Garis dasar keamanan Azure untuk Virtual Machine Scale Sets

Artikel
03/25/2024

Garis besar keamanan ini menerapkan panduan dari tolok ukur keamanan cloud Microsoft versi 1.0 ke Virtual Machine Scale Sets. Tolok ukur keamanan cloud Microsoft memberikan rekomendasi tentang bagaimana Anda dapat mengamankan solusi cloud Anda di Azure. Konten dikelompokkan menurut kontrol keamanan yang ditentukan oleh tolok ukur keamanan cloud Microsoft dan panduan terkait yang berlaku untuk Virtual Machine Scale Sets.

Anda dapat memantau garis besar keamanan ini dan rekomendasinya menggunakan Microsoft Defender untuk Cloud. definisi Azure Policy akan tercantum di bagian Kepatuhan Terhadap Peraturan di halaman portal Microsoft Defender untuk Cloud.

Saat fitur memiliki Definisi Azure Policy yang relevan, fitur tersebut tercantum dalam garis besar ini untuk membantu Anda mengukur kepatuhan dengan kontrol dan rekomendasi tolok ukur keamanan cloud Microsoft. Beberapa rekomendasi mungkin memerlukan paket Microsoft Defender berbayar untuk mengaktifkan skenario keamanan tertentu.

Catatan

Fitur yang tidak berlaku untuk Virtual Machine Scale Sets telah dikecualikan. Untuk melihat bagaimana Virtual Machine Scale Sets sepenuhnya memetakan tolok ukur keamanan cloud Microsoft, lihat file pemetaan garis besar keamanan Virtual Machine Scale Sets lengkap.

Profil keamanan

Profil keamanan merangkum perilaku Virtual Machine Scale Sets berdampak tinggi, yang dapat mengakibatkan peningkatan pertimbangan keamanan.

Atribut Perilaku Layanan	Nilai
Kategori Produk	Compute
Pelanggan dapat mengakses HOST / OS	Akses Penuh
Layanan dapat disebarkan ke jaringan virtual pelanggan	True
Menyimpan konten pelanggan saat tidak aktif	True

Keamanan jaringan

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Keamanan jaringan.

NS-1: Membangun batas segmentasi jaringan

Fitur

Integrasi Jaringan Virtual

Deskripsi: Layanan mendukung penyebaran ke Virtual Network privat pelanggan (VNet). Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	True	Microsoft

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

Referensi: Jaringan virtual dan komputer virtual di Azure

Dukungan Kelompok Keamanan Jaringan

Deskripsi: Lalu lintas jaringan layanan menghormati penetapan aturan Kelompok Keamanan Jaringan pada subnetnya. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	Salah	Pelanggan

Panduan Konfigurasi: Gunakan grup keamanan jaringan (NSG) untuk membatasi atau memantau lalu lintas berdasarkan port, protokol, alamat IP sumber, atau alamat IP tujuan. Buat aturan NSG untuk membatasi port terbuka layanan Anda (seperti mencegah port manajemen diakses dari jaringan yang tidak tepercaya). Ketahuilah bahwa secara default, NSG menolak semua lalu lintas masuk tetapi mengizinkan lalu lintas dari jaringan virtual dan Azure Load Balancer.

Saat membuat komputer virtual (VM) Azure, Anda harus membuat jaringan virtual atau menggunakan jaringan virtual yang ada dan mengonfigurasi VM dengan subnet. Pastikan bahwa semua subnet yang disebarkan memiliki Grup Keamanan Jaringan yang diterapkan dengan kontrol akses jaringan khusus untuk port dan sumber terpercaya aplikasi Anda.

Referensi: Kelompok keamanan jaringan

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.Compute:

Nama _{(portal Microsoft Azure)}	Deskripsi	Efek	Versi _(GitHub)
Rekomendasi pengerasan jaringan adaptif harus diterapkan pada komputer virtual yang menghadap internet	Azure Security Center menganalisis pola lalu lintas komputer virtual yang dihadapi Internet dan memberikan rekomendasi aturan Grup Keamanan Jaringan yang mengurangi potensi serangan permukaan	AuditIfNotExists, Dinonaktifkan	3.0.0

NS-2: Mengamankan layanan cloud dengan kontrol jaringan

Fitur

Menonaktifkan Akses Jaringan Publik

Deskripsi: Layanan mendukung penonaktifan akses jaringan publik baik melalui menggunakan aturan pemfilteran IP ACL tingkat layanan (bukan NSG atau Azure Firewall) atau menggunakan sakelar pengalih 'Nonaktifkan Akses Jaringan Publik'. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	Salah	Pelanggan

Catatan fitur: Layanan yang diinstal dengan sistem operasi dapat digunakan untuk menyediakan pemfilteran jaringan ke akses jaringan publik yang dinonaktifkan.

Panduan Konfigurasi: Tidak ada panduan Microsoft saat ini untuk konfigurasi fitur ini. Harap tinjau dan tentukan apakah organisasi Anda ingin mengonfigurasi fitur keamanan ini.

Manajemen identitas

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Manajemen identitas.

IM-1: Menggunakan identitas dan sistem autentikasi terpusat

Fitur

Autentikasi Azure AD Diperlukan untuk Akses Sarana Data

Deskripsi: Layanan mendukung penggunaan autentikasi Azure AD untuk akses sarana data. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	Salah	Pelanggan

Panduan Konfigurasi: Gunakan Azure Active Directory (Azure AD) sebagai metode autentikasi default untuk mengontrol akses sarana data Anda. Azure Active Directory melindungi data dengan menggunakan enkripsi yang kuat untuk data tidak aktif dan dalam transit. Azure Active Directory juga menyembunyikan, menyamarkan, dan menyimpan informasi masuk pengguna dengan aman. Anda dapat menggunakan identitas yang terkelola untuk mengautentikasi layanan apa pun yang mendukung autentikasi Azure AD, termasuk Key Vault, tanpa kredensial apa pun dalam kode Anda. Kode Anda yang berjalan di mesin virtual, dapat menggunakan identitas yang terkelola untuk meminta token akses untuk layanan yang mendukung autentikasi Azure AD.

Referensi: implementasi gabungan Azure AD

Metode Autentikasi Lokal untuk Akses Data Plane

Deskripsi: Metode autentikasi lokal yang didukung untuk akses sarana data, seperti nama pengguna dan kata sandi lokal. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	True	Microsoft

Catatan fitur: Hindari penggunaan metode atau akun autentikasi lokal, ini harus dinonaktifkan sedapat mungkin. Sebagai gantinya, gunakan Azure AD untuk mengautentikasi jika memungkinkan.

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

IM-3: Mengelola identitas aplikasi dengan aman dan otomatis

Fitur

Identitas Terkelola

Deskripsi: Tindakan bidang data mendukung autentikasi menggunakan identitas terkelola. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Gunakan identitas terkelola Azure alih-alih perwakilan layanan jika memungkinkan, yang dapat mengautentikasi ke layanan dan sumber daya Azure yang mendukung autentikasi Azure Active Directory (Azure AD). Info masuk identitas terkelola sepenuhnya dikelola, diputar, dan dilindungi oleh platform, menghindari info masuk yang dikodekan secara permanen dalam kode sumber atau file konfigurasi.

Referensi: Identitas terkelola untuk sumber daya Azure

Perwakilan Layanan

Deskripsi: Bidang data mendukung autentikasi menggunakan perwakilan layanan. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Catatan fitur: Perwakilan layanan dapat digunakan oleh aplikasi yang berjalan di Virtual Machine Scale Sets.

Panduan Konfigurasi: Tidak ada panduan Microsoft saat ini untuk konfigurasi fitur ini. Harap tinjau dan tentukan apakah organisasi Anda ingin mengonfigurasi fitur keamanan ini.

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.Compute:

Nama _{(portal Microsoft Azure)}	Deskripsi	Efek	Versi _(GitHub)
Ekstensi Konfigurasi Tamu komputer virtual harus disebarkan dengan identitas terkelola yang ditetapkan sistem	Ekstensi Konfigurasi Tamu memerlukan identitas terkelola yang ditetapkan sistem. Komputer virtual Azure dalam cakupan kebijakan ini tidak akan mematuhi kebijakan jika ekstensi Konfigurasi Tamu diinstal tetapi tidak memiliki identitas terkelola yang ditetapkan sistem. Pelajari lebih lanjut di https://aka.ms/gcpol	AuditIfNotExists, Dinonaktifkan	1.0.1

IM-8: Membatasi pemaparan info masuk dan rahasia

Fitur

Kredensial Layanan dan Rahasia Mendukung Integrasi dan Penyimpanan di Azure Key Vault

Deskripsi: Bidang data mendukung penggunaan asli Azure Key Vault untuk penyimpanan kredensial dan rahasia. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Catatan fitur: Dalam bidang data atau sistem operasi, layanan dapat memanggil Azure Key Vault untuk kredensial atau rahasia.

Panduan Konfigurasi: Pastikan bahwa rahasia dan kredensial disimpan di lokasi yang aman seperti Azure Key Vault, alih-alih menyematkannya ke dalam file kode atau konfigurasi.

Akses dengan hak istimewa

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Akses istimewa.

PA-1: Memisahkan dan membatasi pengguna dengan hak istimewa tinggi/administratif

Fitur

Akun Admin Lokal

Deskripsi: Layanan memiliki konsep akun administratif lokal. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	True	Microsoft

Catatan fitur: Hindari penggunaan metode atau akun autentikasi lokal, ini harus dinonaktifkan sedapat mungkin. Sebagai gantinya, gunakan Azure AD untuk mengautentikasi jika memungkinkan.

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

Referensi: Membuat komputer virtual dalam set skala menggunakan portal Azure

PA-7: Mengikuti prinsip administrasi yang cukup (prinsip hak istimewa paling rendah)

Fitur

Azure RBAC untuk Data Plane

Deskripsi: Azure Role-Based Access Control (Azure RBAC) dapat digunakan untuk mengelola akses ke tindakan sarana data layanan. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Gunakan kontrol akses berbasis peran Azure (Azure RBAC) untuk mengelola akses sumber daya Azure melalui penetapan peran bawaan. Peran RBAC Azure dapat ditetapkan ke pengguna, grup, perwakilan layanan, dan identitas terkelola.

Referensi: Peran Bawaan untuk Kontributor Komputer Virtual

PA-8: Menentukan proses akses untuk dukungan penyedia cloud

Fitur

Customer Lockbox

Deskripsi: Customer Lockbox dapat digunakan untuk akses dukungan Microsoft. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Dalam skenario dukungan di mana Microsoft perlu mengakses data Anda, gunakan Customer Lockbox untuk meninjau, lalu menyetujui atau menolak setiap permintaan akses data Microsoft.

Perlindungan data

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Perlindungan data.

DP-1: Menemukan, mengklasifikasikan, dan memberi label data sensitif

Fitur

Penemuan dan Klasifikasi Data Sensitif

Deskripsi: Alat (seperti Azure Purview atau Azure Information Protection) dapat digunakan untuk penemuan dan klasifikasi data dalam layanan. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
FALSE	Tidak berlaku	Tidak berlaku

Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.

DP-2: Memantau anomali dan ancaman yang menargetkan data sensitif

Fitur

Pencegahan Kebocoran/Kehilangan Data

Deskripsi: Layanan mendukung solusi DLP untuk memantau pergerakan data sensitif (dalam konten pelanggan). Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
FALSE	Tidak berlaku	Tidak berlaku

Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.

DP-3: Mengenkripsi data sensitif saat transit

Fitur

Data dalam Enkripsi Transit

Deskripsi: Layanan mendukung enkripsi dalam transit data untuk bidang data. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Catatan fitur: Protokol komunikasi tertentu seperti SSH dienkripsi secara default. Namun, layanan seperti RDP atau HTTP harus dikonfigurasi untuk menggunakan TLS untuk enkripsi.

Panduan Konfigurasi: Aktifkan transfer aman dalam layanan di mana ada data asli dalam fitur enkripsi transit bawaan. Terapkan HTTPS pada aplikasi dan layanan web apa pun dan pastikan TLS v1.2 atau yang lebih baru digunakan. Versi warisan seperti SSL 3.0, TLS v1.0 harus dinonaktifkan. Untuk manajemen jarak jauh Virtual Machines, gunakan SSH (untuk Linux) atau RDP/TLS (untuk Windows) alih-alih protokol yang tidak terenkripsi.

Referensi: Enkripsi dalam transit di VM

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.Compute:

Nama _{(portal Microsoft Azure)}	Deskripsi	Efek	Versi _(GitHub)
Komputer Windows harus dikonfigurasi untuk menggunakan protokol komunikasi yang aman	Untuk melindungi privasi informasi yang dikomunikasikan melalui Internet, komputer Anda harus menggunakan versi terbaru protokol kriptografi standar industri, Keamanan Lapisan Transportasi (TLS). TLS mengamankan komunikasi melalui jaringan dengan mengenkripsi koneksi antar mesin.	AuditIfNotExists, Dinonaktifkan	4.1.1

DP-4: Mengaktifkan enkripsi data tidak aktif secara default

Fitur

Enkripsi Data tidak Aktif Menggunakan Kunci Platform

Deskripsi: Enkripsi data tidak aktif menggunakan kunci platform didukung, konten pelanggan apa pun saat tidak aktif dienkripsi dengan kunci yang dikelola Microsoft ini. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	True	Microsoft

Catatan fitur: Selain enkripsi standar dengan kunci yang dikelola platform, pelanggan sensitif keamanan tinggi yang khawatir dengan risiko yang terkait dengan algoritma enkripsi, implementasi, atau kunci tertentu yang disusupi sekarang dapat memilih lapisan enkripsi tambahan menggunakan algoritma/mode enkripsi yang berbeda di lapisan infrastruktur menggunakan kunci enkripsi terkelola platform dan kunci yang dikelola pelanggan. Lapisan baru ini dapat diterapkan ke OS dan disk data, rekam jepret, dan gambar yang bertahan, yang semuanya akan dienkripsi saat tidak aktif dengan enkripsi ganda.

Untuk informasi lebih lanjut, silakan kunjungi: Enkripsi ganda saat tidak aktif.

Panduan Konfigurasi: Tidak ada konfigurasi tambahan yang diperlukan karena ini diaktifkan pada penyebaran default.

Referensi: Azure Disk Encryption untuk Virtual Machine Scale Sets

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.Compute:

Nama _{(portal Microsoft Azure)}	Deskripsi	Efek	Versi _(GitHub)
[Pratinjau]: Komputer virtual Linux harus mengaktifkan Azure Disk Encryption atau EncryptionAtHost.	Secara default, OS komputer virtual dan disk data dienkripsi saat tidak aktif menggunakan kunci yang dikelola platform; disk sementara dan cache data tidak dienkripsi, dan data tidak dienkripsi saat mengalir antara sumber daya komputasi dan penyimpanan. Gunakan Azure Disk Encryption atau EncryptionAtHost untuk mengenkripsi semua data ini. Kunjungi https://aka.ms/diskencryptioncomparison untuk membandingkan penawaran enkripsi. Kebijakan ini mengharuskan dua prasyarat untuk disebarkan ke cakupan penetapan kebijakan. Untuk detailnya, kunjungi https://aka.ms/gcpol.	AuditIfNotExists, Dinonaktifkan	1.2.0-preview

DP-5: Menggunakan opsi kunci yang dikelola pelanggan dalam enkripsi data tidak aktif saat diperlukan

Fitur

Enkripsi Data tidak Aktif Menggunakan CMK

Deskripsi: Enkripsi data saat tidak aktif menggunakan kunci yang dikelola pelanggan didukung untuk konten pelanggan yang disimpan oleh layanan. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Jika diperlukan untuk kepatuhan terhadap peraturan, tentukan kasus penggunaan dan cakupan layanan di mana enkripsi menggunakan kunci yang dikelola pelanggan diperlukan. Aktifkan dan terapkan enkripsi data tidak aktif menggunakan kunci yang dikelola pelanggan untuk layanan tersebut.

Disk virtual pada Virtual Machines (VM) dienkripsi saat tidak aktif menggunakan enkripsi sisi server atau enkripsi disk Azure (ADE). Azure Disk Encryption memanfaatkan fitur DM-Crypt Linux untuk mengenkripsi cakram terkelola dengan kunci yang dikelola pelanggan dalam VM tamu. Enkripsi sisi server dengan kunci yang dikelola pelanggan meningkat pada ADE dengan mengaktifkan Anda untuk menggunakan jenis OS dan gambar apa pun untuk mesin virtual Anda dengan mengenkripsi data di layanan Penyimpanan.

Saat Anda menentukan kunci yang dikelola pelanggan, kunci tersebut digunakan untuk melindungi dan mengontrol akses ke kunci yang mengenkripsi data Anda. Kunci yang dikelola pelanggan menawarkan fleksibilitas yang lebih besar untuk mengelola kontrol akses. Anda harus menggunakan Azure Key Vault atau Azure Key Vault Managed Hardware Security Module (HSM) untuk menyimpan kunci yang dikelola pelanggan Anda.

Anda dapat mengimpor kunci RSA ke Key Vault atau menghasilkan kunci RSA baru di Azure Key Vault. Disk yang dikelola Azure menangani enkripsi dan dekripsi dengan cara yang sepenuhnya transparan menggunakan enkripsi amplop. Ini mengenkripsi data menggunakan kunci enkripsi data (DEK) berbasis AES 256, yang dilindungi menggunakan kunci Anda. Layanan Penyimpanan menghasilkan kunci enkripsi data dan mengenkripsinya dengan kunci yang dikelola pelanggan menggunakan enkripsi RSA. Enkripsi amplop memungkinkan Anda memutar (mengubah) kunci secara berkala sesuai kebijakan kepatuhan tanpa memengaruhi VM Anda. Saat Anda memutar kunci, layanan Penyimpanan mengenkripsi ulang kunci enkripsi data dengan kunci baru yang dikelola pelanggan.

Disk Terkelola dan Key Vault atau HSM terkelola harus berada di wilayah Azure yang sama, tetapi dapat berada di langganan yang berbeda. Mereka juga harus berada di penyewa Azure Active Directory (Azure AD) yang sama, kecuali Anda mengenkripsi disk terkelola dengan kunci yang dikelola pelanggan lintas penyewa.

Referensi: Membuat dan mengonfigurasi brankas kunci untuk Azure Disk Encryption

DP-6: Menggunakan proses manajemen kunci yang aman

Fitur

Manajemen Kunci di Azure Key Vault

Deskripsi: Layanan ini mendukung integrasi Azure Key Vault untuk kunci, rahasia, atau sertifikat pelanggan apa pun. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Gunakan Azure Key Vault untuk membuat dan mengontrol siklus hidup kunci enkripsi Anda, termasuk pembuatan kunci, distribusi, dan penyimpanan. Putar dan cabut kunci Anda di Azure Key Vault dan layanan Anda berdasarkan jadwal yang ditentukan atau ketika ada penghentian atau kompromi kunci. Ketika ada kebutuhan untuk menggunakan kunci yang dikelola pelanggan (CMK) dalam beban kerja, layanan, atau tingkat aplikasi, pastikan Anda mengikuti praktik terbaik untuk manajemen kunci: Gunakan hierarki kunci untuk menghasilkan kunci enkripsi data (DEK) terpisah dengan kunci enkripsi kunci (KEK) Anda di brankas kunci Anda. Pastikan kunci terdaftar di Azure Key Vault dan direferensikan melalui ID kunci dari layanan atau aplikasi. Jika Anda perlu membawa kunci Anda sendiri (BYOK) ke layanan (seperti mengimpor kunci yang dilindungi HSM dari HSM lokal Anda ke Azure Key Vault), ikuti panduan yang direkomendasikan untuk melakukan pembuatan kunci awal dan transfer kunci.

Referensi: Membuat dan mengonfigurasi brankas kunci untuk Azure Disk Encryption

Manajemen Aset

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Manajemen aset.

AM-2: Hanya menggunakan layanan yang disetujui

Fitur

Dukungan Azure Policy

Deskripsi: Konfigurasi layanan dapat dipantau dan diberlakukan melalui Azure Policy. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Azure Policy dapat digunakan untuk menentukan perilaku yang diinginkan untuk VM Windows dan VM Linux organisasi Anda. Dengan menggunakan kebijakan, organisasi dapat menerapkan berbagai konvensi dan aturan di seluruh perusahaan dan menentukan dan menerapkan konfigurasi keamanan standar untuk Azure Virtual Machine Scale Sets. Penegakan perilaku yang diinginkan dapat membantu mengurangi risiko sambil berkontribusi pada keberhasilan organisasi.

Referensi: Definisi Azure Policy bawaan untuk Virtual Machine Scale Sets

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.Compute:

Nama _{(portal Microsoft Azure)}	Deskripsi	Efek	Versi _(GitHub)
Komputer virtual harus dimigrasikan ke sumber daya Azure Resource Manager baru	Gunakan Azure Resource Manager baru untuk komputer virtual Anda untuk memberikan peningkatan keamanan seperti: kontrol akses yang lebih kuat (RBAC), audit yang lebih baik, penerapan dan tata kelola berbasis Azure Resource Manager, akses ke identitas terkelola, akses ke brankas kunci untuk rahasia, berbasis Azure Active Directory autentikasi dan dukungan untuk tag dan grup sumber daya untuk manajemen keamanan yang lebih mudah	Audit, Tolak, Dinonaktifkan	1.0.0

AM-5: Menggunakan hanya aplikasi yang disetujui di mesin virtual

Fitur

Microsoft Defender untuk Cloud - Kontrol Aplikasi Adaptif

Deskripsi: Layanan dapat membatasi aplikasi pelanggan apa yang berjalan pada komputer virtual menggunakan Kontrol Aplikasi Adaptif di Microsoft Defender untuk Cloud. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Gunakan Microsoft Defender untuk kontrol aplikasi adaptif Cloud untuk menemukan aplikasi yang berjalan di komputer virtual (VM) dan menghasilkan daftar izin aplikasi untuk mengamanatkan aplikasi yang disetujui dapat berjalan di lingkungan VM.

Referensi: Gunakan kontrol aplikasi adaptif untuk mengurangi permukaan serangan komputer Anda

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.Compute:

Nama _{(portal Microsoft Azure)}	Deskripsi	Efek	Versi _(GitHub)
Kontrol aplikasi adaptif untuk menetapkan aplikasi yang aman harus diaktifkan di komputer Anda	Aktifkan kontrol aplikasi untuk menentukan daftar aplikasi yang diketahui aman yang sedang berjalan di komputer Anda, dan aktifkan pemberitahuan ketika aplikasi lain berjalan. Hal ini membantu memperkuat komputer Anda terhadap malware. Untuk menyederhanakan proses konfigurasi dan pemeliharaan aturan Anda, Security Center menggunakan pembelajaran mesin untuk menganalisis aplikasi yang berjalan di setiap komputer dan menyarankan daftar aplikasi yang diketahui aman.	AuditIfNotExists, Dinonaktifkan	3.0.0

Pengelogan dan Deteksi Ancaman

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Pengelogan dan deteksi ancaman.

LT-1: Mengaktifkan kemampuan deteksi ancaman

Fitur

Microsoft Defender untuk Layanan / Penawaran Produk

Deskripsi: Layanan memiliki solusi Microsoft Defender khusus penawaran untuk memantau dan memperingatkan masalah keamanan. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Defender for Server memperluas perlindungan ke komputer Windows dan Linux Anda yang berjalan di Azure. Defender for Server terintegrasi dengan Microsoft Defender untuk Titik Akhir untuk menyediakan deteksi dan respons titik akhir (EDR), dan juga menyediakan sejumlah fitur perlindungan ancaman tambahan, seperti garis besar keamanan dan penilaian tingkat OS, pemindaian penilaian kerentanan, kontrol aplikasi adaptif (AAC), pemantauan integritas file (FIM), dan banyak lagi.

Referensi: Gambaran umum Microsoft Defender untuk Server

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.Compute:

Nama _{(portal Microsoft Azure)}	Deskripsi	Efek	Versi _(GitHub)
Windows Defender Exploit Guard harus diaktifkan di komputer Anda	Windows Defender Exploit Guard menggunakan agen Konfigurasi Tamu Azure Policy. Exploit Guard memiliki empat komponen yang dirancang untuk mengunci perangkat dari berbagai vektor serangan dan memblokir perilaku yang biasa digunakan dalam serangan malware sekaligus memungkinkan perusahaan untuk menyeimbangkan risiko keamanan dan persyaratan produktivitas (khusus Windows).	AuditIfNotExists, Dinonaktifkan	2.0.0

LT-4: Mengaktifkan pengelogan untuk penyelidikan keamanan

Fitur

Log Sumber Daya Azure

Deskripsi: Layanan menghasilkan log sumber daya yang dapat menyediakan metrik dan pengelogan khusus layanan yang ditingkatkan. Pelanggan dapat mengonfigurasi log sumber daya ini dan mengirimkannya ke sink data mereka sendiri seperti akun penyimpanan atau ruang kerja analitik log. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Azure Monitor mulai secara otomatis mengumpulkan data metrik untuk host komputer virtual Anda saat Anda membuat VM. Namun, untuk mengumpulkan log dan data performa dari sistem operasi tamu komputer virtual, Anda harus menginstal agen Azure Monitor. Anda dapat menginstal agen dan mengonfigurasi pengumpulan menggunakan wawasan VM atau dengan membuat aturan pengumpulan data.

Referensi: Gambaran umum agen Analitik Log

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.Compute:

Nama _{(portal Microsoft Azure)}	Deskripsi	Efek	Versi _(GitHub)
[Pratinjau]: Agen pengumpulan data lalu lintas harus diinstal di mesin virtual Linux	Azure Security Center menggunakan agen Dependensi Microsoft untuk mengumpulkan data lalu lintas dari komputer virtual Azure Anda untuk mengaktifkan fitur perlindungan jaringan tingkat lanjut seperti visualisasi lalu lintas di peta jaringan, rekomendasi penguatan jaringan, dan ancaman jaringan tertentu.	AuditIfNotExists, Dinonaktifkan	pratinjau-1.0.2

Manajemen postur dan kerentanan

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Manajemen postur dan kerentanan.

PV-3: Menetapkan dan membangun konfigurasi yang aman untuk sumber daya komputasi

Fitur

Konfigurasi Status Azure Automation

Deskripsi: Azure Automation State Configuration dapat digunakan untuk mempertahankan konfigurasi keamanan sistem operasi. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Gunakan konfigurasi status Azure Automation untuk mempertahankan konfigurasi keamanan sistem operasi. Azure Automation State Configuration adalah layanan manajemen konfigurasi Azure yang memungkinkan Anda menulis, mengelola, dan mengkompilasi konfigurasi PowerShell Desired State Configuration (DSC) untuk simpul.

Konfigurasi Status Azure Automation memberikan beberapa keuntungan daripada penggunaan DSC di luar Azure. Layanan ini memungkinkan skalabilitas di ribuan komputer dengan cepat dan mudah dari lokasi terpusat yang aman. Anda dapat dengan mudah mengaktifkan komputer, menetapkan konfigurasi deklaratif, dan menampilkan laporan yang menunjukkan kepatuhan setiap komputer dengan status yang diinginkan sesuai dengan ketentuan Anda.

Referensi: Menggunakan Virtual Machine Scale Sets dengan Ekstensi Azure DSC

Agen Konfigurasi Tamu Azure Policy

Deskripsi: Azure Policy agen konfigurasi tamu dapat diinstal atau disebarkan sebagai ekstensi untuk menghitung sumber daya. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Gunakan Microsoft Defender untuk Cloud dan Azure Policy agen konfigurasi tamu untuk menilai dan memulihkan penyimpangan konfigurasi secara teratur pada komputer virtual Anda.

Referensi: Memahami fitur konfigurasi tamu Azure Policy

Gambar VM Kustom

Deskripsi: Layanan mendukung penggunaan gambar VM yang disediakan pengguna atau gambar bawaan dari marketplace dengan konfigurasi dasar tertentu yang telah diterapkan sebelumnya. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Gunakan gambar yang diperkeras yang telah dikonfigurasi sebelumnya dari pemasok tepercaya seperti Microsoft atau buat garis besar konfigurasi aman yang diinginkan ke dalam templat gambar VM

Referensi: Membuat dan menggunakan gambar kustom untuk set skala komputer virtual dengan Azure PowerShell

PV-4: Mengaudit dan menerapkan konfigurasi yang aman untuk sumber daya komputasi

Fitur

Komputer Virtual Peluncuran Tepercaya

Deskripsi: Peluncuran Tepercaya melindungi dari teknik serangan canggih dan persisten dengan menggabungkan teknologi infrastruktur seperti boot aman, vTPM, dan pemantauan integritas. Setiap teknologi menyediakan lapisan pertahanan lain terhadap ancaman canggih. Peluncuran tepercaya memungkinkan penyebaran komputer virtual yang aman dengan pemuat boot terverifikasi, kernel OS, dan driver, dan melindungi kunci, sertifikat, dan rahasia dengan aman di komputer virtual. Peluncuran tepercaya juga memberikan wawasan dan yakin tentang seluruh integritas rantai boot dan memastikan beban kerja tepercaya dan dapat diverifikasi. Peluncuran tepercaya terintegrasi dengan Microsoft Defender untuk Cloud untuk memastikan VM dikonfigurasi dengan benar, dengan membuktikan VM dari jarak jauh di-boot dengan cara yang sehat. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	Salah	Pelanggan

Catatan fitur: Peluncuran tepercaya tersedia untuk VM generasi 2. Peluncuran terpercaya membutuhkan pembuatan komputer virtual baru. Anda tidak dapat mengaktifkan peluncuran terpercaya pada komputer virtual yang ada dan awalnya dibuat tanpanya.

Panduan Konfigurasi: Peluncuran tepercaya dapat diaktifkan selama penyebaran VM. Aktifkan ketiganya - Boot Aman, vTPM, dan pemantauan boot integritas untuk memastikan postur keamanan terbaik untuk komputer virtual. Harap dicatat bahwa ada beberapa prasyarat termasuk onboarding langganan Anda ke Microsoft Defender untuk Cloud, menetapkan inisiatif Azure Policy tertentu, dan mengonfigurasi kebijakan firewall.

Referensi: Menyebarkan VM dengan peluncuran tepercaya diaktifkan

PV-5: Melakukan penilaian kerentanan

Fitur

Penilaian Kerentanan menggunakan Microsoft Defender

Deskripsi: Layanan dapat dipindai untuk pemindaian kerentanan menggunakan Microsoft Defender untuk Cloud atau kemampuan penilaian kerentanan tersemat layanan Microsoft Defender lainnya (termasuk Microsoft Defender untuk server, registri kontainer, App Service, SQL, dan DNS). Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	Salah	Pelanggan

Panduan Konfigurasi: Ikuti rekomendasi dari Microsoft Defender untuk Cloud untuk melakukan penilaian kerentanan pada komputer virtual Azure Anda.

Referensi: Gambaran umum Microsoft Defender untuk Server

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.Compute:

Nama _{(portal Microsoft Azure)}	Deskripsi	Efek	Versi _(GitHub)
Solusi penilaian kerentanan harus diaktifkan pada komputer virtual Anda	Mengaudit komputer virtual untuk mendeteksi apakah mereka menjalankan solusi penilaian kerentanan yang didukung. Komponen inti dari setiap risiko cyber dan program keamanan adalah identifikasi dan analisis kerentanan. Tingkat harga standar Azure Security Center mencakup pemindaian kerentanan untuk komputer virtual Anda tanpa biaya tambahan. Selain itu, Pusat Keamanan dapat secara otomatis menyebarkan alat ini untuk Anda.	AuditIfNotExists, Dinonaktifkan	3.0.0

PV-6: Secara cepat dan otomatis memulihkan kerentanan

Fitur

Manajemen Pembaruan Azure Automation

Deskripsi: Layanan dapat menggunakan Azure Automation Manajemen Pembaruan untuk menyebarkan patch dan pembaruan secara otomatis. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
FALSE	Tidak berlaku	Tidak berlaku

Catatan fitur: Microsoft menawarkan kemampuan lain untuk membantu Anda mengelola pembaruan untuk Azure VM atau set skala komputer virtual Azure yang harus Anda pertimbangkan sebagai bagian dari strategi manajemen pembaruan anda secara keseluruhan.

Jika Anda tertarik untuk menilai dan memperbarui mesin virtual Azure secara otomatis untuk menjaga kepatuhan keamanan dengan pembaruan Kritis dan Keamanan yang dirilis setiap bulan, tinjau Penerapan patch tamu mesin virtual otomatis. Ini adalah solusi manajemen pembaruan alternatif untuk Azure VM Anda guna memperbaruinya secara otomatis di luar jam sibuk, termasuk VM dalam set ketersediaan, dibandingkan dengan mengelola penyebaran pembaruan ke VM tersebut dari Manajemen Pembaruan di Azure Automation.

Jika Anda mengelola set skala komputer virtual Azure, tinjau cara melakukan peningkatan gambar OS otomatis untuk meningkatkan disk OS secara aman dan otomatis untuk semua instans dalam set skala.

Untuk informasi selengkapnya, silakan kunjungi: Peningkatan gambar OS otomatis Azure Virtual Machine Scale Set.

Panduan Konfigurasi: Fitur ini tidak didukung untuk mengamankan layanan ini.

Layanan Patching Tamu Azure

Deskripsi: Layanan dapat menggunakan Patching Tamu Azure untuk menyebarkan patch dan pembaruan secara otomatis. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	Salah	Pelanggan

Panduan Konfigurasi: Layanan dapat memanfaatkan mekanisme pembaruan yang berbeda seperti Peningkatan Gambar OS Otomatis dan Patching Tamu Otomatis. Kemampuan disarankan untuk menerapkan pembaruan keamanan dan kritis terbaru ke OS Tamu Komputer Virtual Anda dengan mengikuti Prinsip Penyebaran Aman.

Patching Tamu Otomatis memungkinkan Anda menilai dan memperbarui komputer virtual Azure secara otomatis untuk menjaga kepatuhan keamanan dengan pembaruan Kritis dan Keamanan yang dirilis setiap bulan. Updates diterapkan selama jam sibuk, termasuk VM dalam set ketersediaan. Kemampuan ini tersedia untuk VMSS Flexible Orchestration, dengan dukungan masa depan pada peta jalan untuk Uniform Orchestration.

Jika Anda menjalankan beban kerja tanpa status, Peningkatan Gambar OS Otomatis sangat ideal untuk menerapkan pembaruan terbaru untuk Seragam VMSS Anda. Dengan kemampuan putar kembali, pembaruan ini kompatibel dengan Marketplace atau Gambar kustom. Dukungan peningkatan bergulir di masa mendatang pada peta jalan untuk Orkestrasi Fleksibel.

Referensi: Patching Tamu VM Otomatis untuk Azure VM

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.Compute:

Nama _{(portal Microsoft Azure)}	Deskripsi	Efek	Versi _(GitHub)
[Pratinjau]: Pembaruan sistem harus dipasang pada komputer Anda (didukung oleh Pusat Pembaruan)	Komputer Anda tidak memiliki sistem, keamanan, dan pembaruan penting. Pembaruan perangkat lunak sering menyertakan patch penting pada lubang keamanan. Lubang semacam itu sering dieksploitasi dalam serangan malware sehingga sangat penting untuk memperbarui perangkat lunak Anda. Untuk menginstal semua tambalan yang luar biasa dan mengamankan komputer Anda, ikuti langkah-langkah remediasi.	AuditIfNotExists, Dinonaktifkan	1.0.0-pratinjau

Keamanan titik akhir

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Keamanan titik akhir.

ES-1: Menggunakan Deteksi dan Respons Titik Akhir (EDR)

Fitur

Solusi EDR

Deskripsi: Fitur Deteksi dan Respons Titik Akhir (EDR) seperti Azure Defender untuk server dapat disebarkan ke titik akhir. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Azure Defender untuk server (dengan Microsoft Defender untuk Titik Akhir terintegrasi) menyediakan kemampuan EDR untuk mencegah, mendeteksi, menyelidiki, dan merespons ancaman tingkat lanjut. Gunakan Microsoft Defender for untuk Cloud untuk menyebarkan Azure Defender untuk server untuk titik akhir Anda dan mengintegrasikan peringatan ke solusi SIEM Anda seperti Azure Sentinel.

Referensi: Lisensi terintegrasi untuk Microsoft Defender untuk Titik Akhir

ES-2: Gunakan perangkat lunak antimalware modern

Fitur

Solusi Anti-Malware

Deskripsi: Fitur anti-malware seperti Microsoft Defender Antivirus, Microsoft Defender untuk Titik Akhir dapat disebarkan di titik akhir. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Untuk Windows Server 2016 ke atas, Microsoft Defender untuk Antivirus diinstal secara default. Untuk Windows Server 2012 R2 ke atas, pelanggan dapat menginstal SCEP (System Center Endpoint Protection). Untuk Linux, pelanggan dapat memiliki pilihan untuk menginstal Microsoft Defender untuk Linux. Atau, pelanggan juga memiliki pilihan untuk menginstal produk anti-malware pihak ketiga.

Referensi: Microsoft Antimalware untuk Azure Cloud Services dan Virtual Machines

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.Compute:

Nama _{(portal Microsoft Azure)}	Deskripsi	Efek	Versi _(GitHub)
Masalah kesehatan perlindungan titik akhir harus diselesaikan pada komputer Anda	Mengatasi masalah kesehatan perlindungan titik akhir pada komputer virtual Anda untuk melindungi mereka dari ancaman dan kerentanan terbaru. Solusi perlindungan titik akhir yang didukung Azure Security Center didokumentasikan di sini - https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Penilaian perlindungan titik akhir didokumentasikan di sini - https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection.	AuditIfNotExists, Dinonaktifkan	1.0.0

ES-3: Memastikan perangkat lunak anti-malware dan tanda tangan diperbarui

Fitur

Pemantauan Kesehatan Solusi Anti-Malware

Deskripsi: Solusi anti-malware menyediakan pemantauan status kesehatan untuk pembaruan platform, mesin, dan tanda tangan otomatis. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Panduan Konfigurasi: Konfigurasikan solusi anti-malware Anda untuk memastikan platform, mesin, dan tanda tangan diperbarui dengan cepat dan konsisten dan statusnya dapat dipantau.

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.Compute:

Nama _{(portal Microsoft Azure)}	Deskripsi	Efek	Versi _(GitHub)
Masalah kesehatan perlindungan titik akhir harus diselesaikan pada komputer Anda	Mengatasi masalah kesehatan perlindungan titik akhir pada komputer virtual Anda untuk melindungi mereka dari ancaman dan kerentanan terbaru. Solusi perlindungan titik akhir yang didukung Azure Security Center didokumentasikan di sini - https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Penilaian perlindungan titik akhir didokumentasikan di sini - https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection.	AuditIfNotExists, Dinonaktifkan	1.0.0

Pencadangan dan Pemulihan

Untuk informasi selengkapnya, lihat tolok ukur keamanan cloud Microsoft: Pencadangan dan pemulihan.

BR-1: Pastikan pencadangan otomatis secara rutin

Fitur

Pencadangan Azure

Deskripsi: Layanan dapat dicadangkan oleh layanan Azure Backup. Pelajari lebih lanjut.

Didukung	Diaktifkan Secara Default	Tanggung Jawab Konfigurasi
True	FALSE	Pelanggan

Catatan fitur: Didukung untuk VMSS Flex dan bukan Seragam VMSS

Panduan Konfigurasi: Aktifkan Azure Backup dan target Azure Virtual Machines (VM), serta frekuensi dan periode retensi yang diinginkan. Ini termasuk pencadangan status sistem lengkap. Jika Anda menggunakan enkripsi cakram Azure, cadangan Azure VM secara otomatis menangani pencadangan kunci yang dikelola pelanggan. Untuk Azure Virtual Machines, Anda dapat menggunakan Azure Policy untuk mengaktifkan pencadangan otomatis.

Referensi: Cara mengambil rekam jepret instans set skala komputer virtual dan disk terkelola

Pemantauan Microsoft Defender untuk Cloud

Definisi bawaan Azure Policy - Microsoft.Compute:

Nama _{(portal Microsoft Azure)}	Deskripsi	Efek	Versi _(GitHub)
Azure Backup harus diaktifkan untuk Virtual Machines	Pastikan perlindungan Virtual Machines Azure Anda dengan mengaktifkan Azure Backup. Azure Backup adalah solusi perlindungan data yang aman dan hemat biaya untuk Azure.	AuditIfNotExists, Dinonaktifkan	3.0.0

Langkah berikutnya

Lihat gambaran umum tolok ukur keamanan cloud Microsoft
Pelajari selengkapnya tentang Garis besar keamanan Azure