Anda dapat menggunakan Azure Purview untuk memindai, mengklasifikasikan, dan memberi label data sensitif apa pun yang berada di Azure Data Explorer.
DP-2: Memantau anomali dan ancaman yang menargetkan data sensitif
Fitur
Pencegahan Kebocoran/Kehilangan Data
Deskripsi: Layanan mendukung solusi DLP untuk memantau pergerakan data sensitif (dalam konten pelanggan). Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Membatasi akses keluar kluster Anda penting untuk mengurangi risiko seperti penyelundupan data. Aktor jahat berpotensi membuat tabel eksternal ke akun penyimpanan dan mengekstrak data dalam jumlah besar. Anda dapat mengontrol akses keluar di tingkat kluster dengan menentukan kebijakan callout. Mengelola kebijakan callout memungkinkan Anda mengizinkan akses keluar ke SQL, penyimpanan, atau titik akhir tertentu.
Referensi: Membatasi akses keluar dari kluster Azure Data Explorer Anda
DP-3: Mengenkripsi data sensitif saat transit
Fitur
Data dalam Enkripsi Transit
Deskripsi: Layanan mendukung enkripsi dalam transit data untuk bidang data. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | True | Microsoft |
Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.
DP-4: Mengaktifkan enkripsi data tidak aktif secara default
Fitur
Enkripsi Data tidak Aktif Menggunakan Kunci Platform
Deskripsi: Enkripsi data tidak aktif menggunakan kunci platform didukung, konten pelanggan apa pun saat tidak aktif dienkripsi dengan kunci yang dikelola Microsoft ini. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | True | Microsoft |
Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.
Referensi: Enkripsi Data di Azure Data Explorer
DP-5: Menggunakan opsi kunci yang dikelola pelanggan dalam enkripsi data tidak aktif saat diperlukan
Fitur
Enkripsi Data tidak Aktif Menggunakan CMK
Deskripsi: Enkripsi data saat tidak aktif menggunakan kunci yang dikelola pelanggan didukung untuk konten pelanggan yang disimpan oleh layanan. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Untuk kontrol tambahan atas kunci enkripsi, Anda dapat menyediakan kunci yang dikelola pelanggan untuk digunakan untuk enkripsi data. Anda dapat mengelola enkripsi data Anda di tingkat penyimpanan dengan kunci Anda sendiri. Kunci yang dikelola pelanggan digunakan untuk melindungi dan mengontrol akses ke kunci enkripsi akar, yang digunakan untuk mengenkripsi dan mendekripsi semua data. Kunci yang dikelola pelanggan menawarkan fleksibilitas yang lebih luas untuk membuat, memutar, menonaktifkan, dan mencabut kontrol akses. Anda juga dapat mengaudit kunci enkripsi yang digunakan untuk melindungi data Anda.
Referensi: Enkripsi menggunakan konfigurasi kunci yang dikelola pelanggan
DP-7: Menggunakan proses manajemen sertifikat yang aman
Fitur
Manajemen Sertifikat di Azure Key Vault
Deskripsi: Layanan ini mendukung integrasi Azure Key Vault untuk sertifikat pelanggan apa pun. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
FALSE | Tidak berlaku | Tidak berlaku |
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
Manajemen Aset
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Manajemen aset.
AM-2: Hanya menggunakan layanan yang disetujui
Fitur
Dukungan Azure Policy
Deskripsi: Konfigurasi layanan dapat dipantau dan diberlakukan melalui Azure Policy. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Gunakan Microsoft Defender untuk Cloud untuk mengonfigurasi Azure Policy untuk mengaudit dan menerapkan konfigurasi sumber daya Azure Anda. Gunakan Azure Monitor untuk membuat peringatan saat ada deviasi konfigurasi yang terdeteksi pada sumber daya. Gunakan efek [tolak] dan [sebarkan jika tidak ada] Azure Policy untuk menerapkan konfigurasi aman di seluruh sumber daya Azure.
Referensi: Azure Policy Kontrol Kepatuhan Terhadap Peraturan untuk Azure Data Explorer
Pengelogan dan Deteksi Ancaman
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Pengelogan dan deteksi ancaman.
LT-1: Mengaktifkan kemampuan deteksi ancaman
Fitur
Microsoft Defender untuk Layanan / Penawaran Produk
Deskripsi: Layanan memiliki solusi Microsoft Defender khusus penawaran untuk memantau dan memperingatkan masalah keamanan. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
FALSE | Tidak berlaku | Tidak berlaku |
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
LT-4: Mengaktifkan pengelogan untuk penyelidikan keamanan
Fitur
Log Sumber Daya Azure
Deskripsi: Layanan menghasilkan log sumber daya yang dapat menyediakan metrik dan pengelogan khusus layanan yang ditingkatkan. Pelanggan dapat mengonfigurasi log sumber daya ini dan mengirimkannya ke sink data mereka sendiri seperti akun penyimpanan atau ruang kerja analitik log. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Azure Data Explorer menggunakan log diagnostik untuk wawasan tentang penyerapan, perintah, kueri, dan tabel. Anda dapat mengekspor log operasi ke Azure Storage, hub peristiwa, atau Analitik Log untuk memantau penyerapan, perintah, dan status kueri. Log dari Azure Storage dan Azure Event Hubs dapat dirutekan ke tabel di kluster Azure Data Explorer Anda untuk analisis lebih lanjut.
Referensi: Memantau penyerapan, perintah, kueri, dan tabel azure Data Explorer menggunakan log diagnostik
Pencadangan dan Pemulihan
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Pencadangan dan pemulihan.
BR-1: Pastikan pencadangan otomatis secara rutin
Fitur
Pencadangan Azure
Deskripsi: Layanan dapat dicadangkan oleh layanan Azure Backup. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
FALSE | Tidak berlaku | Tidak berlaku |
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
Kemampuan Pencadangan Asli Layanan
Deskripsi: Layanan mendukung kemampuan pencadangan aslinya sendiri (jika tidak menggunakan Azure Backup). Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
FALSE | Tidak berlaku | Tidak berlaku |
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
Langkah berikutnya
- Lihat gambaran umum tolok ukur keamanan cloud Microsoft
- Pelajari selengkapnya tentang Garis besar keamanan Azure