Browser ini sudah tidak didukung.
Mutakhirkan ke Microsoft Edge untuk memanfaatkan fitur, pembaruan keamanan, dan dukungan teknis terkini.
Catatan
Livestream Mendatang Bergabunglah dengan tim Azure FastTrack saat membahas artikel ini. 23 Oktober 2024 | 10.00 - 11.00 (UTC-07.00) Waktu Pasifik (AS & Kanada). Daftar di sini.
Ringkasan: Untuk menerapkan prinsip Zero Trust ke komputer virtual Azure, Anda harus mengonfigurasi isolasi logis dengan grup sumber daya khusus, memanfaatkan Kontrol Akses Berbasis Peran (RBAC), mengamankan komponen boot komputer virtual, mengaktifkan kunci yang dikelola pelanggan dan enkripsi ganda, mengontrol aplikasi yang diinstal, mengonfigurasi akses dan pemeliharaan komputer virtual yang aman, dan mengaktifkan deteksi dan perlindungan ancaman tingkat lanjut.
Artikel ini menyediakan langkah-langkah untuk menerapkan prinsip Zero Trust ke komputer virtual di Azure:
| Prinsip Zero Trust | Definisi | Terpenuhi oleh |
|---|---|---|
| Memverifikasi secara eksplisit | Selalu autentikasi dan otorisasi berdasarkan semua titik data yang tersedia. | Gunakan akses aman. |
| Gunakan akses yang paling tidak istimewa | Batasi akses pengguna dengan Just-In-Time dan Just-Enough-Access (JIT/JEA), kebijakan adaptif berbasis risiko, dan perlindungan data. | Manfaatkan Kontrol Akses Berbasis Peran (RBAC) dan kontrol aplikasi yang berjalan di komputer virtual. |
| Mengasumsikan pembobolan | Minimalkan radius ledakan dan akses segmen. Verifikasi enkripsi menyeluruh dan gunakan analitik untuk mendapatkan visibilitas, mendorong deteksi ancaman, dan meningkatkan pertahanan. | Isolasi komputer virtual dengan grup sumber daya, amankan komponennya, gunakan enkripsi ganda, dan aktifkan deteksi dan perlindungan ancaman tingkat lanjut. |
Artikel ini adalah bagian dari serangkaian artikel yang menunjukkan cara menerapkan prinsip Zero Trust di seluruh lingkungan di Azure yang mencakup jaringan virtual spoke (VNet) yang menghosting beban kerja berbasis komputer virtual. Untuk gambaran umum, lihat Menerapkan prinsip Zero Trust ke infrastruktur Azure.
Prinsip Zero Trust untuk komputer virtual diterapkan di seluruh arsitektur logis, dari tingkat penyewa dan direktori hingga lapisan data dan aplikasi dalam setiap komputer virtual.
Diagram berikut menunjukkan komponen arsitektur logis.
Di dalam diagram ini:
Artikel ini menjelaskan langkah-langkah untuk menerapkan prinsip Zero Trust di seluruh arsitektur logis ini, menggunakan langkah-langkah ini.
| Langkah | Tugas | Prinsip Zero Trust diterapkan |
|---|---|---|
| 1 | Konfigurasikan isolasi logis dengan menyebarkan komputer virtual ke grup sumber daya khusus. | Mengasumsikan pembobolan |
| 2 | Manfaatkan Kontrol Akses Berbasis Peran (RBAC). | Verifikasi secara eksplisit Gunakan akses yang paling tidak istimewa |
| 3 | Komponen boot komputer virtual yang aman termasuk boot loader, kernel OS, dan driver. Lindungi kunci, sertifikat, dan rahasia dengan aman di Modul Platform Tepercaya (TPM). | Mengasumsikan pembobolan |
| 4 | Aktifkan kunci yang dikelola pelanggan dan enkripsi ganda. | Mengasumsikan pembobolan |
| 5 | Kontrol aplikasi yang diinstal pada komputer virtual. | Gunakan akses yang paling tidak istimewa |
| 6 | Mengonfigurasi akses aman (tidak ditampilkan pada gambar arsitektur logis). | Verifikasi secara eksplisit Gunakan akses dengan hak istimewa paling sedikit Mengasumsikan pembobolan |
| 7 | Siapkan pemeliharaan aman komputer virtual (tidak ditampilkan pada angka arsitektur logis). | Mengasumsikan pembobolan |
| 8 | Aktifkan deteksi dan perlindungan ancaman tingkat lanjut (tidak ditampilkan pada angka arsitektur logis). | Mengasumsikan pembobolan |
Mulailah dengan mengisolasi komputer virtual dalam grup sumber daya khusus. Anda dapat mengisolasi komputer virtual ke dalam grup sumber daya yang berbeda berdasarkan tujuan, klasifikasi data, dan persyaratan tata kelola, seperti kebutuhan untuk mengontrol izin dan pemantauan.
Menggunakan grup sumber daya khusus memungkinkan Anda mengatur kebijakan dan izin yang berlaku untuk semua komputer virtual dalam grup sumber daya. Anda kemudian dapat menggunakan kontrol akses berbasis peran (RBAC) untuk membuat akses dengan hak istimewa paling sedikit ke sumber daya Azure yang terkandung dalam grup sumber daya.
Untuk informasi selengkapnya tentang membuat dan mengelola grup sumber daya, lihat Mengelola grup sumber daya Azure dengan menggunakan portal Azure.
Anda menetapkan komputer virtual ke grup sumber daya saat pertama kali membuat komputer virtual, seperti yang ditunjukkan di sini.
Zero Trust memerlukan konfigurasi akses dengan hak istimewa paling sedikit. Untuk melakukannya, Anda perlu membatasi akses pengguna dengan akses just-in-time dan just-enough (JIT/JEA) berdasarkan peran, beban kerja, dan klasifikasi data mereka.
Peran bawaan berikut umumnya digunakan untuk akses komputer virtual:
Untuk menggabungkan komputer virtual ke VNet, Anda dapat menggunakan izin kustom Microsoft.Network/virtualNetworks/subnets/join/action untuk membuat peran kustom.
Ketika peran kustom ini digunakan dengan Identitas Terkelola dan Kebijakan Akses Bersyar, Anda dapat menggunakan status perangkat, klasifikasi data, anomali, lokasi, dan identitas untuk memaksa autentikasi multifaktor dan secara terperinci mengizinkan akses berdasarkan kepercayaan terverifikasi.
Untuk memperluas realm kontrol Anda di luar sistem dan memungkinkan penyewa ID Microsoft Entra Anda dengan Microsoft Intelligent Security Graph untuk mendukung akses yang aman, buka bilah Manajemen komputer virtual dan aktifkan Identitas Terkelola yang Ditetapkan Sistem, seperti yang ditunjukkan di sini.
Catatan
Fitur ini hanya tersedia untuk Azure Virtual Desktop, Windows Server 2019, Windows 10, dan Linux Distro menggunakan akses berbasis sertifikat.
Ikuti langkah-langkah ini:
Penyebaran komputer virtual yang ditingkatkan memungkinkan Anda memilih jenis keamanan dan menggunakan boot aman dan vTPM saat Anda membuatnya, seperti yang ditunjukkan di sini.
Menggunakan kunci yang dikelola pelanggan dan enkripsi ganda memastikan bahwa jika disk diekspor, itu tidak dapat dibaca atau dapat berfungsi. Dengan memastikan bahwa kunci disimpan secara privat dan disk dienkripsi ganda, Anda melindungi dari pelanggaran yang mencoba mengekstrak informasi disk.
Untuk informasi tentang cara mengonfigurasi kunci enkripsi yang dikelola pelanggan dengan Azure Key Vault, lihat Menggunakan portal Azure untuk mengaktifkan enkripsi sisi server dengan kunci yang dikelola pelanggan untuk disk terkelola. Ada biaya tambahan untuk menggunakan Azure Key Vault.
Aktifkan enkripsi sisi server Azure Disk Storage untuk:
Aktifkan enkripsi sisi server di host untuk enkripsi end-to-end data komputer virtual Anda.
Setelah menyelesaikan prosedur ini, Anda menggunakan kunci enkripsi yang dikelola pelanggan untuk mengenkripsi disk dalam komputer virtual Anda.
Anda memilih jenis enkripsi pada bilah Disk untuk konfigurasi komputer virtual. Untuk Jenis enkripsi, pilih Enkripsi ganda dengan kunci yang dikelola platform dan dikelola pelanggan, seperti yang ditunjukkan di sini.
Penting untuk mengontrol aplikasi yang diinstal pada komputer virtual Anda:
Anda dapat menggunakan fitur Aplikasi Komputer Virtual untuk mengontrol aplikasi yang diinstal pada komputer virtual. Dengan fitur ini, Anda memilih aplikasi komputer virtual mana yang akan diinstal. Fitur ini menggunakan Azure Compute Gallery untuk menyederhanakan manajemen aplikasi untuk komputer virtual. Saat digunakan bersama dengan RBAC, Anda dapat memastikan bahwa hanya aplikasi tepercaya yang tersedia untuk pengguna.
Anda memilih aplikasi komputer virtual pada bilah Tingkat Lanjut untuk konfigurasi komputer virtual, seperti yang ditunjukkan di sini.
Untuk mengonfigurasi akses aman:
Dalam diagram:
Pertama, pastikan bahwa komunikasi antara komponen di lingkungan Azure aman.
Dalam arsitektur referensi, Azure Bastion menyediakan koneksi aman ke komputer virtual. Azure Bastion bertindak sebagai broker RDP/SSH dan tidak berinteraksi dengan protokol RDP sistem fisik Anda. Ini juga memungkinkan Anda mengurangi jumlah alamat IP yang menghadap publik.
Diagram berikut menunjukkan komponen komunikasi yang aman untuk komputer virtual.
Di Langkah 2. Manfaatkan Kontrol Akses Berbasis Peran, Anda mengonfigurasi integrasi Microsoft Entra dan identitas terkelola. Ini memungkinkan Anda menyiapkan autentikasi multifaktor Azure untuk Azure Virtual Desktop atau untuk server yang menjalankan Windows Server 2019 atau yang lebih baru. Anda juga dapat Masuk ke VM Linux dengan kredensial Microsoft Entra. Manfaat tambahan dari ini adalah komputer yang terhubung ke komputer virtual juga harus didaftarkan ke penyewa ID Microsoft Entra Anda agar diizinkan untuk terhubung.
Saat mengonfigurasi autentikasi multifaktor dengan akses bersyarkat dan kebijakan terkait, gunakan kebijakan yang direkomendasikan yang ditetapkan untuk Zero Trust sebagai panduan. Ini termasuk Kebijakan titik awal yang tidak memerlukan pengelolaan perangkat. Idealnya, perangkat yang mengakses komputer virtual Anda dikelola dan Anda dapat menerapkan kebijakan Enterprise , yang direkomendasikan untuk Zero Trust. Untuk informasi selengkapnya, lihat Identitas Common Zero Trust dan kebijakan akses perangkat.
Diagram berikut menunjukkan kebijakan yang direkomendasikan untuk Zero Trust.
Ingatlah bahwa nama pengguna dan kata sandi dapat disusupi 100%. Dengan menggunakan autentikasi multifaktor, Anda mengurangi risiko penyusupan sebesar 99,9%. Ini memerlukan lisensi Microsoft Entra ID P1.
Catatan
Anda juga dapat menggunakan VPN yang digunakan untuk menyambungkan ke komputer virtual di Azure. Namun, Anda harus yakin untuk menggunakan metode untuk memverifikasi secara eksplisit. Membuat terowongan yang "tepercaya" terlepas dari bagaimana mereka digunakan dapat lebih berisiko daripada memiliki koneksi tertentu yang sangat diverifikasi.
Tidak ada jumlah keamanan di lapisan Jaringan, Transportasi, atau Aplikasi yang penting jika Anda tidak berasal dari sumber tepercaya, terverifikasi, dan aman.
Gunakan Stasiun Kerja Akses Istimewa (PAW) untuk memastikan perangkat yang mengakses komputer virtual sehat. PAW dikonfigurasi khusus untuk akses istimewa sehingga admin menggunakan perangkat yang memiliki:
Untuk informasi selengkapnya tentang opsi penyebaran, lihat Penyebaran akses istimewa.
Pemeliharaan komputer virtual yang aman meliputi:
Anti-malware membantu melindungi komputer virtual Anda dari ancaman seperti file berbahaya dan adware, dll. Anda dapat menggunakan perangkat lunak anti-malware dari opsi vendor seperti Microsoft, Symantec, Trend Micro, dan Kaspersky.
Microsoft Antimalware adalah sumber daya tanpa biaya yang menyediakan kemampuan perlindungan real-time untuk membantu deteksi, karantina, dan pemberantasan perangkat lunak berbahaya, spyware, dan virus:
Mengotomatiskan pembaruan pada sistem memastikan mereka terlindungi dari eksploitasi malware dan kesalahan konfigurasi terbaru. Ada pembaruan otomatis dengan bantuan dalam proses verifikasi platform tepercaya.
Berkonsentrasi pada Pemeliharaan dan Pembaruan Komputer Virtual Azure untuk memastikan sistem Anda diperkuat terhadap ketidakamanan konfigurasi:
Sistem operasi yang didukung oleh Manajemen Pembaruan meliputi hal-hal berikut:
Lihat panduan tambahan ini:
Perlindungan ancaman untuk infrastruktur Azure disediakan oleh Microsoft Defender untuk Cloud. Perlindungan ini diperluas ke komputer virtual saat Anda menyediakan Pertahanan Microsoft untuk Server, seperti yang ditunjukkan dalam diagram berikut.
Dalam diagram:
Perlindungan ancaman tingkat lanjut memverifikasi aktivitas yang terjadi pada komputer virtual berdasarkan inteligensi ancaman Microsoft. Ini mencari konfigurasi dan aktivitas tertentu yang menunjukkan bahwa mungkin ada pelanggaran. Ini memungkinkan prinsip Verifikasi secara eksplisit dan Asumsikan pelanggaran Zero Trust.
Pertahanan Microsoft untuk Server mencakup hal berikut:
Ilustrasi ini adalah replika ilustrasi referensi dalam artikel ini. Unduh dan sesuaikan ini untuk organisasi dan pelanggan Anda sendiri. Ganti logo Contoso dengan logo Anda sendiri.
| Item | Deskripsi |
|---|---|
 Unduh Visio Diperbarui Oktober 2024 |
Menerapkan prinsip Zero Trust ke Azure IaaS Gunakan ilustrasi ini dengan artikel ini: - Ringkasan - Penyimpanan Azure - Mesin virtual - Jaringan virtual spoke Azure - Jaringan virtual hub Azure |
 Unduh Visio Diperbarui Oktober 2024 |
Menerapkan prinsip Zero Trust ke Azure IaaS — Poster satu halaman Gambaran umum satu halaman tentang proses untuk menerapkan prinsip Zero Trust ke lingkungan IaaS Azure. |
Untuk ilustrasi teknis tambahan, lihat Ilustrasi Zero Trust untuk arsitek dan pelaksana TI.
| Pelatihan | Mengamankan disk komputer virtual Azure Anda |
|---|---|
|
Pelajari cara menggunakan Azure Disk Encryption (ADE) untuk mengenkripsi OS dan disk data pada komputer virtual yang ada dan baru. Dalam modul ini, Anda mempelajari cara: |
Untuk pelatihan selengkapnya tentang Azure, lihat seluruh katalog Microsoft:
Telusuri semua - Pelatihan | Microsoft Learn
| Pelatihan | Menerapkan keamanan host komputer virtual di Azure |
|---|---|
|
Dalam jalur pembelajaran ini, pelajari cara melindungi dan mengeraskan komputer virtual Anda di Azure. |
Untuk pelatihan selengkapnya tentang komputer virtual di Azure, lihat sumber daya ini di katalog Microsoft:
Komputer virtual di Azure | Microsoft Learn
Lihat artikel tambahan ini untuk menerapkan prinsip Zero Trust ke Azure:
Pelatihan
Jalur pembelajaran
Menerapkan keamanan host mesin virtual di Azure - Training
Pelajari cara melindungi dan mengeraskan mesin virtual Anda di Azure
Sertifikasi
Microsoft Certified: Azure Virtual Desktop Specialty - Certifications
Rencanakan, berikan, kelola, dan pantau pengalaman desktop virtual dan aplikasi jarak jauh di Microsoft Azure untuk perangkat apa pun.
Dokumentasi
Bagaimana cara menerapkan prinsip Zero Trust ke Azure IaaS?
Gambaran umum tentang cara menerapkan prinsip Zero Trust ke komponen dan infrastruktur Azure IaaS.
Bagaimana cara menerapkan prinsip Zero Trust ke penyimpanan di Azure?
Cara menerapkan prinsip Zero Trust ke penyimpanan Azure.
Fitur keamanan yang digunakan dengan VM Azure - Azure security
Artikel ini menyediakan gambaran umum fitur keamanan Azure inti yang dapat digunakan dengan Azure Virtual Machines.