Garis besar keamanan Azure untuk Azure Monitor
Garis besar keamanan ini menerapkan panduan dari tolok ukur keamanan cloud Microsoft versi 1.0 ke Azure Monitor. Tolok ukur keamanan cloud Microsoft memberikan rekomendasi tentang bagaimana Anda dapat mengamankan solusi cloud Anda di Azure. Konten dikelompokkan menurut kontrol keamanan yang ditentukan oleh tolok ukur keamanan cloud Microsoft dan panduan terkait yang berlaku untuk Azure Monitor.
Anda dapat memantau garis besar keamanan ini dan rekomendasinya menggunakan Microsoft Defender untuk Cloud. definisi Azure Policy akan tercantum di bagian Kepatuhan Terhadap Peraturan di halaman portal Microsoft Defender untuk Cloud.
Ketika fitur memiliki Definisi Azure Policy yang relevan, fitur tersebut tercantum dalam garis besar ini untuk membantu Anda mengukur kepatuhan dengan kontrol dan rekomendasi tolok ukur keamanan cloud Microsoft. Beberapa rekomendasi mungkin memerlukan paket Microsoft Defender berbayar untuk mengaktifkan skenario keamanan tertentu.
Catatan
Fitur yang tidak berlaku untuk Azure Monitor telah dikecualikan. Untuk melihat bagaimana Azure Monitor sepenuhnya memetakan tolok ukur keamanan cloud Microsoft, lihat file pemetaan garis besar keamanan Azure Monitor lengkap.
Profil keamanan
Profil keamanan meringkas perilaku berdampak tinggi dari Azure Monitor, yang dapat mengakibatkan peningkatan pertimbangan keamanan.
Atribut Perilaku Layanan | Nilai |
---|---|
Kategori Produk | DevOps, Keamanan |
Pelanggan dapat mengakses HOST / OS | Tidak Ada Akses |
Layanan dapat disebarkan ke jaringan virtual pelanggan | FALSE |
Menyimpan konten pelanggan saat tidak aktif | True |
Keamanan jaringan
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Keamanan jaringan.
NS-1: Membangun batas segmentasi jaringan
Fitur
Integrasi Jaringan Virtual
Deskripsi: Layanan mendukung penyebaran ke Virtual Network privat pelanggan (VNet). Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Sebarkan layanan ke jaringan virtual. Tetapkan IP privat ke sumber daya (jika berlaku) kecuali ada alasan kuat untuk menetapkan IP publik langsung ke sumber daya.
Referensi: Gunakan Azure Private Link untuk menyambungkan jaringan ke Azure Monitor
Dukungan Kelompok Keamanan Jaringan
Deskripsi: Lalu lintas jaringan layanan menghormati penetapan aturan Kelompok Keamanan Jaringan pada subnetnya. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Gunakan grup keamanan jaringan (NSG) untuk membatasi atau memantau lalu lintas berdasarkan port, protokol, alamat IP sumber, atau alamat IP tujuan. Buat aturan NSG untuk membatasi port terbuka layanan Anda (seperti mencegah port manajemen diakses dari jaringan yang tidak tepercaya). Ketahuilah bahwa secara default, NSG menolak semua lalu lintas masuk tetapi mengizinkan lalu lintas dari jaringan virtual dan Azure Load Balancer.
Referensi: Alamat IP yang digunakan oleh Azure Monitor
NS-2: Mengamankan layanan cloud dengan kontrol jaringan
Fitur
Azure Private Link
Deskripsi: Kemampuan pemfilteran IP asli layanan untuk memfilter lalu lintas jaringan (tidak bingung dengan NSG atau Azure Firewall). Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Dengan Azure Private Link, Anda dapat menautkan sumber daya platform as a service (PaaS) Azure dengan aman ke jaringan virtual Anda dengan menggunakan titik akhir privat. Azure Monitor adalah konstelasi dari berbagai layanan yang saling terhubung yang bekerja sama untuk memantau beban kerja Anda. Azure Monitor Private Link menghubungkan titik akhir privati ke satu set sumber daya Azure Monitor, mendefinisikan batas-batas jaringan pemantauan Anda. Set itu disebut Azure Monitor Private Link Scope (AMPLS).
Referensi: Gunakan Azure Private Link untuk menyambungkan jaringan ke Azure Monitor
Menonaktifkan Akses Jaringan Publik
Deskripsi: Layanan mendukung penonaktifan akses jaringan publik baik melalui menggunakan aturan pemfilteran IP ACL tingkat layanan (bukan NSG atau Azure Firewall) atau menggunakan sakelar pengalih 'Nonaktifkan Akses Jaringan Publik'. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Nonaktifkan akses jaringan publik baik menggunakan aturan pemfilteran IP ACL tingkat layanan atau sakelar pengalih untuk akses jaringan publik. Lihat informasi tambahan di sini: Menggunakan Azure Monitor Private Link Scope (AMPLS)
Referensi: Gunakan Azure Private Link untuk menyambungkan jaringan ke Azure Monitor
Manajemen identitas
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Manajemen identitas.
IM-1: Menggunakan identitas dan sistem autentikasi terpusat
Fitur
Autentikasi Azure AD Diperlukan untuk Akses Sarana Data
Deskripsi: Layanan mendukung penggunaan autentikasi Azure AD untuk akses sarana data. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | True | Microsoft |
Catatan fitur: Agen Azure Monitor menggunakan MSI\AAD secara default dan didokumenkan di sini: Konfigurasi Agen Azure Log Analytics
Application Insights perlu dikonfigurasi untuk memberlakukan AAD dan didokumenkan di sini Autentikasi AAD Application Insights
Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.
Referensi: Azure AD autentikasi untuk Application Insights
Metode Autentikasi Lokal untuk Akses Data Plane
Deskripsi: Metode autentikasi lokal yang didukung untuk akses sarana data, seperti nama pengguna dan kata sandi lokal. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
Salah | Tidak berlaku | Tidak berlaku |
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
IM-3: Mengelola identitas aplikasi dengan aman dan otomatis
Fitur
Identitas Terkelola
Deskripsi: Tindakan bidang data mendukung autentikasi menggunakan identitas terkelola. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Catatan fitur: Identitas terkelola harus diaktifkan pada komputer virtual Azure sebelum menginstal Agen Azure Monitor. Prasyarat Agen Azure Monitor
Panduan Konfigurasi: Gunakan identitas terkelola Azure alih-alih perwakilan layanan jika memungkinkan, yang dapat mengautentikasi ke layanan dan sumber daya Azure yang mendukung autentikasi Azure Active Directory (Azure AD). Info masuk identitas terkelola sepenuhnya dikelola, diputar, dan dilindungi oleh platform, menghindari info masuk yang dikodekan secara permanen dalam kode sumber atau file konfigurasi.
Referensi: autentikasi Azure AD untuk Application Insights
Perwakilan Layanan
Deskripsi: Bidang data mendukung autentikasi menggunakan perwakilan layanan. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Catatan fitur: Ini hanya berlaku untuk WebHook Aman.
Panduan Konfigurasi: Tidak ada panduan Microsoft saat ini untuk konfigurasi fitur ini. Harap tinjau dan tentukan apakah organisasi Anda ingin mengonfigurasi fitur keamanan ini.
Referensi: Membuat dan mengelola grup tindakan di portal Azure
IM-7: Membatasi akses sumber daya berdasarkan kondisi
Fitur
Akses Bersyarah untuk Data Plane
Deskripsi: Akses sarana data dapat dikontrol menggunakan Kebijakan Akses Bersyarah Azure AD. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Tentukan kondisi dan kriteria yang berlaku untuk akses bersyarah Azure Active Directory (Azure AD) dalam beban kerja. Pertimbangkan kasus penggunaan umum seperti memblokir atau memberikan akses dari lokasi tertentu, memblokir perilaku masuk berisiko, atau mengharuskan perangkat yang dikelola organisasi untuk aplikasi tertentu.
Referensi: Gambaran Umum API Analitik Log Azure Monitor
Akses dengan hak istimewa
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Akses istimewa.
PA-7: Mengikuti prinsip administrasi yang cukup (prinsip hak istimewa paling rendah)
Fitur
Azure RBAC untuk Data Plane
Deskripsi: Azure Role-Based Access Control (Azure RBAC) dapat digunakan untuk mengelola akses ke tindakan sarana data layanan. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | True | Microsoft |
Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.
Referensi: Peran, izin, dan keamanan di Azure Monitor
PA-8: Menentukan proses akses untuk dukungan penyedia cloud
Fitur
Customer Lockbox
Deskripsi: Customer Lockbox dapat digunakan untuk akses dukungan Microsoft. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Catatan fitur: Hanya tersedia saat Analitik Log Azure Monitor dikonfigurasi dengan kluster khusus.
Panduan Konfigurasi: Dalam skenario dukungan di mana Microsoft perlu mengakses data Anda, gunakan Customer Lockbox untuk meninjau, lalu menyetujui atau menolak setiap permintaan akses data Microsoft. Ini hanya berlaku untuk Data log dalam kluster khusus.
Referensi: Customer Lockbox (pratinjau)
Perlindungan data
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Perlindungan data.
DP-1: Menemukan, mengklasifikasikan, dan memberi label data sensitif
Fitur
Penemuan dan Klasifikasi Data Sensitif
Deskripsi: Alat (seperti Azure Purview atau Azure Information Protection) dapat digunakan untuk penemuan dan klasifikasi data dalam layanan. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
Salah | Tidak berlaku | Tidak berlaku |
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
DP-2: Memantau anomali dan ancaman yang menargetkan data sensitif
Fitur
Pencegahan Kebocoran/Kehilangan Data
Deskripsi: Layanan mendukung solusi DLP untuk memantau pergerakan data sensitif (dalam konten pelanggan). Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
FALSE | Tidak berlaku | Tidak berlaku |
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
DP-3: Mengenkripsi data sensitif saat transit
Fitur
Data dalam Enkripsi Transit
Deskripsi: Layanan mendukung enkripsi dalam transit data untuk bidang data. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Catatan fitur: Semua dikonfigurasi secara default, kecuali Penyerapan data.
Untuk Analitik Log
Panduan Konfigurasi: Aktifkan transfer aman dalam layanan di mana ada data asli dalam fitur enkripsi transit bawaan. Terapkan HTTPS pada aplikasi dan layanan web apa pun dan pastikan TLS v1.2 atau yang lebih baru digunakan. Versi warisan seperti SSL 3.0, TLS v1.0 harus dinonaktifkan. Untuk manajemen jarak jauh Virtual Machines, gunakan SSH (untuk Linux) atau RDP/TLS (untuk Windows) alih-alih protokol yang tidak terenkripsi.
DP-4: Mengaktifkan enkripsi data tidak aktif secara default
Fitur
Enkripsi Data tidak Aktif Menggunakan Kunci Platform
Deskripsi: Enkripsi data tidak aktif menggunakan kunci platform didukung, konten pelanggan apa pun saat tidak aktif dienkripsi dengan kunci yang dikelola Microsoft ini. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | True | Microsoft |
Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.
DP-5: Menggunakan opsi kunci yang dikelola pelanggan dalam enkripsi data tidak aktif saat diperlukan
Fitur
Enkripsi Data tidak Aktif Menggunakan CMK
Deskripsi: Enkripsi data tidak aktif menggunakan kunci yang dikelola pelanggan didukung untuk konten pelanggan yang disimpan oleh layanan. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Catatan fitur: Data Azure Monitor adalah data tentang kesehatan layanan dan tidak dilindungi oleh Customer Lockbox secara default. Hanya Log yang dapat dilindungi oleh Lockbox, dan hanya untuk kluster khusus.
Panduan Konfigurasi: Data Azure Monitor hanya ditujukan untuk data kesehatan layanan, dan hanya Data Log yang disimpan dalam kluster khusus yang memungkinkan penggunaan Kunci terkelola Pelanggan untuk Data saat Enkripsi Tidak Aktif. Jika diperlukan untuk kepatuhan terhadap peraturan, tentukan kasus penggunaan dan cakupan layanan di mana enkripsi menggunakan kunci yang dikelola pelanggan diperlukan. Aktifkan dan terapkan enkripsi data tidak aktif menggunakan kunci yang dikelola pelanggan untuk layanan tersebut.
Referensi: Kunci yang dikelola pelanggan Azure Monitor
Manajemen Aset
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Manajemen aset.
AM-2: Hanya menggunakan layanan yang disetujui
Fitur
Dukungan Azure Policy
Deskripsi: Konfigurasi layanan dapat dipantau dan diberlakukan melalui Azure Policy. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | FALSE | Pelanggan |
Panduan Konfigurasi: Gunakan Microsoft Defender untuk Cloud untuk mengonfigurasi Azure Policy untuk mengaudit dan menerapkan konfigurasi sumber daya Azure Anda. Gunakan Azure Monitor untuk membuat peringatan saat ada deviasi konfigurasi yang terdeteksi pada sumber daya. Gunakan efek [tolak] dan [sebarkan jika tidak ada] Azure Policy untuk menerapkan konfigurasi aman di seluruh sumber daya Azure.
Referensi: Membuat pengaturan diagnostik dalam skala besar menggunakan Azure Policy
Pengelogan dan Deteksi Ancaman
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Pengelogan dan deteksi ancaman.
LT-1: Mengaktifkan kemampuan deteksi ancaman
Fitur
Microsoft Defender untuk Layanan / Penawaran Produk
Deskripsi: Layanan memiliki solusi Microsoft Defender khusus penawaran untuk memantau dan memperingatkan masalah keamanan. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
FALSE | Tidak berlaku | Tidak berlaku |
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
LT-4: Mengaktifkan pengelogan untuk penyelidikan keamanan
Fitur
Log Sumber Daya Azure
Deskripsi: Layanan menghasilkan log sumber daya yang dapat menyediakan metrik dan pengelogan khusus layanan yang ditingkatkan. Pelanggan dapat mengonfigurasi log sumber daya ini dan mengirimkannya ke sink data mereka sendiri seperti akun penyimpanan atau ruang kerja analitik log. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
True | True | Microsoft |
Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.
Referensi: Pengaturan diagnostik di Azure Monitor
Pencadangan dan Pemulihan
Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Pencadangan dan pemulihan.
BR-1: Pastikan pencadangan otomatis secara rutin
Fitur
Pencadangan Azure
Deskripsi: Layanan dapat dicadangkan oleh layanan Azure Backup. Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
FALSE | Tidak berlaku | Tidak berlaku |
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
Kemampuan Pencadangan Asli Layanan
Deskripsi: Layanan mendukung kemampuan pencadangan aslinya sendiri (jika tidak menggunakan Azure Backup). Pelajari lebih lanjut.
Didukung | Diaktifkan Secara Default | Tanggung Jawab Konfigurasi |
---|---|---|
FALSE | Tidak berlaku | Tidak berlaku |
Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.
Langkah berikutnya
- Lihat gambaran umum tolok ukur keamanan cloud Microsoft
- Pelajari selengkapnya tentang Garis besar keamanan Azure