Baca dalam bahasa Inggris

Bagikan melalui

Garis besar keamanan Azure untuk Azure Migrate

  • Artikel

Garis besar keamanan ini menerapkan panduan dari tolok ukur keamanan cloud Microsoft versi 1.0 ke Azure Migrate. Tolok ukur keamanan cloud Microsoft memberikan rekomendasi tentang bagaimana Anda dapat mengamankan solusi cloud Anda di Azure. Konten dikelompokkan menurut kontrol keamanan yang ditentukan oleh tolok ukur keamanan cloud Microsoft dan panduan terkait yang berlaku untuk Azure Migrate.

Anda dapat memantau garis besar keamanan ini dan rekomendasinya menggunakan Microsoft Defender untuk Cloud. definisi Azure Policy akan tercantum di bagian Kepatuhan Terhadap Peraturan di halaman portal Microsoft Defender untuk Cloud.

Saat fitur memiliki Definisi Azure Policy yang relevan, fitur tersebut tercantum dalam garis besar ini untuk membantu Anda mengukur kepatuhan dengan kontrol dan rekomendasi tolok ukur keamanan cloud Microsoft. Beberapa rekomendasi mungkin memerlukan paket Microsoft Defender berbayar untuk mengaktifkan skenario keamanan tertentu.

Catatan

Fitur yang tidak berlaku untuk Azure Migrate telah dikecualikan. Untuk melihat bagaimana Azure Migrate memetakan sepenuhnya ke tolok ukur keamanan cloud Microsoft, lihat file pemetaan garis besar keamanan Azure Migrate lengkap.

Profil keamanan

Profil keamanan meringkas perilaku berdampak tinggi dari Azure Migrate, yang dapat mengakibatkan peningkatan pertimbangan keamanan.

Atribut Perilaku Layanan Nilai
Kategori Produk Migration
Pelanggan dapat mengakses HOST / OS Tidak Ada Akses
Layanan dapat disebarkan ke jaringan virtual pelanggan True
Menyimpan konten pelanggan saat tidak aktif True

Keamanan jaringan

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Keamanan jaringan.

NS-2: Mengamankan layanan cloud dengan kontrol jaringan

Fitur

Deskripsi: Kemampuan pemfilteran IP asli layanan untuk memfilter lalu lintas jaringan (tidak bingung dengan NSG atau Azure Firewall). Pelajari lebih lanjut.

Didukung Diaktifkan Secara Default Tanggung Jawab Konfigurasi
True FALSE Pelanggan

Catatan fitur: Pelanggan dapat mengonfigurasi Azure Migrate untuk memerlukan Private Link.

Panduan Konfigurasi: Sebarkan titik akhir privat untuk semua sumber daya Azure yang mendukung fitur Private Link, untuk membuat titik akses privat untuk sumber daya.

Dukungan Private Link Azure Migrate memungkinkan pelanggan untuk menemukan, menilai, dan memigrasikan server dengan aman melalui jaringan privat sambil menawarkan perlindungan terhadap risiko penyelundupan data dan memungkinkan kecepatan migrasi yang lebih besar.

Anda dapat terhubung secara privat dan aman ke Azure Migrate melalui peering privat Azure ExpressRoute atau koneksi VPN situs-ke-situs (S2S) dengan menggunakan Private Link.

Referensi: Menggunakan Azure Migrate dengan Azure Private Link

Menonaktifkan Akses Jaringan Publik

Deskripsi: Layanan mendukung penonaktifan akses jaringan publik baik melalui menggunakan aturan pemfilteran IP ACL tingkat layanan (bukan NSG atau Azure Firewall) atau menggunakan sakelar pengalih 'Nonaktifkan Akses Jaringan Publik'. Pelajari lebih lanjut.

Didukung Diaktifkan Secara Default Tanggung Jawab Konfigurasi
True FALSE Pelanggan

Catatan fitur: Pelanggan dapat mengonfigurasi Azure Migrate dengan Private Link, sehingga menonaktifkan akses titik akhir publik.

Panduan Konfigurasi: Nonaktifkan akses jaringan publik menggunakan dengan beralih untuk akses jaringan publik.

Anda dapat mengonfigurasi metode konektivitas untuk proyek Azure Migrate Anda dan memilih untuk mengaktifkan atau menonaktifkan akses jaringan publik ke proyek Migrasi.

Referensi: Menggunakan Azure Migrate dengan titik akhir privat

Manajemen identitas

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Manajemen identitas.

IM-1: Menggunakan identitas dan sistem autentikasi terpusat

Fitur

Autentikasi Azure AD Diperlukan untuk Akses Sarana Data

Deskripsi: Layanan mendukung penggunaan autentikasi Azure AD untuk akses sarana data. Pelajari lebih lanjut.

Didukung Diaktifkan Secara Default Tanggung Jawab Konfigurasi
True True Microsoft

Catatan fitur: Azure Migrate memanfaatkan identitas terkelola dan perwakilan layanan dalam Azure AD untuk operasi data plane tertentu. Azure Migrate juga mendukung Azure AD untuk akses pengguna dari sarana kontrol melalui Portal Microsoft Azure.

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

IM-3: Mengelola identitas aplikasi dengan aman dan otomatis

Fitur

Identitas Terkelola

Deskripsi: Tindakan bidang data mendukung autentikasi menggunakan identitas terkelola. Pelajari lebih lanjut.

Didukung Diaktifkan Secara Default Tanggung Jawab Konfigurasi
True FALSE Microsoft

Catatan fitur: Azure Migrate menggunakan identitas terkelola untuk mengakses data yang dimigrasikan dengan aman yang disimpan di akun penyimpanan. Ini saat ini digunakan dalam skenario di mana titik akhir privat dikonfigurasi.

Panduan Konfigurasi: Gunakan identitas terkelola Azure alih-alih perwakilan layanan jika memungkinkan, yang dapat mengautentikasi ke layanan dan sumber daya Azure yang mendukung autentikasi Azure Active Directory (Azure AD). Info masuk identitas terkelola sepenuhnya dikelola, diputar, dan dilindungi oleh platform, menghindari info masuk yang dikodekan secara permanen dalam kode sumber atau file konfigurasi.

Perwakilan Layanan

Deskripsi: Bidang data mendukung autentikasi menggunakan perwakilan layanan. Pelajari lebih lanjut.

Didukung Diaktifkan Secara Default Tanggung Jawab Konfigurasi
True FALSE Pelanggan

Catatan fitur: Layanan penemuan dan penilaian dalam Azure Migrate tidak menggunakan perwakilan layanan, namun layanan migrasi menggunakan perwakilan layanan dalam skenario titik akhir publik untuk terhubung ke brankas kunci pelanggan menggunakan aplikasi manajer pemulihan Hyper-V.

Panduan Konfigurasi: Tidak ada panduan Microsoft saat ini untuk konfigurasi fitur ini. Harap tinjau dan tentukan apakah organisasi Anda ingin mengonfigurasi fitur keamanan ini.

IM-8: Membatasi pemaparan info masuk dan rahasia

Fitur

Kredensial Layanan dan Rahasia Mendukung Integrasi dan Penyimpanan di Azure Key Vault

Deskripsi: Bidang data mendukung penggunaan asli Azure Key Vault untuk penyimpanan kredensial dan rahasia. Pelajari lebih lanjut.

Didukung Diaktifkan Secara Default Tanggung Jawab Konfigurasi
True True Microsoft

Catatan fitur: Appliance Azure Migrate memanfaatkan Key Vault untuk mengelola string koneksi untuk bus layanan, dan kunci akses untuk akun penyimpanan digunakan untuk replikasi.

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

Perlindungan data

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Perlindungan data.

DP-3: Mengenkripsi data sensitif saat transit

Fitur

Data dalam Enkripsi Transit

Deskripsi: Layanan mendukung enkripsi dalam transit data untuk bidang data. Pelajari lebih lanjut.

Didukung Diaktifkan Secara Default Tanggung Jawab Konfigurasi
True True Microsoft

Catatan fitur: Enkripsi data dalam transit diaktifkan secara default. Azure Migrate mendukung enkripsi data saat transit dengan TLS v1.2 atau lebih baru.

Meskipun bersifat opsional untuk lalu lintas pada jaringan privat, ini sangat penting untuk lalu lintas di jaringan eksternal dan publik. Untuk lalu lintas HTTP, pastikan bahwa setiap klien (termasuk appliance Azure Migrate dan mesin lain tempat Anda menginstal perangkat lunak Azure Migrate) yang terhubung ke sumber daya Azure Anda dapat menegosiasikan TLS v1.2 atau lebih baru. Untuk manajemen jarak jauh, gunakan SSH (untuk Linux) atau RDP/TLS (untuk Windows) alih-alih protokol yang tidak terenkripsi. Versi dan protokol SSL, TLS, dan SSH yang kedaluwarsa, dan sandi yang lemah harus dinonaktifkan.

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

DP-4: Mengaktifkan enkripsi data tidak aktif secara default

Fitur

Enkripsi Data tidak Aktif Menggunakan Kunci Platform

Deskripsi: Enkripsi data tidak aktif menggunakan kunci platform didukung, konten pelanggan apa pun saat tidak aktif dienkripsi dengan kunci yang dikelola Microsoft ini. Pelajari lebih lanjut.

Didukung Diaktifkan Secara Default Tanggung Jawab Konfigurasi
True True Microsoft

Catatan fitur: Semua data yang bertahan di Azure Migrate dienkripsi saat tidak aktif dengan kunci yang dikelola Microsoft.

Alat Migrasi Server di Azure Migrate mereplikasi data dari disk server yang dimigrasikan ke akun penyimpanan dan disk terkelola pada langganan Azure Anda. Penanganan data bersifat sementara sampai ditulis ke akun penyimpanan atau disk terkelola dalam langganan dan tidak bertahan di Azure Migrate. Data yang direplikasi pada akun penyimpanan dan disk terkelola dienkripsi saat tidak aktif dengan kunci yang dikelola Microsoft. Untuk data yang sangat sensitif, Anda memiliki opsi untuk menerapkan enkripsi tambahan saat tidak aktif dengan kunci yang dikelola pelanggan pada akun penyimpanan dan disk terkelola.

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

DP-5: Menggunakan opsi kunci yang dikelola pelanggan dalam enkripsi data tidak aktif saat diperlukan

Fitur

Enkripsi Data tidak Aktif Menggunakan CMK

Deskripsi: Enkripsi data saat tidak aktif menggunakan kunci yang dikelola pelanggan didukung untuk konten pelanggan yang disimpan oleh layanan. Pelajari lebih lanjut.

Didukung Diaktifkan Secara Default Tanggung Jawab Konfigurasi
True Salah Pelanggan

Panduan Konfigurasi: Aktifkan dan terapkan enkripsi data tidak aktif untuk data anda yang direplikasi menggunakan kunci yang dikelola pelanggan.

Untuk mereplikasi komputer virtual dengan CMK, Anda harus membuat set enkripsi disk pada Grup Sumber Daya target. Enkripsi disk mengatur peta objek Disk yang Dikelola ke Key Vault berisi CMK yang digunakan untuk SSE.

Referensi: Memigrasikan VMware VM ke Azure (tanpa agen)

DP-6: Menggunakan proses manajemen kunci yang aman

Fitur

Manajemen Kunci di Azure Key Vault

Deskripsi: Layanan ini mendukung integrasi Azure Key Vault untuk kunci, rahasia, atau sertifikat pelanggan apa pun. Pelajari lebih lanjut.

Didukung Diaktifkan Secara Default Tanggung Jawab Konfigurasi
True True Microsoft

Catatan fitur: Appliance Azure Migrate memanfaatkan Key Vault untuk mengelola string koneksi untuk bus layanan, dan kunci akses untuk akun penyimpanan digunakan untuk replikasi.

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

Referensi: Menyiapkan appliance Azure Migrate

Manajemen Aset

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Manajemen aset.

AM-2: Hanya menggunakan layanan yang disetujui

Fitur

Dukungan Azure Policy

Deskripsi: Konfigurasi layanan dapat dipantau dan diberlakukan melalui Azure Policy. Pelajari lebih lanjut.

Didukung Diaktifkan Secara Default Tanggung Jawab Konfigurasi
True Salah Pelanggan

Catatan fitur: Azure Migrate dapat memanfaatkan Azure Policy, namun harus dikonfigurasi oleh pelanggan untuk diberlakukan.

Panduan Konfigurasi: Gunakan Microsoft Defender untuk Cloud untuk mengonfigurasi Azure Policy untuk mengaudit dan menerapkan konfigurasi sumber daya Azure Anda. Gunakan Azure Monitor untuk membuat peringatan saat ada deviasi konfigurasi yang terdeteksi pada sumber daya. Gunakan efek [tolak] dan [sebarkan jika tidak ada] Azure Policy untuk menerapkan konfigurasi yang aman di seluruh sumber daya Azure.

Referensi: Azure Policy definisi bawaan untuk Azure Migrate

Pengelogan dan Deteksi Ancaman

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Pengelogan dan deteksi ancaman.

LT-4: Mengaktifkan pengelogan untuk penyelidikan keamanan

Fitur

Log Sumber Daya Azure

Deskripsi: Layanan menghasilkan log sumber daya yang dapat menyediakan metrik dan pengelogan khusus layanan yang ditingkatkan. Pelanggan dapat mengonfigurasi log sumber daya ini dan mengirimkannya ke sink data mereka sendiri seperti akun penyimpanan atau ruang kerja analitik log. Pelajari lebih lanjut.

Didukung Diaktifkan Secara Default Tanggung Jawab Konfigurasi
FALSE Tidak berlaku Tidak berlaku

Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.

Langkah berikutnya