Details van het ingebouwde initiatief RMIT Malaysia Regulatory Compliance

In het volgende artikel wordt beschreven hoe de ingebouwde initiatiefdefinitie naleving van Azure Policy-regelgeving wordt toegewezen aan nalevingsdomeinen en controles in RMIT Maleisië. Zie RMIT Maleisië voor meer informatie over deze nalevingsstandaard. Als u het eigendom wilt begrijpen, bekijkt u het beleidstype en de gedeelde verantwoordelijkheid in de cloud.

De volgende toewijzingen zijn voor de controles van RMIT Maleisië . Veel van de beheeropties worden geïmplementeerd met een Azure Policy-initiatiefdefinitie. Als u de complete initiatiefdefinitie wilt bekijken, opent u Beleid in de Azure-portal en selecteert u de pagina Definities. Zoek en selecteer vervolgens de ingebouwde initiatiefdefinitie RMIT Malaysia Regulatory Compliance.

Belangrijk

Elke beheeroptie hieronder is gekoppeld aan een of meer Azure Policy-definities. Met deze beleidsregels kunt u de compliance beoordelen met de beheeroptie. Er is echter vaak geen één-op-één- of volledige overeenkomst tussen een beheeroptie en een of meer beleidsregels. Als zodanig verwijst de term Conform in Azure Policy alleen naar de beleidsdefinities zelf. Dit garandeert niet dat u volledig conform bent met alle vereisten van een beheeroptie. Daarnaast bevat de nalevingsstandaard beheeropties die op dit moment nog niet worden beschreven door Azure Policy-definities. Daarom is naleving in Azure Policy slechts een gedeeltelijke weergave van uw algemene nalevingsstatus. De koppelingen tussen de beheeropties voor nalevingsdomeinen en Azure Policy definities voor deze nalevingsstandaard kunnen na verloop van tijd veranderen. Als u de wijzigingsgeschiedenis wilt bekijken, raadpleegt u de GitHub Commit-geschiedenis.

Cryptografie

Cryptografie - 10.16

Id: RMiT 10.16 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Beheerde HSM van Azure Key Vault moet beveiliging tegen opschonen zijn ingeschakeld	Het verwijderen van een door Azure Key Vault beheerde HSM kan leiden tot permanent gegevensverlies. Een kwaadwillende insider in uw organisatie kan azure Key Vault Managed HSM mogelijk verwijderen en opschonen. Beveiliging tegen opschonen beschermt u tegen insider-aanvallen door een verplichte bewaarperiode af te dwingen voor voorlopig verwijderde beheerde HSM van Azure Key Vault. Niemand binnen uw organisatie of Microsoft kan uw beheerde HSM van Azure Key Vault leegmaken tijdens de bewaarperiode voor voorlopig verwijderen.	Controleren, Weigeren, Uitgeschakeld	1.0.0
SSL-verbinding afdwingen moet worden ingeschakeld voor PostgreSQL-databaseservers	Azure Database for PostgreSQL biedt ondersteuning voor het gebruik van Secure Sockets Layer (SSL) om uw Azure Database for PostgreSQL-server te verbinden met clienttoepassingen. Het afdwingen van SSL-verbindingen tussen uw databaseserver en clienttoepassingen zorgt dat u bent beschermt tegen 'man in the middle'-aanvallen omdat de gegevensstroom tussen de server en uw toepassing wordt versleuteld. Deze configuratie dwingt af dat SSL altijd is ingeschakeld voor toegang tot uw databaseserver.	Controle, uitgeschakeld	1.0.1
Infrastructuurversleuteling moet zijn ingeschakeld voor Azure Database for MySQL-servers	Schakel infrastructuurversleuteling in voor Azure Database for MySQL-servers als u een hogere mate van zekerheid wilt hebben dat de gegevens veilig zijn. Wanneer infrastructuurversleuteling is ingeschakeld, worden de data-at-rest twee keer versleuteld met behulp van FIPS 140-2-compatibele, door Microsoft beheerde sleutels.	Controleren, Weigeren, Uitgeschakeld	1.0.0
Infrastructuurversleuteling moet zijn ingeschakeld voor Azure Database for PostgreSQL-servers	Schakel infrastructuurversleuteling in voor Azure Database for PostgreSQL-servers als u een hogere mate van zekerheid wilt hebben dat de gegevens veilig zijn. Wanneer infrastructuurversleuteling is ingeschakeld, worden de data-at-rest twee keer versleuteld met behulp van FIPS 140-2-compatibele, door Microsoft beheerde sleutels	Controleren, Weigeren, Uitgeschakeld	1.0.0
Voor sleutelkluizen moet verwijderingsbeveiliging zijn ingeschakeld	Kwaadwillende verwijdering van een sleutelkluis kan leiden tot permanent gegevensverlies. U kunt permanent gegevensverlies voorkomen door beveiliging tegen opschonen en voorlopig verwijderen in te schakelen. Beveiliging tegen leegmaken beschermt u tegen aanvallen van insiders door een verplichte bewaarperiode tijdens voorlopige verwijdering af te dwingen voor sleutelkluizen. Gedurende de periode van voorlopige verwijdering kan niemand binnen uw organisatie of Microsoft uw sleutelkluizen leegmaken. Houd er rekening mee dat sleutelkluizen die na 1 september 2019 zijn gemaakt, standaard voorlopig verwijderen zijn ingeschakeld.	Controleren, Weigeren, Uitgeschakeld	2.1.0
Voorlopig verwijderen moet zijn ingeschakeld voor sleutelkluizen	Als u een sleutelkluis verwijdert zonder dat de functie voor voorlopig verwijderen is ingeschakeld, worden alle geheimen, sleutels en certificaten die zijn opgeslagen in de sleutelkluis permanent verwijderd. Onbedoeld verwijderen van een sleutelkluis kan leiden tot permanent gegevensverlies. Met voorlopig verwijderen kunt u een per ongeluk verwijderde sleutelkluis herstellen voor een configureerbare bewaarperiode.	Controleren, Weigeren, Uitgeschakeld	3.0.0
Beveiligde overdracht naar opslagaccounts moet zijn ingeschakeld	Controleer de vereiste van beveiligde overdracht in uw opslagaccount. Beveiligde overdracht is een optie die afdwingt dat uw opslagaccount alleen aanvragen van beveiligde verbindingen (HTTPS) accepteert. Het gebruik van HTTPS zorgt voor verificatie tussen de server en de service en beveiligt gegevens tijdens de overdracht tegen netwerklaagaanvallen, zoals man-in-the-middle, meeluisteren en sessie-hijacking	Controleren, Weigeren, Uitgeschakeld	2.0.0
Voor met SQL beheerde exemplaren moeten door de klant beheerde sleutels worden gebruikt voor het versleutelen van data-at-rest	TDE (Transparent Data Encryption) implementeren met uw eigen sleutel biedt u verbeterde transparantie en controle voor TDE-beveiliging, verbeterde beveiliging via een externe service met HSM, en bevordering van scheiding van taken. Deze aanbeveling is van toepassing op organisaties met een gerelateerde nalevingsvereiste.	Controleren, Weigeren, Uitgeschakeld	2.0.0
Voor opslagaccounts moet versleuteling van infrastructuur zijn ingeschakeld	Schakel versleuteling van de infrastructuur in voor een hogere mate van zekerheid dat de gegevens veilig zijn. Wanneer infrastructuurversleuteling is ingeschakeld, worden gegevens in een opslagaccount twee keer versleuteld.	Controleren, Weigeren, Uitgeschakeld	1.0.0
Transparent Data Encryption in SQL-databases moet zijn ingeschakeld	Transparante gegevensversleuteling moet zijn ingeschakeld om data-at-rest te beveiligen en te voldoen aan de nalevingsvereisten	AuditIfNotExists, uitgeschakeld	2.0.0

Cryptografie - 10.19

Id: RMiT 10.19 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Azure Defender voor Key Vault moet zijn ingeschakeld	Azure Defender voor Key Vault biedt een extra beschermlaag en beveiligingsinformatie die ongebruikelijke en mogelijk schadelijke pogingen detecteren voor toegang tot of het aanvallen van Key Vault-accounts.	AuditIfNotExists, uitgeschakeld	1.0.3
Zowel besturingssystemen als gegevensschijven in Azure Kubernetes Service-clusters moeten worden versleuteld met door de klant beheerde sleutels	Het versleutelen van besturingssysteem- en gegevensschijven met door de klant beheerde sleutels biedt meer controle en flexibiliteit in sleutelbeheer. Dit is een algemene vereiste in veel regelgevings- en compliancestandaarden.	Controleren, Weigeren, Uitgeschakeld	1.0.1
Geografisch redundante back-up moet zijn ingeschakeld voor Azure Database for MySQL	Met Azure Database for MySQL kunt u de redundantieoptie voor uw databaseserver kiezen. Deze kan worden ingesteld op een geografisch redundante back-upopslag waarin de gegevens niet alleen worden opgeslagen in de regio waar uw server wordt gehost, maar ook worden gerepliceerd naar een koppelde regio om een hersteloptie te bieden ingeval van storing in uw regio. Het configureren van geografisch redundante opslag voor back-up is alleen toegestaan tijdens het maken van een server.	Controle, uitgeschakeld	1.0.1
Key Vault moet gebruikmaken van een virtuele-netwerkservice-eindpunt	Met dit beleid worden alle exemplaren van Key Vault gecontroleerd die niet zijn geconfigureerd voor het gebruik van een virtuele-netwerkservice-eindpunt.	Controle, uitgeschakeld	1.0.0
PostgreSQL-servers moeten door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen	Gebruik door de klant beheerde sleutels om de versleuteling van uw inactieve PostgreSQL-servers te beheren. Standaard worden de gegevens in rust versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault-sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt de volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, met inbegrip van rotatie en beheer.	AuditIfNotExists, uitgeschakeld	1.0.4
Voor SQL Server moeten door de klant beheerde sleutels worden gebruikt voor het versleutelen van data-at-rest	TDE (Transparent Data Encryption) implementeren met uw eigen sleutel biedt verbeterde transparantie en controle voor TDE-beveiliging, verbeterde beveiliging via een externe service met HSM, en bevordering van scheiding van taken. Deze aanbeveling is van toepassing op organisaties met een gerelateerde nalevingsvereiste.	Controleren, Weigeren, Uitgeschakeld	2.0.1

Cryptografie - 10.20

Id: RMiT 10.20 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
[Afgeschaft]: Voor functie-apps moet 'Clientcertificaten (binnenkomende clientcertificaten)' zijn ingeschakeld	Met clientcertificaten kan de app een certificaat aanvragen voor binnenkomende aanvragen. Alleen clients met een geldig certificaat kunnen de app bereiken. Dit beleid is vervangen door een nieuw beleid met dezelfde naam, omdat Http 2.0 geen ondersteuning biedt voor clientcertificaten.	Controle, uitgeschakeld	3.1.0 afgeschaft
App Service-apps moeten clientcertificaten (binnenkomende clientcertificaten) hebben ingeschakeld	Met clientcertificaten kan de app een certificaat aanvragen voor binnenkomende aanvragen. Alleen clients die een geldig certificaat hebben, kunnen de app bereiken. Dit beleid is van toepassing op apps met Http-versie ingesteld op 1.1.	AuditIfNotExists, uitgeschakeld	1.0.0

Datacenterwerkzaamheden

Datacenterbewerkingen - 10.27

Id: RMiT 10.27 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Implementeren - Log Analytics-extensie configureren die moet worden ingeschakeld op virtuele-machineschaalsets van Windows	Implementeer de Log Analytics-extensie voor virtuele-machineschaalsets van Windows als de installatiekopieën van de virtuele machine in de gedefinieerde lijst voorkomt en de extensie niet is geïnstalleerd. Als uw schaalset upgradePolicy is ingesteld op Handmatig, moet u de extensie toepassen op alle virtuele machines in de set door ze bij te werken. Afschaffingsmelding: De Log Analytics-agent bevindt zich op een afschaffingspad en wordt niet ondersteund na 31 augustus 2024. U moet vóór die datum migreren naar de vervangende Azure Monitor-agent.	DeployIfNotExists, uitgeschakeld	3.1.0
Virtuele machines moeten worden gemigreerd naar nieuwe Azure Resource Manager-resources	Gebruik de nieuwe Azure Resource Manager voor verbeterde beveiliging van uw virtuele machines, met onder andere sterker toegangsbeheer (RBAC), betere controle, implementatie en governance op basis van Azure Resource Manager, toegang tot beheerde identiteiten, toegang tot Key Vault voor geheimen, verificatie op basis van Azure Active Directory en ondersteuning voor tags en resourcegroepen voor eenvoudiger beveiligingsbeheer	Controleren, Weigeren, Uitgeschakeld	1.0.0

Datacenterbewerkingen - 10.30

Id: RMiT 10.30 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Azure Backup moet zijn ingeschakeld voor virtuele machines	Zorg ervoor dat uw virtuele Azure-machines worden beveiligd door Azure Backup in te schakelen. Azure Backup is een veilige en voordelige oplossing voor gegevensbescherming voor Azure.	AuditIfNotExists, uitgeschakeld	3.0.0
Opgeslagen query's in Azure Monitor moeten worden opgeslagen in het opslagaccount van de klant voor versleuteling van logboeken	Koppel het opslagaccount aan de Log Analytics-werkruimte om opgeslagen query's te beveiligen met opslagaccountversleuteling. Door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan naleving van regelgeving en voor meer controle over de toegang tot uw opgeslagen query's in Azure Monitor. Zie voor meer informatie over het bovenstaande https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries.	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	1.1.0

Netwerktolerantie

Netwerktolerantie - 10.33

Id: RMiT 10.33 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Alle resources voor stroomlogboeken moeten de status Ingeschakeld hebben	Controleer of stroomlogboekbronnen zijn ingeschakeld om te controleren of de status van het stroomlogboek is ingeschakeld. Als u stroomlogboeken inschakelt, kunt u logboekinformatie over HET IP-verkeer vastleggen. Het kan worden gebruikt voor het optimaliseren van netwerkstromen, het controleren van de doorvoer, het controleren van de naleving, het detecteren van inbraakpogingen en meer.	Controle, uitgeschakeld	1.0.1
Alle netwerkpoorten moeten worden beperkt in netwerkbeveiligingsgroepen die zijn gekoppeld aan uw virtuele machine	Azure Security Center heeft een aantal te ruime regels voor binnenkomende verbindingen van uw netwerkbeveiligingsgroepen geïdentificeerd. Inkomende regels mogen geen toegang toestaan vanuit de bereiken ‘Any’ of ‘Internet’. Dit kan mogelijke kwaadwillende personen in staat stellen om uw resources aan te vallen.	AuditIfNotExists, uitgeschakeld	3.0.0
API Management-services moeten een virtueel netwerk gebruiken	Azure Virtual Network-implementatie biedt verbeterde beveiliging, isolatie en stelt u in staat om uw API Management-service te plaatsen in een niet-internetrouteerbaar netwerk waartoe u de toegang kunt beheren. Deze netwerken kunnen vervolgens worden verbonden met uw on-premises netwerken met behulp van verschillende VPN-technologieën, waarmee u toegang hebt tot uw back-endservices binnen het netwerk en/of on-premises. De ontwikkelaarsportal en API-gateway kunnen worden geconfigureerd om toegankelijk te zijn via internet of alleen binnen het virtuele netwerk.	Controleren, Weigeren, Uitgeschakeld	1.0.2
Azure Container Instance-containergroep moet worden geïmplementeerd in een virtueel netwerk	Beveilig de communicatie tussen uw containers met Azure Virtual Networks. Wanneer u een virtueel netwerk opgeeft, kunnen resources binnen het virtuele netwerk veilig en privé met elkaar communiceren.	Controleren, uitgeschakeld, weigeren	2.0.0
Azure-VPN-gateways mogen geen Basic-SKU's gebruiken	Dit beleid zorgt ervoor dat VPN-gateways geen Basic-SKU's gebruiken.	Controle, uitgeschakeld	1.0.0
App Configuration configureren om openbare netwerktoegang uit te schakelen	Schakel openbare netwerktoegang voor App Configuration uit, zodat deze niet toegankelijk is via het openbare internet. Met deze configuratie kunt u deze beschermen tegen risico's voor gegevenslekken. U kunt de blootstelling van uw resources beperken door in plaats daarvan privé-eindpunten te maken. Zie voor meer informatie: https://aka.ms/appconfig/private-endpoint.	Wijzigen, uitgeschakeld	1.0.0
Azure SQL Server configureren om openbare netwerktoegang uit te schakelen	Als u de eigenschap openbare netwerktoegang uitschakelt, wordt openbare connectiviteit afgesloten, zodat Azure SQL Server alleen toegankelijk is vanaf een privé-eindpunt. Met deze configuratie wordt de openbare netwerktoegang voor alle databases onder Azure SQL Server uitgeschakeld.	Wijzigen, uitgeschakeld	1.0.0
Azure SQL Server configureren om privé-eindpuntverbindingen in te schakelen	Een privé-eindpuntverbinding maakt privéconnectiviteit met uw Azure SQL Database mogelijk via een privé-IP-adres in een virtueel netwerk. Deze configuratie verbetert uw beveiligingspostuur en ondersteunt Azure-netwerkhulpprogramma's en -scenario's.	DeployIfNotExists, uitgeschakeld	1.0.0
Containerregisters configureren om openbare netwerktoegang uit te schakelen	Schakel openbare netwerktoegang voor uw Container Registry-resource uit, zodat deze niet toegankelijk is via het openbare internet. Dit kan de risico's voor gegevenslekken verminderen. Meer informatie op https://aka.ms/acr/portal/public-network en https://aka.ms/acr/private-link.	Wijzigen, uitgeschakeld	1.0.0
Beheerde schijven configureren om openbare netwerktoegang uit te schakelen	Schakel openbare netwerktoegang voor uw beheerde schijfresource uit, zodat deze niet toegankelijk is via het openbare internet. Dit kan de risico's voor gegevenslekken verminderen. Zie voor meer informatie: https://aka.ms/disksprivatelinksdoc.	Wijzigen, uitgeschakeld	2.0.0
Containerregisters mogen geen onbeperkte netwerktoegang toestaan	Azure-containerregisters accepteren standaard verbindingen via Internet van hosts op elk netwerk. Als u uw registers wilt beschermen tegen mogelijke bedreigingen, staat u alleen toegang toe vanaf specifieke privé-eindpunten, openbare IP-adressen of adresbereiken. Als uw register geen netwerkregels heeft geconfigureerd, wordt dit weergegeven in de beschadigde resources. Meer informatie over Container Registry-netwerkregels vindt u hier: https://aka.ms/acr/privatelinken https://aka.ms/acr/portal/public-network https://aka.ms/acr/vnet.	Controleren, Weigeren, Uitgeschakeld	2.0.0
Cosmos DB moet gebruikmaken van een service-eindpunt voor een virtueel netwerk	Met dit beleid worden alle exemplaren van Cosmos DB gecontroleerd die niet zijn geconfigureerd voor het gebruik van een service-eindpunt voor een virtueel netwerk.	Controle, uitgeschakeld	1.0.0
Event Hub moet gebruikmaken van een service-eindpunt voor een virtueel netwerk	Met dit beleid worden alle instanties van Event Hub gecontroleerd die niet zijn geconfigureerd voor het gebruik van een service-eindpunt voor een virtueel netwerk.	AuditIfNotExists, uitgeschakeld	1.0.0
Stroomlogboeken moeten worden geconfigureerd voor elke netwerkbeveiligingsgroep	Controleer of stroomlogboeken zijn geconfigureerd voor netwerkbeveiligingsgroepen. Als u stroomlogboeken inschakelt, kunt u logboekgegevens vastleggen over IP-verkeer dat via de netwerkbeveiligingsgroep stroomt. Het kan worden gebruikt voor het optimaliseren van netwerkstromen, het controleren van de doorvoer, het controleren van de naleving, het detecteren van inbraakpogingen en meer.	Controle, uitgeschakeld	1.1.0
Op internet gerichte virtuele machines moeten worden beveiligd met netwerkbeveiligingsgroepen	Bescherm uw virtuele machines tegen mogelijke bedreigingen door de toegang tot de VM te beperken met een netwerkbeveiligingsgroep (Network Security Group/NSG). U vindt meer informatie over het beheren van verkeer met NSG's op https://aka.ms/nsg-doc	AuditIfNotExists, uitgeschakeld	3.0.0
Doorsturen via IP op uw virtuele machine moet zijn uitgeschakeld	Door doorsturen via IP in te schakelen op de NIC van een virtuele machine kan de computer verkeer ontvangen dat is geadresseerd aan andere bestemmingen. Doorsturen via IP is zelden vereist (bijvoorbeeld wanneer de VM wordt gebruikt als een virtueel netwerkapparaat). Daarom moet dit worden gecontroleerd door het netwerkbeveiligingsteam.	AuditIfNotExists, uitgeschakeld	3.0.0
Beheerde schijven moeten openbare netwerktoegang uitschakelen	Het uitschakelen van openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat een beheerde schijf niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van beheerde schijven beperken. Zie voor meer informatie: https://aka.ms/disksprivatelinksdoc.	Controle, uitgeschakeld	2.0.0
Wijzigen - Azure File Sync configureren om openbare netwerktoegang uit te schakelen	Het openbare eindpunt van Azure File Sync dat toegankelijk is voor internet, wordt uitgeschakeld door uw organisatiebeleid. U hebt nog steeds toegang tot de opslagsynchronisatieservice via de bijbehorende privé-eindpunten.	Wijzigen, uitgeschakeld	1.0.0
Niet-internetgerichte virtuele machines moeten worden beveiligd met netwerkbeveiligingsgroepen	Bescherm uw niet-internetgerichte virtuele machines tegen mogelijke bedreigingen door de toegang te beperken met een netwerkbeveiligingsgroep (Network Security Group/NSG). U vindt meer informatie over het beheren van verkeer met NSG's op https://aka.ms/nsg-doc	AuditIfNotExists, uitgeschakeld	3.0.0
Privé-eindpuntverbindingen met Azure SQL Database moeten zijn ingeschakeld	Met privé-eindpuntverbindingen wordt beveiligde communicatie afgedwongen door middel van het inschakelen van privéconnectiviteit met Azure SQL Database.	Controle, uitgeschakeld	1.1.0
Het privé-eindpunt moet worden ingeschakeld voor MariaDB-servers	Met privé-eindpuntverbindingen wordt beveiligde communicatie afgedwongen door middel van het inschakelen van privéconnectiviteit met Azure Database for MariaDB. Configureer een privé-eindpuntverbinding om alleen verkeer dat afkomstig is van bekende netwerken toegang te verlenen en om verkeer van alle andere IP-adressen, ook binnen Azure, toegang te ontzeggen.	AuditIfNotExists, uitgeschakeld	1.0.2
Het privé-eindpunt moet worden ingeschakeld voor MySQL-servers	Met privé-eindpuntverbindingen wordt beveiligde communicatie afgedwongen door middel van het inschakelen van privéconnectiviteit met Azure Database for MySQL. Configureer een privé-eindpuntverbinding om alleen verkeer dat afkomstig is van bekende netwerken toegang te verlenen en om verkeer van alle andere IP-adressen, ook binnen Azure, toegang te ontzeggen.	AuditIfNotExists, uitgeschakeld	1.0.2
Het privé-eindpunt moet worden ingeschakeld voor PostgreSQL-servers	Met privé-eindpuntverbindingen wordt beveiligde communicatie afgedwongen door middel van het inschakelen van privéconnectiviteit met Azure Database for PostgreSQL. Configureer een privé-eindpuntverbinding om alleen verkeer dat afkomstig is van bekende netwerken toegang te verlenen en om verkeer van alle andere IP-adressen, ook binnen Azure, toegang te ontzeggen.	AuditIfNotExists, uitgeschakeld	1.0.2
Openbare netwerktoegang moet worden uitgeschakeld voor containerregisters	Het uitschakelen van openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat containerregisters niet worden weergegeven op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van containerregisterbronnen beperken. Meer informatie vindt u op: https://aka.ms/acr/portal/public-network en https://aka.ms/acr/private-link.	Controleren, Weigeren, Uitgeschakeld	1.0.0
Subnetten moeten worden gekoppeld aan een netwerkbeveiligingsgroep	Bescherm uw subnet tegen mogelijke bedreigingen door de toegang te beperken met een netwerkbeveiligingsgroep (Network Security Group/NSG). NSG's bevatten een lijst met ACL-regels (Access Control List) waarmee netwerkverkeer naar uw subnet wordt toegestaan of geweigerd.	AuditIfNotExists, uitgeschakeld	3.0.0
Virtuele machines moeten zijn verbonden met een goedgekeurd virtueel netwerk	Met dit beleid worden virtuele machines gecontroleerd die zijn verbonden met een niet-goedgekeurd virtueel netwerk.	Controleren, Weigeren, Uitgeschakeld	1.0.0
Virtuele netwerken moeten gebruikmaken van de opgegeven virtuele-netwerkgateway	Met dit beleid worden alle virtuele netwerken gecontroleerd als de standaardroute niet verwijst naar de opgegeven virtuele-netwerkgateway.	AuditIfNotExists, uitgeschakeld	1.0.0

Netwerktolerantie - 10.35

Id: RMiT 10.35 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Implementeren - Log Analytics-extensie configureren die moet worden ingeschakeld op virtuele-machineschaalsets van Windows	Implementeer de Log Analytics-extensie voor virtuele-machineschaalsets van Windows als de installatiekopieën van de virtuele machine in de gedefinieerde lijst voorkomt en de extensie niet is geïnstalleerd. Als uw schaalset upgradePolicy is ingesteld op Handmatig, moet u de extensie toepassen op alle virtuele machines in de set door ze bij te werken. Afschaffingsmelding: De Log Analytics-agent bevindt zich op een afschaffingspad en wordt niet ondersteund na 31 augustus 2024. U moet vóór die datum migreren naar de vervangende Azure Monitor-agent.	DeployIfNotExists, uitgeschakeld	3.1.0
Network Watcher moet zijn ingeschakeld	Network Watcher is een regionale service waarmee u voorwaarden op het niveau van netwerkscenario's in, naar en vanaf Azure kunt controleren en onderzoeken. Via controle op het scenarioniveau kunt u problemen analyseren met behulp van een weergave op het niveau van een end-to-end netwerk. Het is vereist dat er een network watcher-resourcegroep moet worden gemaakt in elke regio waar een virtueel netwerk aanwezig is. Er is een waarschuwing ingeschakeld als een network watcher-resourcegroep niet beschikbaar is in een bepaalde regio.	AuditIfNotExists, uitgeschakeld	3.0.0

Netwerktolerantie - 10.38

Id: RMiT 10.38 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Schakel automatische inrichting van de Log Analytics-agent van Security Center voor uw abonnementen in met een aangepaste werkruimte.	Geef Security Center toestemming om de Log Analytics-agent automatisch in te richten voor uw abonnementen om beveiligingsgegevens te bewaken en te verzamelen met behulp van een aangepaste werkruimte.	DeployIfNotExists, uitgeschakeld	1.0.0
Schakel automatische inrichting van de Log Analytics-agent van Security Center voor uw abonnementen in met standaardwerkruimte.	Geef Security Center toestemming om de Log Analytics-agent automatisch in te richten voor uw abonnementen om beveiligingsgegevens te bewaken en te verzamelen met behulp van de standaard ASC-werkruimte.	DeployIfNotExists, uitgeschakeld	1.0.0

Netwerktolerantie - 10.39

Id: RMiT 10.39 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Er moet een aangepast IPSec/IKE-beleid worden toegepast op alle gatewayverbindingen met virtuele Azure-netwerken	Dit beleid zorgt ervoor dat alle gatewayverbindingen met virtuele Azure-netwerken een aangepast IPSec/IKE-beleid hebben (Internet Protocol Security/Internet Key Exchange). Ondersteunde algoritmen en sleutelsterkten: https://aka.ms/AA62kb0	Controle, uitgeschakeld	1.0.0
SQL Server moet gebruikmaken van een virtuele-netwerkservice-eindpunt	Met dit beleid worden alle exemplaren van SQL Server gecontroleerd die niet zijn geconfigureerd voor het gebruik van een service-eindpunt voor een virtueel netwerk.	AuditIfNotExists, uitgeschakeld	1.0.0
Opslagaccounts moeten gebruikmaken van een virtuele-netwerkservice-eindpunt	Met dit beleid worden alle opslagaccounts gecontroleerd die niet zijn geconfigureerd voor het gebruik van een service-eindpunt voor een virtueel netwerk.	Controle, uitgeschakeld	1.0.0

Cloud Services

Cloud Services - 10.49

Id: RMiT 10.49 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Controle of de resourcelocatie overeenkomt met de locatie van de groep	Controle of de resourcelocatie overeenkomt met de locatie van de bijbehorende resourcegroep	controleren	2.0.0
Verbinding beperken moet worden ingeschakeld voor PostgreSQL-databaseservers	Dit beleid helpt bij het controleren van alle PostgreSQL-databases in uw omgeving zonder dat er verbindingsbeperking hoeft te worden ingeschakeld. Met deze instelling schakelt u tijdelijke beperking van de verbinding per IP in voor te veel ongeldige wachtwoordaanmeldingen.	AuditIfNotExists, uitgeschakeld	1.0.0
Beheerpoorten moeten gesloten zijn op uw virtuele machines	Open poorten voor extern beheer stellen uw virtuele machine bloot aan een verhoogd risico op aanvallen via internet. Deze aanvallen proberen de aanmeldingsgegevens voor de beheerderstoegang tot de computer te verkrijgen.	AuditIfNotExists, uitgeschakeld	3.0.0
SQL Database moet het gebruik van GRS-back-up-redundantie voorkomen	Databases moeten het gebruik van standaard geografisch redundante opslag voor back-ups voorkomen als de regels voor gegevenslocatie vereisen dat gegevens binnen een bepaalde regio blijven. Opmerking: Azure Policy wordt niet afgedwongen bij het maken van een database met behulp van T-SQL. Als het niet expliciet wordt opgegeven, wordt de database met geografisch redundante back-upopslag gemaakt via T-SQL.	Weigeren, Uitgeschakeld	2.0.0
Door SQL beheerde instanties moeten het gebruik van GRS-back-up-redundantie voorkomen	Beheerde exemplaren moeten het gebruik van standaard geografisch redundante opslag voor back-ups voorkomen als de regels voor gegevenslocatie vereisen dat gegevens binnen een bepaalde regio blijven. Opmerking: Azure Policy wordt niet afgedwongen bij het maken van een database met behulp van T-SQL. Als het niet expliciet wordt opgegeven, wordt de database met geografisch redundante back-upopslag gemaakt via T-SQL.	Weigeren, Uitgeschakeld	2.0.0

Cloud Services - 10.51

Id: RMiT 10.51 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Virtuele machines controleren waarop geen herstel na noodgevallen is geconfigureerd	Controleer virtuele machines waarop herstel na noodgevallen niet is geconfigureerd. Ga naar https://aka.ms/asr-doc voor meer informatie over herstel na noodgevallen.	auditIfNotExists	1.0.0
Geografisch redundante back-up moet zijn ingeschakeld voor Azure Database for MariaDB	Met Azure Database for MariaDB kunt u de redundantieoptie voor uw databaseserver kiezen. Deze kan worden ingesteld op een geografisch redundante back-upopslag waarin de gegevens niet alleen worden opgeslagen in de regio waar uw server wordt gehost, maar ook worden gerepliceerd naar een koppelde regio om een hersteloptie te bieden ingeval van storing in uw regio. Het configureren van geografisch redundante opslag voor back-up is alleen toegestaan tijdens het maken van een server.	Controle, uitgeschakeld	1.0.1
Geografisch redundante back-up moet zijn ingeschakeld voor Azure Database for MySQL	Met Azure Database for MySQL kunt u de redundantieoptie voor uw databaseserver kiezen. Deze kan worden ingesteld op een geografisch redundante back-upopslag waarin de gegevens niet alleen worden opgeslagen in de regio waar uw server wordt gehost, maar ook worden gerepliceerd naar een koppelde regio om een hersteloptie te bieden ingeval van storing in uw regio. Het configureren van geografisch redundante opslag voor back-up is alleen toegestaan tijdens het maken van een server.	Controle, uitgeschakeld	1.0.1
Geografisch redundante back-up moet zijn ingeschakeld voor Azure Database for PostgreSQL	Met Azure Database for PostgreSQL kunt u de redundantieoptie voor uw databaseserver kiezen. Deze kan worden ingesteld op een geografisch redundante back-upopslag waarin de gegevens niet alleen worden opgeslagen in de regio waar uw server wordt gehost, maar ook worden gerepliceerd naar een koppelde regio om een hersteloptie te bieden ingeval van storing in uw regio. Het configureren van geografisch redundante opslag voor back-up is alleen toegestaan tijdens het maken van een server.	Controle, uitgeschakeld	1.0.1
Geografisch redundante opslag moet zijn ingeschakeld voor opslagaccounts	Georedundantie gebruiken om maximaal beschikbare toepassingen te maken	Controle, uitgeschakeld	1.0.0
Geografisch redundante back-up op de lange termijn moet zijn ingeschakeld voor Azure SQL Databases	Dit beleid controleert alle Azure SQL Databases waarop een geografisch redundante back-up op lange termijn niet is ingeschakeld.	AuditIfNotExists, uitgeschakeld	2.0.0

Cloud Services - 10.53

Id: RMiT 10.53 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Voor App Configuration moet een sleutel worden gebruikt die door de klant wordt beheerd	Door de klant beheerde sleutels bieden verbeterde gegevensbescherming, omdat u uw versleutelingssleutels kunt beheren. Dit is vaak nodig om aan de nalevingsvereisten te voldoen.	Controleren, Weigeren, Uitgeschakeld	1.1.0
Azure Container Instance-containergroep moet een door de klant beheerde sleutel gebruiken voor versleuteling	Beveilig uw containers met meer flexibiliteit met behulp van door de klant beheerde sleutels. Wanneer u een door klant beheerde sleutel opgeeft, wordt die sleutel gebruikt voor het beveiligen en beheren van de toegang tot de sleutel waarmee uw gegevens worden versleuteld. Het gebruik van door de klant beheerde sleutels biedt extra mogelijkheden om de rotatie van de sleutelversleutelingssleutel te beheren of gegevens cryptografisch te wissen.	Controleren, uitgeschakeld, weigeren	1.0.0
Azure Monitor-logboekclusters moeten worden versleuteld met door de klant beheerde sleutel	Maak een Azure Monitor-logboekcluster met versleuteling van door de klant beheerde sleutels. Standaard worden de logboekgegevens versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan naleving van regelgeving. Door de klant beheerde sleutel in Azure Monitor biedt u meer controle over de toegang tot uw gegevens, zie https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys.	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	1.1.0
Containerregisters moeten worden versleuteld met een door de klant beheerde sleutel	Gebruik door de klant beheerde sleutels voor het beheren van de versleuteling van de rest van de inhoud van uw registers. Standaard worden de gegevens in rust versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault-sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt de volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, met inbegrip van rotatie en beheer. Meer informatie op https://aka.ms/acr/CMK.	Controleren, Weigeren, Uitgeschakeld	1.1.2
Event Hub-naamruimten moeten een door de klant beheerde sleutel gebruiken voor versleuteling	Azure Event Hubs ondersteunt de optie om data-at-rest te versleutelen met door Microsoft beheerde sleutels (standaard) of door de klant beheerde sleutels. Als u ervoor kiest om gegevens te versleutelen met door de klant beheerde sleutels, kunt u de toegang tot de sleutels die Event Hub gebruikt voor het versleutelen van gegevens in uw naamruimte toewijzen, draaien, uitschakelen en intrekken. Event Hub ondersteunt alleen versleuteling met door de klant beheerde sleutels voor naamruimten in toegewezen clusters.	Controle, uitgeschakeld	1.0.0
Geografisch redundante back-up moet zijn ingeschakeld voor Azure Database for MySQL	Met Azure Database for MySQL kunt u de redundantieoptie voor uw databaseserver kiezen. Deze kan worden ingesteld op een geografisch redundante back-upopslag waarin de gegevens niet alleen worden opgeslagen in de regio waar uw server wordt gehost, maar ook worden gerepliceerd naar een koppelde regio om een hersteloptie te bieden ingeval van storing in uw regio. Het configureren van geografisch redundante opslag voor back-up is alleen toegestaan tijdens het maken van een server.	Controle, uitgeschakeld	1.0.1
HPC Cache-accounts moeten door de klant beheerde sleutel gebruiken voor versleuteling	Versleuteling at rest van Azure HPC Cache beheren met door de klant beheerde sleutels. Klantgegevens worden standaard versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault-sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt de volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, met inbegrip van rotatie en beheer.	Controleren, uitgeschakeld, weigeren	2.0.0
Beheerde schijven moeten een specifieke set schijfversleutelingssets gebruiken voor de door de klant beheerde sleutelversleuteling	Als u een specifieke set schijfversleutelingssets wilt gebruiken met beheerde schijven, hebt u controle over de sleutels die worden gebruikt voor versleuteling-at-rest. U kunt de toegestane versleutelde sets selecteren en alle andere worden geweigerd wanneer ze zijn gekoppeld aan een schijf. Meer informatie op https://aka.ms/disks-cmk.	Controleren, Weigeren, Uitgeschakeld	2.0.0
Besturingssysteem- en gegevensschijven moeten worden versleuteld met een door de klant beheerde sleutel	Gebruik door de klant beheerde sleutels om de versleuteling in rust van de inhoud van uw beheerde schijven te beheren. Standaard worden de gegevens in rust versleuteld met door het platform beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan wettelijke nalevingsstandaarden. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault-sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt de volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, met inbegrip van rotatie en beheer. Meer informatie op https://aka.ms/disks-cmk.	Controleren, Weigeren, Uitgeschakeld	3.0.0
PostgreSQL-servers moeten door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen	Gebruik door de klant beheerde sleutels om de versleuteling van uw inactieve PostgreSQL-servers te beheren. Standaard worden de gegevens in rust versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault-sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt de volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, met inbegrip van rotatie en beheer.	AuditIfNotExists, uitgeschakeld	1.0.4
Opgeslagen query's in Azure Monitor moeten worden opgeslagen in het opslagaccount van de klant voor versleuteling van logboeken	Koppel het opslagaccount aan de Log Analytics-werkruimte om opgeslagen query's te beveiligen met opslagaccountversleuteling. Door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan naleving van regelgeving en voor meer controle over de toegang tot uw opgeslagen query's in Azure Monitor. Zie voor meer informatie over het bovenstaande https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries.	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	1.1.0
Voor SQL Server moeten door de klant beheerde sleutels worden gebruikt voor het versleutelen van data-at-rest	TDE (Transparent Data Encryption) implementeren met uw eigen sleutel biedt verbeterde transparantie en controle voor TDE-beveiliging, verbeterde beveiliging via een externe service met HSM, en bevordering van scheiding van taken. Deze aanbeveling is van toepassing op organisaties met een gerelateerde nalevingsvereiste.	Controleren, Weigeren, Uitgeschakeld	2.0.1
Het opslagaccount met de container met activiteitenlogboeken moet worden versleuteld met BYOK	Dit beleid controleert of het opslagaccount met de container met activiteitenlogboeken is versleuteld met BYOK. Het beleid werkt alleen als het opslagaccount is gebaseerd op hetzelfde abonnement als voor activiteitenlogboeken. Meer informatie over Azure Storage-versleuteling in rust vindt u hier https://aka.ms/azurestoragebyok.	AuditIfNotExists, uitgeschakeld	1.0.0
Opslagaccounts moeten door de klant beheerde sleutel gebruiken voor versleuteling	Beveilig uw blob- en bestandsopslagaccount met meer flexibiliteit met behulp van door de klant beheerde sleutels. Wanneer u een door klant beheerde sleutel opgeeft, wordt die sleutel gebruikt voor het beveiligen en beheren van de toegang tot de sleutel waarmee uw gegevens worden versleuteld. Het gebruik van door de klant beheerde sleutels biedt extra mogelijkheden om de rotatie van de sleutelversleutelingssleutel te beheren of gegevens cryptografisch te wissen.	Controle, uitgeschakeld	1.0.3

Toegangsbeheer

Toegangsbeheer - 10.54

Id: RMiT 10.54 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Accounts met eigenaarsmachtigingen voor Azure-resources moeten MFA zijn ingeschakeld	Schakel meervoudige verificatie (MFA) in voor alle abonnementsaccounts met eigenaarsmachtigingen om te voorkomen dat er inbreuk wordt gepleegd op accounts of resources.	AuditIfNotExists, uitgeschakeld	1.0.0
Accounts met leesmachtigingen voor Azure-resources moeten MFA zijn ingeschakeld	Schakel meervoudige verificatie (MFA) in voor alle abonnementsaccounts met leesmachtigingen om te voorkomen dat er inbreuk wordt gepleegd op accounts of resources.	AuditIfNotExists, uitgeschakeld	1.0.0
Accounts met schrijfmachtigingen voor Azure-resources moeten MFA zijn ingeschakeld	Schakel meervoudige verificatie (MFA) in voor alle abonnementsaccounts met schrijfmachtigingen om te voorkomen dat er inbreuk wordt gepleegd op accounts of resources.	AuditIfNotExists, uitgeschakeld	1.0.0
Een Azure Active Directory-beheerder moet worden ingericht voor SQL-servers	Controleer inrichting van een Azure Active Directory-beheerder voor uw SQL-Server om Azure AD-verificatie in te schakelen. Azure AD-verificatie maakt vereenvoudigd beheer van machtigingen en gecentraliseerd identiteitsbeheer van databasegebruikers en andere Microsoft-services mogelijk	AuditIfNotExists, uitgeschakeld	1.0.0
App Configuration moet openbare netwerktoegang uitschakelen	Het uitschakelen van openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat de resource niet beschikbaar is op het openbare internet. U kunt de blootstelling van uw resources beperken door in plaats daarvan privé-eindpunten te maken. Zie voor meer informatie: https://aka.ms/appconfig/private-endpoint.	Controleren, Weigeren, Uitgeschakeld	1.0.0
App Service-apps moeten verificatie hebben ingeschakeld	Azure-app serviceverificatie is een functie die kan voorkomen dat anonieme HTTP-aanvragen de web-app bereiken of die tokens hebben voordat ze de web-app bereiken.	AuditIfNotExists, uitgeschakeld	2.0.1
Geblokkeerde accounts met eigenaarsmachtigingen voor Azure-resources moeten worden verwijderd	Afgeschafte accounts met eigenaarsmachtigingen moeten worden verwijderd uit uw abonnement. Afgeschafte accounts zijn accounts waarvoor het aanmelden is geblokkeerd.	AuditIfNotExists, uitgeschakeld	1.0.0
Geblokkeerde accounts met lees- en schrijfmachtigingen voor Azure-resources moeten worden verwijderd	Afgeschafte accounts moeten worden verwijderd uit uw abonnement. Afgeschafte accounts zijn accounts waarvoor het aanmelden is geblokkeerd.	AuditIfNotExists, uitgeschakeld	1.0.0
Voor functie-apps moet verificatie zijn ingeschakeld	Azure-app serviceverificatie is een functie die kan voorkomen dat anonieme HTTP-aanvragen de functie-app bereiken of die tokens hebben voordat ze de Functie-app bereiken.	AuditIfNotExists, uitgeschakeld	3.0.0
Functie-apps moeten beheerde identiteiten gebruiken	Een beheerde identiteit gebruiken voor verbeterde verificatiebeveiliging	AuditIfNotExists, uitgeschakeld	3.0.0
Gastaccounts met eigenaarsmachtigingen voor Azure-resources moeten worden verwijderd	Externe accounts met eigenaarsmachtigingen moeten worden verwijderd uit uw abonnement om onbewaakte toegang te voorkomen.	AuditIfNotExists, uitgeschakeld	1.0.0
Gastaccounts met leesmachtigingen voor Azure-resources moeten worden verwijderd	Externe accounts met leesmachtigingen moeten worden verwijderd uit uw abonnement om onbewaakte toegang te voorkomen.	AuditIfNotExists, uitgeschakeld	1.0.0
Gastaccounts met schrijfmachtigingen voor Azure-resources moeten worden verwijderd	Externe accounts met schrijfmachtigingen moeten worden verwijderd uit uw abonnement om onbewaakte toegang te voorkomen.	AuditIfNotExists, uitgeschakeld	1.0.0
De extensie voor gastconfiguratie moet op uw computers worden geïnstalleerd	Installeer de extensie Gastconfiguratie om beveiligde configuraties van in-gastinstellingen van uw computer te garanderen. In-gastinstellingen die door de extensie worden bewaakt, omvatten de configuratie van het besturingssysteem, de toepassingsconfiguratie of aanwezigheids- en omgevingsinstellingen. Zodra u dit hebt geïnstalleerd, is beleid in de gastconfiguratie beschikbaar, zoals 'Windows Exploit Guard moet zijn ingeschakeld'. Meer informatie op https://aka.ms/gcpol.	AuditIfNotExists, uitgeschakeld	1.0.3
Beheerpoorten van virtuele machines moeten worden beveiligd met Just-In-Time-netwerktoegangsbeheer	Mogelijke Just In Time-netwerktoegang (JIT) wordt als aanbeveling bewaakt door Azure Security Center	AuditIfNotExists, uitgeschakeld	3.0.0
Op rollen gebaseerd toegangsbeheer (RBAC) moet worden gebruikt voor Kubernetes Services	Gebruik op rollen gebaseerd toegangsbeheer (RBAC) om de machtigingen in Kubernetes Service-clusters te beheren en het relevante autorisatiebeleid te configureren om gedetailleerde filters te bieden voor de acties die gebruikers kunnen uitvoeren.	Controle, uitgeschakeld	1.0.4
De gastconfiguratie-extensie van virtuele machines moet worden geïmplementeerd met door het systeem toegewezen beheerde identiteit	De gastconfiguratie-extensie vereist een door het systeem toegewezen beheerde identiteit. Virtuele Azure-machines binnen het bereik van dit beleid zijn niet-compatibel wanneer de gastconfiguratie-extensie is geïnstalleerd, maar geen door het systeem toegewezen beheerde identiteit heeft. Meer informatie vindt u op https://aka.ms/gcpol	AuditIfNotExists, uitgeschakeld	1.0.1

Toegangsbeheer - 10.55

Id: RMiT 10.55 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Gebruik van aangepaste RBAC-rollen controleren	Ingebouwde rollen controleren, zoals Eigenaar, Bijdrager, Lezer, in plaats van aangepaste RBAC-rollen, die gevoelig zijn voor fouten. Het gebruik van aangepaste rollen wordt behandeld als een uitzondering en vereist een rigoureuze beoordeling en bedreigingsmodellering	Controle, uitgeschakeld	1.0.1
Er moeten autorisatieregels worden gedefinieerd voor de Event Hub-instantie	De aanwezigheid van autorisatieregels in Event Hub-entiteiten controleren om toegang met de minste machtigingen te verlenen	AuditIfNotExists, uitgeschakeld	1.0.0
Kubernetes cluster containers should only use allowed capabilities (Kubernetes-clustercontainers mogen alleen gebruik maken van toegestane mogelijkheden)	Beperk de mogelijkheden om de kwetsbaarheid voor aanvallen van containers in een Kubernetes-cluster te verminderen. Deze aanbeveling maakt deel uit van CIS 5.2.8 en CIS 5.2.9 die zijn bedoeld om de beveiliging van uw Kubernetes-omgevingen te verbeteren. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Kubernetes met Azure Arc. Zie https://aka.ms/kubepolicydoc voor meer informatie.	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	6.2.0
Kubernetes cluster containers should run with a read only root file system (Kubernetes-clustercontainers moeten worden uitgevoerd met een alleen-lezenhoofdbestandssysteem)	Voer containers uit met een alleen-lezen hoofdbestandssysteem om te beveiligen tegen wijzigingen tijdens de runtime, waarbij schadelijke binaire bestanden worden toegevoegd aan PATH in een Kubernetes-cluster. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Kubernetes met Azure Arc. Zie https://aka.ms/kubepolicydoc voor meer informatie.	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	6.3.0
Kubernetes cluster pods and containers should only run with approved user and group IDs (Kubernetes-clusterpods en -containers mogen alleen worden uitgevoerd met toegestane gebruikers- en groeps-id's)	Beheer de gebruikers-, primaire groep-, aanvullende groep- en bestandssysteemgroep-id's die pods en containers kunnen gebruiken om te worden uitgevoerd in een Kubernetes-cluster. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Kubernetes met Azure Arc. Zie https://aka.ms/kubepolicydoc voor meer informatie.	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	6.2.0
Kubernetes-cluster mag geen bevoegde containers toestaan	Sta het maken van bevoegde containers in een Kubernetes-cluster niet toe. Deze aanbeveling maakt deel uit van CIS 5.2.1 die is bedoeld om de beveiliging van uw Kubernetes-omgevingen te verbeteren. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Kubernetes met Azure Arc. Zie https://aka.ms/kubepolicydoc voor meer informatie.	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	9.2.0
Kubernetes clusters should not allow container privilege escalation (Kubernetes-clusters mogen geen escalatie van bevoegdheden voor containers toestaan)	Sta niet toe dat containers worden uitgevoerd met escalatie van bevoegdheden naar de hoofdmap in een Kubernetes-cluster. Deze aanbeveling maakt deel uit van CIS 5.2.5 die is bedoeld om de beveiliging van uw Kubernetes-omgevingen te verbeteren. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Kubernetes met Azure Arc. Zie https://aka.ms/kubepolicydoc voor meer informatie.	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	7.2.0
Opslagaccounts moeten toegang uit vertrouwde Microsoft-services toestaan	Sommige Microsoft-services die communiceren met opslagaccounts, werken vanuit netwerken waaraan geen toegang kan worden verleend via netwerkregels. Om dit type service goed te laten werken, moet u de set vertrouwde Microsoft-services toestaan om de netwerkregels over te slaan. Deze services gebruiken vervolgens sterke verificatie om toegang te krijgen tot het opslagaccount.	Controleren, Weigeren, Uitgeschakeld	1.0.0

Toegangsbeheer - 10.58

Id: RMiT 10.58 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Accounts met eigenaarsmachtigingen voor Azure-resources moeten MFA zijn ingeschakeld	Schakel meervoudige verificatie (MFA) in voor alle abonnementsaccounts met eigenaarsmachtigingen om te voorkomen dat er inbreuk wordt gepleegd op accounts of resources.	AuditIfNotExists, uitgeschakeld	1.0.0
Accounts met leesmachtigingen voor Azure-resources moeten MFA zijn ingeschakeld	Schakel meervoudige verificatie (MFA) in voor alle abonnementsaccounts met leesmachtigingen om te voorkomen dat er inbreuk wordt gepleegd op accounts of resources.	AuditIfNotExists, uitgeschakeld	1.0.0
Accounts met schrijfmachtigingen voor Azure-resources moeten MFA zijn ingeschakeld	Schakel meervoudige verificatie (MFA) in voor alle abonnementsaccounts met schrijfmachtigingen om te voorkomen dat er inbreuk wordt gepleegd op accounts of resources.	AuditIfNotExists, uitgeschakeld	1.0.0

Toegangsbeheer - 10.60

Id: RMiT 10.60 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Gebruik van aangepaste RBAC-rollen controleren	Ingebouwde rollen controleren, zoals Eigenaar, Bijdrager, Lezer, in plaats van aangepaste RBAC-rollen, die gevoelig zijn voor fouten. Het gebruik van aangepaste rollen wordt behandeld als een uitzondering en vereist een rigoureuze beoordeling en bedreigingsmodellering	Controle, uitgeschakeld	1.0.1
Op rollen gebaseerd toegangsbeheer (RBAC) moet worden gebruikt voor Kubernetes Services	Gebruik op rollen gebaseerd toegangsbeheer (RBAC) om de machtigingen in Kubernetes Service-clusters te beheren en het relevante autorisatiebeleid te configureren om gedetailleerde filters te bieden voor de acties die gebruikers kunnen uitvoeren.	Controle, uitgeschakeld	1.0.4

Toegangsbeheer - 10.61

Id: RMiT 10.61 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Accounts met eigenaarsmachtigingen voor Azure-resources moeten MFA zijn ingeschakeld	Schakel meervoudige verificatie (MFA) in voor alle abonnementsaccounts met eigenaarsmachtigingen om te voorkomen dat er inbreuk wordt gepleegd op accounts of resources.	AuditIfNotExists, uitgeschakeld	1.0.0
Accounts met leesmachtigingen voor Azure-resources moeten MFA zijn ingeschakeld	Schakel meervoudige verificatie (MFA) in voor alle abonnementsaccounts met leesmachtigingen om te voorkomen dat er inbreuk wordt gepleegd op accounts of resources.	AuditIfNotExists, uitgeschakeld	1.0.0
Geblokkeerde accounts met eigenaarsmachtigingen voor Azure-resources moeten worden verwijderd	Afgeschafte accounts met eigenaarsmachtigingen moeten worden verwijderd uit uw abonnement. Afgeschafte accounts zijn accounts waarvoor het aanmelden is geblokkeerd.	AuditIfNotExists, uitgeschakeld	1.0.0
Geblokkeerde accounts met lees- en schrijfmachtigingen voor Azure-resources moeten worden verwijderd	Afgeschafte accounts moeten worden verwijderd uit uw abonnement. Afgeschafte accounts zijn accounts waarvoor het aanmelden is geblokkeerd.	AuditIfNotExists, uitgeschakeld	1.0.0
De extensie voor gastconfiguratie moet op uw computers worden geïnstalleerd	Installeer de extensie Gastconfiguratie om beveiligde configuraties van in-gastinstellingen van uw computer te garanderen. In-gastinstellingen die door de extensie worden bewaakt, omvatten de configuratie van het besturingssysteem, de toepassingsconfiguratie of aanwezigheids- en omgevingsinstellingen. Zodra u dit hebt geïnstalleerd, is beleid in de gastconfiguratie beschikbaar, zoals 'Windows Exploit Guard moet zijn ingeschakeld'. Meer informatie op https://aka.ms/gcpol.	AuditIfNotExists, uitgeschakeld	1.0.3
Beheerpoorten van virtuele machines moeten worden beveiligd met Just-In-Time-netwerktoegangsbeheer	Mogelijke Just In Time-netwerktoegang (JIT) wordt als aanbeveling bewaakt door Azure Security Center	AuditIfNotExists, uitgeschakeld	3.0.0
Op rollen gebaseerd toegangsbeheer (RBAC) moet worden gebruikt voor Kubernetes Services	Gebruik op rollen gebaseerd toegangsbeheer (RBAC) om de machtigingen in Kubernetes Service-clusters te beheren en het relevante autorisatiebeleid te configureren om gedetailleerde filters te bieden voor de acties die gebruikers kunnen uitvoeren.	Controle, uitgeschakeld	1.0.4
De gastconfiguratie-extensie van virtuele machines moet worden geïmplementeerd met door het systeem toegewezen beheerde identiteit	De gastconfiguratie-extensie vereist een door het systeem toegewezen beheerde identiteit. Virtuele Azure-machines binnen het bereik van dit beleid zijn niet-compatibel wanneer de gastconfiguratie-extensie is geïnstalleerd, maar geen door het systeem toegewezen beheerde identiteit heeft. Meer informatie vindt u op https://aka.ms/gcpol	AuditIfNotExists, uitgeschakeld	1.0.1

Toegangsbeheer - 10.62

Id: RMiT 10.62 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Gebruik van aangepaste RBAC-rollen controleren	Ingebouwde rollen controleren, zoals Eigenaar, Bijdrager, Lezer, in plaats van aangepaste RBAC-rollen, die gevoelig zijn voor fouten. Het gebruik van aangepaste rollen wordt behandeld als een uitzondering en vereist een rigoureuze beoordeling en bedreigingsmodellering	Controle, uitgeschakeld	1.0.1
Op rollen gebaseerd toegangsbeheer (RBAC) moet worden gebruikt voor Kubernetes Services	Gebruik op rollen gebaseerd toegangsbeheer (RBAC) om de machtigingen in Kubernetes Service-clusters te beheren en het relevante autorisatiebeleid te configureren om gedetailleerde filters te bieden voor de acties die gebruikers kunnen uitvoeren.	Controle, uitgeschakeld	1.0.4

Patch en end-of-life systeembeheer

Patch en end-of-life systeembeheer - 10.63

Id: RMiT 10.63 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Microsoft Antimalware voor Azure moet zijn geconfigureerd voor het automatisch bijwerken van beveiligingsdefinities	Met dit beleid wordt elke Windows-VM gecontroleerd waarvoor het automatisch bijwerken van Microsoft Antimalware-beveiligingsdefinities niet is geconfigureerd.	AuditIfNotExists, uitgeschakeld	1.0.0

Patch en end-of-life systeembeheer - 10.65

Id: RMiT 10.65 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Kubernetes-services moeten worden geüpgraded naar een niet-kwetsbare Kubernetes-versie	Voer een upgrade van uw Kubernetes-servicecluster uit naar een nieuwere Kubernetes-versie om het cluster te beschermen tegen bekende beveiligingsproblemen in de huidige Kubernetes-versie. Beveiligingsprobleem CVE-2019-9946 is opgelost in Kubernetes-versies 1.11.9+, 1.12.7+, 1.13.5+ en 1.14.0+	Controle, uitgeschakeld	1.0.2

Beveiliging van digitale services

Beveiliging van digitale services - 10.66

Id: RMiT 10.66 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Het activiteitenlogboek moet ten minste één jaar worden bewaard	Met dit beleid wordt het activiteitenlogboek gecontroleerd als de bewaarperiode niet is ingesteld op 365 dagen of permanent (bewaarperiode ingesteld op 0).	AuditIfNotExists, uitgeschakeld	1.0.0
App Service-apps moeten resourcelogboeken hebben ingeschakeld	Controleer het inschakelen van resourcelogboeken in de app. Hierdoor kunt u activiteitenpaden opnieuw maken voor onderzoeksdoeleinden als er een beveiligingsincident optreedt of uw netwerk is aangetast.	AuditIfNotExists, uitgeschakeld	2.0.1
Diagnostische instelling voor geselecteerde resourcetypen controleren	Controleer diagnostische instelling voor geselecteerde resourcetypen Zorg ervoor dat u alleen resourcetypen selecteert die diagnostische instellingen ondersteunen.	AuditIfNotExists	2.0.1
Met het Azure Monitor-logboekprofiel moeten logboeken worden verzameld voor de categorieën ‘schrijven’, ‘verwijderen’ en ‘actie’	Met dit beleid wordt ervoor gezorgd dat in een logboekprofiel logboeken worden verzameld voor de categorieën 'schrijven', 'verwijderen' en 'actie'	AuditIfNotExists, uitgeschakeld	1.0.0
Azure Monitor-logboeken voor Application Insights moeten worden gekoppeld aan een Log Analytics-werkruimte	Koppel het Application Insights-onderdeel aan een Log Analytics-werkruimte voor logboekversleuteling. Door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan naleving van regelgeving en voor meer controle over de toegang tot uw gegevens in Azure Monitor. Als u uw onderdeel koppelt aan een Log Analytics-werkruimte die is ingeschakeld met een door de klant beheerde sleutel, zorgt u ervoor dat uw Application Insights-logboeken voldoen aan deze nalevingsvereiste.https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	1.1.0
Azure Monitor moet activiteitenlogboeken uit alle regio's verzamelen	Met dit beleid wordt het Azure Monitor-logboekprofiel gecontroleerd waarbij geen activiteiten worden geëxporteerd uit alle door Azure ondersteunde regio's, inclusief wereldwijd.	AuditIfNotExists, uitgeschakeld	2.0.0
Azure-abonnementen moeten een logboekprofiel voor het activiteitenlogboek hebben	Dit beleid zorgt ervoor dat een logboekprofiel is ingeschakeld voor het exporteren van activiteitenlogboeken. Het controleert of er een logboekprofiel is gemaakt om de logboeken te exporteren naar een opslagaccount of een Event Hub.	AuditIfNotExists, uitgeschakeld	1.0.0
Implementeren - Diagnostische instellingen configureren voor SQL Databases in Log Analytics-werkruimte	Hiermee worden de diagnostische instellingen voor SQL Databases geïmplementeerd om resourcelogboeken te streamen naar een Log Analytics-werkruimte wanneer een SQL Database waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	4.0.0
Implementeren - Log Analytics-extensie configureren die moet worden ingeschakeld op virtuele Windows-machines	Implementeer de Log Analytics-extensie voor virtuele Windows-machines als de installatiekopieën van de virtuele machine in de gedefinieerde lijst voorkomt en de extensie niet is geïnstalleerd. Afschaffingsmelding: De Log Analytics-agent bevindt zich op een afschaffingspad en wordt niet ondersteund na 31 augustus 2024. U moet vóór die datum migreren naar de vervangende Azure Monitor-agent.	DeployIfNotExists, uitgeschakeld	3.1.0
Diagnostische instellingen implementeren voor Batch-account naar Event Hub	Hiermee worden de diagnostische instellingen voor Batch-account geïmplementeerd en naar een regionale Event Hub gestreamd wanneer een Batch-account waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	2.0.0
Diagnostische instellingen implementeren voor Batch-account naar Log Analytics-werkruimte	Hiermee worden de diagnostische instellingen voor Batch-account geïmplementeerd en naar een regionale Log Analytics-werkruimte gestreamd wanneer een Batch-account waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	1.1.0
Diagnostische instellingen implementeren voor Data Lake Analytics naar Event Hub	Hiermee worden de diagnostische instellingen geïmplementeerd waarmee Data Lake Analytics naar een regionale Event Hub worden gestreamd wanneer Data Lake Analytics waarvoor deze diagnostische instellingen ontbreken, worden gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	2.0.0
Diagnostische instellingen implementeren voor Data Lake Analytics naar Log Analytics-werkruimte	Hiermee worden de diagnostische instellingen voor Data Lake Analytics geïmplementeerd en naar een regionale Log Analytics-werkruimte gestreamd wanneer een Data Lake Analytics waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	1.0.0
Diagnostische instellingen implementeren voor Data Lake Storage Gen1 naar Event Hub	Hiermee worden de diagnostische instellingen voor Data Lake Storage Gen1 geïmplementeerd en naar een regionale Event Hub gestreamd wanneer een Data Lake Storage Gen1 waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	2.0.0
Diagnostische instellingen implementeren voor Data Lake Storage Gen1 naar Log Analytics-werkruimte	Hiermee worden de diagnostische instellingen voor Data Lake Storage Gen1 geïmplementeerd en naar een regionale Log Analytics-werkruimte gestreamd wanneer een Data Lake Storage Gen1 waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	1.0.0
Diagnostische instellingen implementeren voor Event Hub naar Event Hub	Hiermee worden de diagnostische instellingen voor Event Hub geïmplementeerd en naar een regionale Event Hub gestreamd wanneer een Event Hub waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	2.1.0
Diagnostische instellingen implementeren voor Event Hub naar Log Analytics-werkruimte	Hiermee worden de diagnostische instellingen voor Event Hub geïmplementeerd en naar een regionale Log Analytics-werkruimte gestreamd wanneer een Event Hub waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	2.0.0
Diagnostische instellingen implementeren voor Key Vault naar Log Analytics-werkruimte	Hiermee worden de diagnostische instellingen voor Key Vault geïmplementeerd en naar een regionale Log Analytics-werkruimte gestreamd wanneer een Key Vault waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	3.0.0
Diagnostische instellingen implementeren voor Logic Apps naar Event Hub	Hiermee worden de diagnostische instellingen voor Logic Apps geïmplementeerd en naar een regionale Event Hub gestreamd wanneer een Logic App waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	2.0.0
Diagnostische instellingen implementeren voor Logic Apps naar Log Analytics-werkruimte	Hiermee worden de diagnostische instellingen voor Logic Apps geïmplementeerd en naar een regionale Log Analytics-werkruimte gestreamd wanneer een Logic App waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	1.0.0
Diagnostische instellingen implementeren voor Zoekservices naar Event Hub	Hiermee worden de diagnostische instellingen voor Zoekservices geïmplementeerd en naar een regionale Event Hub gestreamd wanneer een Zoekservice waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	2.0.0
Diagnostische instellingen implementeren voor Zoekservices naar Log Analytics-werkruimte	Hiermee worden de diagnostische instellingen voor Zoekservices geïmplementeerd en naar een regionale Log Analytics-werkruimte gestreamd wanneer een Zoekservice waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	1.0.0
Diagnose-instellingen implementeren voor Service Bus naar Event Hub	Hiermee worden de diagnostische instellingen voor Service Bus geïmplementeerd en naar een regionale Event Hub gestreamd wanneer een Service Bus waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	2.0.0
Diagnose-instellingen implementeren voor Service Bus naar Log Analytics-werkruimte	Hiermee worden de diagnostische instellingen voor Service Bus geïmplementeerd en naar een regionale Log Analytics-werkruimte gestreamd wanneer een Service Bus waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	2.1.0
Diagnostische instellingen implementeren voor Stream Analytics naar Event Hub	Hiermee worden de diagnostische instellingen voor Stream Analytics geïmplementeerd en naar een regionale Event Hub gestreamd wanneer een Stream Analytics waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	2.0.0
Diagnostische instellingen implementeren voor Stream Analytics naar Log Analytics-werkruimte	Hiermee worden de diagnostische instellingen voor Stream Analytics geïmplementeerd en naar een regionale Log Analytics-werkruimte gestreamd wanneer een Stream Analytics waarvoor deze diagnostische instellingen ontbreken, wordt gemaakt of bijgewerkt.	DeployIfNotExists, uitgeschakeld	1.0.0
De Log Analytics-extensie moet zijn ingeschakeld in virtuele-machineschaalsets voor vermelde installatiekopieën van virtuele machines	Rapporteert virtuele-machineschaalsets als niet-compatibel als de installatiekopieën van de virtuele machine niet in de lijst zijn gedefinieerd en de extensie niet is geïnstalleerd.	AuditIfNotExists, uitgeschakeld	2.0.1
Resourcelogboeken in beheerde HSM van Azure Key Vault moeten zijn ingeschakeld	Als u activiteitentrails voor onderzoeksdoeleinden opnieuw wilt maken wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast, wilt u mogelijk controleren door resourcelogboeken in te schakelen op beheerde HSM's. Volg de instructies hier: https://docs.microsoft.com/azure/key-vault/managed-hsm/logging.	AuditIfNotExists, uitgeschakeld	1.1.0
Resourcelogboeken in Key Vault moeten zijn ingeschakeld	Het inschakelen van resourcelogboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast	AuditIfNotExists, uitgeschakeld	5.0.0
De Log Analytics-extensie moet worden geïnstalleerd op virtuele-machineschaalsets	Met dit beleid worden alle virtuele-machineschaalsets van Windows/Linux gecontroleerd als de Log Analytics-extensie niet is geïnstalleerd.	AuditIfNotExists, uitgeschakeld	1.0.1
Op virtuele machines moet de Log Analytics-extensie zijn geïnstalleerd	Met dit beleid worden alle virtuele Windows-/Linux-machines gecontroleerd als de Log Analytics-extensie niet is geïnstalleerd.	AuditIfNotExists, uitgeschakeld	1.0.1

Beveiliging van digitale services - 10.68

Id: RMiT 10.68 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
App Service-apps moeten de nieuwste TLS-versie gebruiken	Regelmatig worden nieuwere versies voor TLS uitgebracht vanwege beveiligingsfouten, bevatten extra functionaliteit en verbeter de snelheid. Voer een upgrade uit naar de nieuwste TLS-versie voor App Service-apps om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie.	AuditIfNotExists, uitgeschakeld	2.1.0
Functie-apps moeten de nieuwste TLS-versie gebruiken	Regelmatig worden nieuwere versies voor TLS uitgebracht vanwege beveiligingsfouten, bevatten extra functionaliteit en verbeter de snelheid. Voer een upgrade uit naar de nieuwste TLS-versie voor functie-apps om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie.	AuditIfNotExists, uitgeschakeld	2.1.0

DDoS (Distributed Denial of Service)

Distributed Denial of Service (DDoS) - 11.13

Id: RMiT 11.13 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Azure Web Application Firewall moet zijn ingeschakeld voor Azure Front Door-invoerpunten	Implementeer Azure Web Application Firewall (WAF) voor openbare webtoepassingen voor extra inspectie van binnenkomend verkeer. WAF (Web Application Firewall) biedt gecentraliseerde bescherming van uw webtoepassingen, van veelvoorkomende aanvallen tot beveiligingsproblemen, zoals SQL-injecties, aanvallen via scripting op meerdere sites en lokale en externe bestandsuitvoeringen. U kunt de toegang tot uw webtoepassingen ook beperken op basis van landen, IP-adresbereiken en andere http(s)-para meters via aangepaste regels.	Controleren, Weigeren, Uitgeschakeld	1.0.2

Preventie van gegevensverlies (DLP)

Preventie van gegevensverlies (DLP) - 11.15

Id: RMiT 11.15 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Beheerde HSM van Azure Key Vault moet beveiliging tegen opschonen zijn ingeschakeld	Het verwijderen van een door Azure Key Vault beheerde HSM kan leiden tot permanent gegevensverlies. Een kwaadwillende insider in uw organisatie kan azure Key Vault Managed HSM mogelijk verwijderen en opschonen. Beveiliging tegen opschonen beschermt u tegen insider-aanvallen door een verplichte bewaarperiode af te dwingen voor voorlopig verwijderde beheerde HSM van Azure Key Vault. Niemand binnen uw organisatie of Microsoft kan uw beheerde HSM van Azure Key Vault leegmaken tijdens de bewaarperiode voor voorlopig verwijderen.	Controleren, Weigeren, Uitgeschakeld	1.0.0
Azure Monitor-logboekclusters moeten worden versleuteld met door de klant beheerde sleutel	Maak een Azure Monitor-logboekcluster met versleuteling van door de klant beheerde sleutels. Standaard worden de logboekgegevens versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan naleving van regelgeving. Door de klant beheerde sleutel in Azure Monitor biedt u meer controle over de toegang tot uw gegevens, zie https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys.	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	1.1.0
App Configuration configureren om openbare netwerktoegang uit te schakelen	Schakel openbare netwerktoegang voor App Configuration uit, zodat deze niet toegankelijk is via het openbare internet. Met deze configuratie kunt u deze beschermen tegen risico's voor gegevenslekken. U kunt de blootstelling van uw resources beperken door in plaats daarvan privé-eindpunten te maken. Zie voor meer informatie: https://aka.ms/appconfig/private-endpoint.	Wijzigen, uitgeschakeld	1.0.0
Azure SQL Server configureren om openbare netwerktoegang uit te schakelen	Als u de eigenschap openbare netwerktoegang uitschakelt, wordt openbare connectiviteit afgesloten, zodat Azure SQL Server alleen toegankelijk is vanaf een privé-eindpunt. Met deze configuratie wordt de openbare netwerktoegang voor alle databases onder Azure SQL Server uitgeschakeld.	Wijzigen, uitgeschakeld	1.0.0
Containerregisters configureren om openbare netwerktoegang uit te schakelen	Schakel openbare netwerktoegang voor uw Container Registry-resource uit, zodat deze niet toegankelijk is via het openbare internet. Dit kan de risico's voor gegevenslekken verminderen. Meer informatie op https://aka.ms/acr/portal/public-network en https://aka.ms/acr/private-link.	Wijzigen, uitgeschakeld	1.0.0
Beheerde schijven configureren om openbare netwerktoegang uit te schakelen	Schakel openbare netwerktoegang voor uw beheerde schijfresource uit, zodat deze niet toegankelijk is via het openbare internet. Dit kan de risico's voor gegevenslekken verminderen. Zie voor meer informatie: https://aka.ms/disksprivatelinksdoc.	Wijzigen, uitgeschakeld	2.0.0
SSL-verbinding afdwingen moet worden ingeschakeld voor PostgreSQL-databaseservers	Azure Database for PostgreSQL biedt ondersteuning voor het gebruik van Secure Sockets Layer (SSL) om uw Azure Database for PostgreSQL-server te verbinden met clienttoepassingen. Het afdwingen van SSL-verbindingen tussen uw databaseserver en clienttoepassingen zorgt dat u bent beschermt tegen 'man in the middle'-aanvallen omdat de gegevensstroom tussen de server en uw toepassing wordt versleuteld. Deze configuratie dwingt af dat SSL altijd is ingeschakeld voor toegang tot uw databaseserver.	Controle, uitgeschakeld	1.0.1
Voor sleutelkluizen moet verwijderingsbeveiliging zijn ingeschakeld	Kwaadwillende verwijdering van een sleutelkluis kan leiden tot permanent gegevensverlies. U kunt permanent gegevensverlies voorkomen door beveiliging tegen opschonen en voorlopig verwijderen in te schakelen. Beveiliging tegen leegmaken beschermt u tegen aanvallen van insiders door een verplichte bewaarperiode tijdens voorlopige verwijdering af te dwingen voor sleutelkluizen. Gedurende de periode van voorlopige verwijdering kan niemand binnen uw organisatie of Microsoft uw sleutelkluizen leegmaken. Houd er rekening mee dat sleutelkluizen die na 1 september 2019 zijn gemaakt, standaard voorlopig verwijderen zijn ingeschakeld.	Controleren, Weigeren, Uitgeschakeld	2.1.0
Voorlopig verwijderen moet zijn ingeschakeld voor sleutelkluizen	Als u een sleutelkluis verwijdert zonder dat de functie voor voorlopig verwijderen is ingeschakeld, worden alle geheimen, sleutels en certificaten die zijn opgeslagen in de sleutelkluis permanent verwijderd. Onbedoeld verwijderen van een sleutelkluis kan leiden tot permanent gegevensverlies. Met voorlopig verwijderen kunt u een per ongeluk verwijderde sleutelkluis herstellen voor een configureerbare bewaarperiode.	Controleren, Weigeren, Uitgeschakeld	3.0.0
Beheerde schijven moeten openbare netwerktoegang uitschakelen	Het uitschakelen van openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat een beheerde schijf niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van beheerde schijven beperken. Zie voor meer informatie: https://aka.ms/disksprivatelinksdoc.	Controle, uitgeschakeld	2.0.0
Beheerde schijven moeten een specifieke set schijfversleutelingssets gebruiken voor de door de klant beheerde sleutelversleuteling	Als u een specifieke set schijfversleutelingssets wilt gebruiken met beheerde schijven, hebt u controle over de sleutels die worden gebruikt voor versleuteling-at-rest. U kunt de toegestane versleutelde sets selecteren en alle andere worden geweigerd wanneer ze zijn gekoppeld aan een schijf. Meer informatie op https://aka.ms/disks-cmk.	Controleren, Weigeren, Uitgeschakeld	2.0.0
Wijzigen - Azure File Sync configureren om openbare netwerktoegang uit te schakelen	Het openbare eindpunt van Azure File Sync dat toegankelijk is voor internet, wordt uitgeschakeld door uw organisatiebeleid. U hebt nog steeds toegang tot de opslagsynchronisatieservice via de bijbehorende privé-eindpunten.	Wijzigen, uitgeschakeld	1.0.0
Voor met SQL beheerde exemplaren moeten door de klant beheerde sleutels worden gebruikt voor het versleutelen van data-at-rest	TDE (Transparent Data Encryption) implementeren met uw eigen sleutel biedt u verbeterde transparantie en controle voor TDE-beveiliging, verbeterde beveiliging via een externe service met HSM, en bevordering van scheiding van taken. Deze aanbeveling is van toepassing op organisaties met een gerelateerde nalevingsvereiste.	Controleren, Weigeren, Uitgeschakeld	2.0.0
Transparent Data Encryption in SQL-databases moet zijn ingeschakeld	Transparante gegevensversleuteling moet zijn ingeschakeld om data-at-rest te beveiligen en te voldoen aan de nalevingsvereisten	AuditIfNotExists, uitgeschakeld	2.0.0

Security Operations Centre (SOC)

Security Operations Centre (SOC) - 11.17

Id: RMiT 11.17 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Geautoriseerde IP-bereiken moeten worden gedefinieerd voor Kubernetes Services	Beperk de toegang tot de Kubernetes Service Management-API door API-toegang alleen toe te kennen aan IP-adressen in specifieke bereiken. Het is raadzaam de toegang tot geautoriseerde IP-bereiken te beperken om ervoor te zorgen dat alleen toepassingen van toegestane netwerken toegang hebben tot de cluster.	Controle, uitgeschakeld	2.0.1
E-mailmelding aan abonnementseigenaar voor waarschuwingen met hoge urgentie moet zijn ingeschakeld	Om ervoor te zorgen uw abonnementseigenaars worden gewaarschuwd wanneer er sprake is van een mogelijke schending van de beveiliging in hun abonnement, kunt u e-mailmeldingen voor abonnementseigenaars instellen voor waarschuwingen met hoge urgentie in Security Center.	AuditIfNotExists, uitgeschakeld	2.1.0

Security Operations Centre (SOC) - 11.18

Id: RMiT 11.18 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Controle op SQL Server moet zijn ingeschakeld	Controle op uw SQL Server moet zijn ingeschakeld om database-activiteiten te volgen voor alle databases op de server en deze op te slaan in een auditlogboek.	AuditIfNotExists, uitgeschakeld	2.0.0
Azure DDoS Protection moet zijn ingeschakeld	DDoS-beveiliging moet zijn ingeschakeld voor alle virtuele netwerken met een subnet dat deel uitmaakt van een toepassingsgateway met een openbaar IP-adres.	AuditIfNotExists, uitgeschakeld	3.0.1
Azure Defender voor Azure SQL-databaseservers moet zijn ingeschakeld	Azure Defender voor SQL biedt functionaliteit voor het opsporen en verhelpen van mogelijke databasebeveiligingsproblemen, het detecteren van afwijkende activiteiten die kunnen duiden op een bedreiging voor uw SQL-database en het detecteren en classificeren van gevoelige gegevens.	AuditIfNotExists, uitgeschakeld	1.0.2
Verbroken verbindingen moeten in een logboek worden vastgelegd voor PostgreSQL-databaseservers.	Dit beleid helpt bij het controleren van alle PostgreSQL-databases in uw omgeving zonder dat er log_disconnections hoeven te worden ingeschakeld.	AuditIfNotExists, uitgeschakeld	1.0.0
E-mailmelding voor waarschuwingen met hoge urgentie moet zijn ingeschakeld	Om ervoor te zorgen dat de relevante personen in uw organisatie worden gewaarschuwd wanneer er sprake is van een mogelijke schending van de beveiliging in een van uw abonnementen, kunt u e-mailmeldingen inschakelen voor waarschuwingen met hoge urgentie in Security Center.	AuditIfNotExists, uitgeschakeld	1.2.0
Logboekcontrolepunten moeten zijn ingeschakeld voor PostgreSQL-databaseservers	Dit beleid helpt bij het controleren van alle PostgreSQL-databases in uw omgeving zonder dat er log_checkpoints hoeven te worden ingeschakeld.	AuditIfNotExists, uitgeschakeld	1.0.0
Logboekverbindingen moeten zijn ingeschakeld voor PostgreSQL-databaseservers	Dit beleid helpt bij het controleren van alle PostgreSQL-databases in uw omgeving zonder dat er log_connections hoeven te worden ingeschakeld.	AuditIfNotExists, uitgeschakeld	1.0.0
Duur logverrichting moet zijn ingeschakeld voor PostgreSQL-databaseservers	Dit beleid helpt bij het controleren van alle PostgreSQL-databases in uw omgeving zonder dat de instelling log_duration hoeft te worden ingeschakeld.	AuditIfNotExists, uitgeschakeld	1.0.0
Resourcelogboeken in Event Hub moeten zijn ingeschakeld	Het inschakelen van resourcelogboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast	AuditIfNotExists, uitgeschakeld	5.0.0
In de instellingen van SQL-controle moeten actiegroepen zijn geconfigureerd om kritieke activiteiten te kunnen vastleggen	De eigenschap AuditActionsAndGroups moet ten minste SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP, BATCH_COMPLETED_GROUP bevatten om een grondige logboekregistratie van de controle te garanderen	AuditIfNotExists, uitgeschakeld	1.0.0
Abonnementen moeten een e-mailadres van contactpersonen voor beveiligingsproblemen bevatten	Om ervoor te zorgen dat de relevante personen in uw organisatie worden gewaarschuwd wanneer er sprake is van een mogelijke schending van de beveiliging in een van uw abonnementen, moet u een veiligheidscontact instellen die e-mailmeldingen van Security Center ontvangt.	AuditIfNotExists, uitgeschakeld	1.0.1

Security Operations Centre (SOC) - 11.20

Id: RMiT 11.20 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Voor virtuele machines en virtuele-machineschaalsets moet versleuteling zijn ingeschakeld op de host	Gebruik versleuteling op de host om end-to-end-versleuteling op te halen voor uw virtuele machine en gegevens van de virtuele-machineschaalset. Versleuteling op host maakt versleuteling in rust mogelijk voor uw tijdelijke schijf- en besturingssysteem-/gegevensschijfcaches. Tijdelijke en tijdelijke besturingssysteemschijven worden versleuteld met door het platform beheerde sleutels wanneer versleuteling op de host is ingeschakeld. Caches van besturingssysteem/gegevensschijven worden in rust versleuteld met een door de klant beheerde of platformbeheerde sleutel, afhankelijk van het versleutelingstype dat op de schijf is geselecteerd. Meer informatie op https://aka.ms/vm-hbe.	Controleren, Weigeren, Uitgeschakeld	1.0.0

Cyber Risk Management

Cyber Risk Management - 11.2

Id: RMiT 11.2 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Voor virtuele machines en virtuele-machineschaalsets moet versleuteling zijn ingeschakeld op de host	Gebruik versleuteling op de host om end-to-end-versleuteling op te halen voor uw virtuele machine en gegevens van de virtuele-machineschaalset. Versleuteling op host maakt versleuteling in rust mogelijk voor uw tijdelijke schijf- en besturingssysteem-/gegevensschijfcaches. Tijdelijke en tijdelijke besturingssysteemschijven worden versleuteld met door het platform beheerde sleutels wanneer versleuteling op de host is ingeschakeld. Caches van besturingssysteem/gegevensschijven worden in rust versleuteld met een door de klant beheerde of platformbeheerde sleutel, afhankelijk van het versleutelingstype dat op de schijf is geselecteerd. Meer informatie op https://aka.ms/vm-hbe.	Controleren, Weigeren, Uitgeschakeld	1.0.0

Cyber Risk Management - 11.4

Id: RMiT 11.4 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Back-up configureren op virtuele machines zonder een bepaalde tag naar een bestaande Recovery Services-kluis op dezelfde locatie	Dwing het maken van een back-up af voor alle virtuele machines door deze back-up uit te voeren naar een Recovery Services-kluis op dezelfde locatie en in hetzelfde abonnement als de virtuele machine. Dit is handig wanneer een centraal team in uw organisatie back-ups beheert voor alle resources in een abonnement. U kunt ervoor kiezen om virtuele machines met een opgegeven tag uit te sluiten om zo het toewijzingsbereik te bepalen. Zie https://aka.ms/AzureVMCentralBackupExcludeTag.	auditIfNotExists, AuditIfNotExists, deployIfNotExists, DeployIfNotExists, disabled, Disabled	9.4.0
Not allowed resource types (Niet-toegestane resourcetypen)	Beperken welke resourcetypen in uw omgeving kunnen worden geïmplementeerd. Het beperken van resourcetypen kan de complexiteit en het kwetsbaarheid van uw omgeving verminderen en tegelijkertijd de kosten beheren. Nalevingsresultaten worden alleen weergegeven voor niet-compatibele resources.	Controleren, Weigeren, Uitgeschakeld	2.0.0
Alleen goedgekeurde VM-extensies mogen worden geïnstalleerd	Dit beleid is van toepassing op extensies van virtuele machines die niet zijn goedgekeurd.	Controleren, Weigeren, Uitgeschakeld	1.0.0

Cyberbeveiligingsbewerkingen

Cyberbeveiligingsbewerkingen - 11.5

Id: RMiT 11.5 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Azure Defender voor App Service moet zijn ingeschakeld	Azure Defender voor App Service maakt gebruik van de schaal van de cloud en de zichtbaarheid die Azure als cloudprovider heeft om te controleren op veelvoorkomende aanvallen op web-apps.	AuditIfNotExists, uitgeschakeld	1.0.3
Azure Defender voor servers moet zijn ingeschakeld	Azure Defender voor servers biedt realtime beveiliging tegen bedreigingen voor serverworkloads. Ook worden aanbevelingen voor bescherming en waarschuwingen over verdachte activiteiten gegenereerd.	AuditIfNotExists, uitgeschakeld	1.0.3
Azure Defender voor SQL-servers moet zijn ingeschakeld	Azure Defender voor SQL biedt functionaliteit voor het opsporen en verhelpen van mogelijke databasebeveiligingsproblemen, het detecteren van afwijkende activiteiten die kunnen duiden op een bedreiging voor uw SQL-database en het detecteren en classificeren van gevoelige gegevens.	AuditIfNotExists, uitgeschakeld	1.0.2
Defender for Storage (klassiek) implementeren in opslagaccounts	Met dit beleid schakelt u Defender for Storage (klassiek) in voor opslagaccounts.	DeployIfNotExists, uitgeschakeld	1.0.1
Microsoft Defender voor containers moet zijn ingeschakeld	Microsoft Defender for Containers biedt beveiliging tegen beveiligingsproblemen, evaluatie van beveiligingsproblemen en runtimebeveiligingen voor uw Azure-, hybride en multi-cloud Kubernetes-omgevingen.	AuditIfNotExists, uitgeschakeld	1.0.0
Microsoft Defender voor Storage moet zijn ingeschakeld	Microsoft Defender voor Storage detecteert mogelijke bedreigingen voor uw opslagaccounts. Hiermee voorkomt u de drie belangrijkste gevolgen voor uw gegevens en workload: schadelijke bestandsuploads, exfiltratie van gevoelige gegevens en beschadiging van gegevens. Het nieuwe Defender for Storage-plan omvat malwarescans en detectie van gevoelige gegevensrisico's. Dit plan biedt ook een voorspelbare prijsstructuur (per opslagaccount) voor controle over dekking en kosten.	AuditIfNotExists, uitgeschakeld	1.0.0

Cyberbeveiligingsbewerkingen - 11.8

Id: RMiT 11.8 Eigendom: Gedeeld

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
A vulnerability assessment solution should be enabled on your virtual machines (Er moet een oplossing voor de evaluatie van beveiligingsproblemen op uw virtuele machines worden ingeschakeld)	Controleert virtuele machines om te detecteren of er een ondersteunde oplossing voor de evaluatie van beveiligingsproblemen op wordt uitgevoerd. Een kernonderdeel van elk cyberrisico en beveiligingsprogramma is het identificeren en analyseren van beveiligingsproblemen. De standaardprijscategorie van Azure Security Center omvat het scannen van beveiligingsproblemen voor uw virtuele machines, zonder extra kosten. Daarnaast kan dit hulpprogramma automatisch worden geïmplementeerd.	AuditIfNotExists, uitgeschakeld	3.0.0
Evaluatie van beveiligingsproblemen moet zijn ingeschakeld voor SQL Managed Instance	Controleer elke SQL Managed Instance waarvoor geen terugkerende evaluatie van beveiligingsproblemen is ingeschakeld. Met een evaluatie van beveiligingsproblemen kunt u potentiële beveiligingsproblemen van de database detecteren, bijhouden en herstellen.	AuditIfNotExists, uitgeschakeld	1.0.1
De evaluatie van beveiligingsproblemen moet worden ingeschakeld op uw SQL-servers	Controleer Azure SQL-servers waarvoor de evaluatie van beveiligingsproblemen niet juist is geconfigureerd. Met een evaluatie van beveiligingsproblemen kunt u potentiële beveiligingsproblemen van de database detecteren, bijhouden en herstellen.	AuditIfNotExists, uitgeschakeld	3.0.0

Controlemaatregelen voor cyberbeveiliging

Controlemaatregelen inzake cyberbeveiliging - bijlage 5.2

Id: RMiT Bijlage 5.2 Eigendom: Klant

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Beveiligingsproblemen in de beveiligingsconfiguratie op uw computers moeten worden hersteld	Servers die niet voldoen aan de geconfigureerde basislijn, worden als aanbevelingen bewaakt door Azure Security Center	AuditIfNotExists, uitgeschakeld	3.1.0

Controlemaatregelen inzake cyberbeveiliging - bijlage 5.3

Id: RMiT Bijlage 5.3 Eigendom: Klant

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Voor App Service-apps mag CORS niet zijn geconfigureerd, zodat elke resource toegang heeft tot uw apps	CorS (Cross-Origin Resource Sharing) mag niet alle domeinen toegang geven tot uw app. Sta alleen vereiste domeinen toe om te communiceren met uw app.	AuditIfNotExists, uitgeschakeld	2.0.0
App Service-apps mogen alleen toegankelijk zijn via HTTPS	Door HTTPS te gebruiken, weet u zeker dat server-/serviceverificatie wordt uitgevoerd en dat uw gegevens tijdens de overdracht zijn beschermd tegen aanvallen die meeluisteren in de netwerklaag.	Controleren, uitgeschakeld, weigeren	4.0.0
App Service-apps mogen alleen FTPS vereisen	FTPS-afdwinging inschakelen voor verbeterde beveiliging.	AuditIfNotExists, uitgeschakeld	3.0.0
App Service-apps moeten de nieuwste HTTP-versie gebruiken	Er worden regelmatig nieuwere versies uitgebracht voor HTTP, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste HTTP-versie voor web-apps wordt aanbevolen om te profiteren van beveiligingsfixes, indien van toepassing, en/of nieuwe functies van de nieuwste versie.	AuditIfNotExists, uitgeschakeld	4.0.0
Functie-apps mogen alleen toegankelijk zijn via HTTPS	Door HTTPS te gebruiken, weet u zeker dat server-/serviceverificatie wordt uitgevoerd en dat uw gegevens tijdens de overdracht zijn beschermd tegen aanvallen die meeluisteren in de netwerklaag.	Controleren, uitgeschakeld, weigeren	5.0.0
Functie-apps mogen alleen FTPS vereisen	FTPS-afdwinging inschakelen voor verbeterde beveiliging.	AuditIfNotExists, uitgeschakeld	3.0.0
Functie-apps moeten de nieuwste HTTP-versie gebruiken	Er worden regelmatig nieuwere versies uitgebracht voor HTTP, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste HTTP-versie voor web-apps wordt aanbevolen om te profiteren van beveiligingsfixes, indien van toepassing, en/of nieuwe functies van de nieuwste versie.	AuditIfNotExists, uitgeschakeld	4.0.0

Controlemaatregelen inzake cyberbeveiliging - bijlage 5.5

Id: RMiT Bijlage 5.5 Eigendom: Klant

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Er moet een aangepast IPSec/IKE-beleid worden toegepast op alle gatewayverbindingen met virtuele Azure-netwerken	Dit beleid zorgt ervoor dat alle gatewayverbindingen met virtuele Azure-netwerken een aangepast IPSec/IKE-beleid hebben (Internet Protocol Security/Internet Key Exchange). Ondersteunde algoritmen en sleutelsterkten: https://aka.ms/AA62kb0	Controle, uitgeschakeld	1.0.0
Kubernetes-clusterservices mogen alleen toegestane externe IP-adressen gebruiken	Gebruik toegestane externe IP-adressen om de mogelijke aanval (CVE-2020-8554) in een Kubernetes-cluster te voorkomen. Zie https://aka.ms/kubepolicydoc voor meer informatie.	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	5.2.0

Controlemaatregelen inzake cyberbeveiliging - bijlage 5.6

Id: RMiT Bijlage 5.6 Eigendom: Klant

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Azure SQL Database moet TLS-versie 1.2 of hoger uitvoeren	Als u TLS-versie instelt op 1.2 of hoger, verbetert u de beveiliging door ervoor te zorgen dat uw Azure SQL Database alleen toegankelijk is vanaf clients met TLS 1.2 of hoger. Het is raadzaam geen lagere TLS-versies dan 1.2 te gebruiken, omdat deze goed gedocumenteerde beveiligingsproblemen hebben.	Controleren, uitgeschakeld, weigeren	2.0.0
SSL-verbinding afdwingen moet worden ingeschakeld voor MySQL-databaseservers	Azure Database for MySQL biedt ondersteuning voor het gebruik van Secure Sockets Layer (SSL) om uw Azure Database for MySQL-server te verbinden met clienttoepassingen. Het afdwingen van SSL-verbindingen tussen uw databaseserver en clienttoepassingen zorgt dat u bent beschermt tegen 'man in the middle'-aanvallen omdat de gegevensstroom tussen de server en uw toepassing wordt versleuteld. Deze configuratie dwingt af dat SSL altijd is ingeschakeld voor toegang tot uw databaseserver.	Controle, uitgeschakeld	1.0.1
Kubernetes cluster pods should only use approved host network and port range (Kubernetes-clusterpods mogen alleen toegestane hostnetwerken en poortbereiken gebruiken)	Beperk de podtoegang tot het hostnetwerk en het toegestane hostpoortbereik in een Kubernetes-cluster. Deze aanbeveling maakt deel uit van CIS 5.2.4 die is bedoeld om de beveiliging van uw Kubernetes-omgevingen te verbeteren. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Kubernetes met Azure Arc. Zie https://aka.ms/kubepolicydoc voor meer informatie.	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	6.2.0
Kubernetes-clusterservices mogen alleen luisteren op toegestane poorten	Beperk services om alleen te luisteren op toegestane poorten om de toegang tot het Kubernetes-cluster te beveiligen. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Kubernetes met Azure Arc. Zie https://aka.ms/kubepolicydoc voor meer informatie.	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	8.2.0
Kubernetes-clusters mogen alleen toegankelijk zijn via HTTPS	Het gebruik van HTTPS zorgt voor verificatie en beschermt gegevens tijdens overdracht tegen aanvallen op netwerklagen. Deze mogelijkheid is momenteel algemeen beschikbaar voor Kubernetes Service (AKS) en in preview voor Kubernetes met Azure Arc. Ga voor meer informatie naar https://aka.ms/kubepolicydoc	controleren, controleren, weigeren, weigeren, uitgeschakeld, uitgeschakeld	8.2.0
De MariaDB-server moet gebruikmaken van een service-eindpunt voor een virtueel netwerk	Firewallregels op basis van virtuele netwerken worden gebruikt om verkeer vanaf een specifiek subnet naar Azure Database for MariaDB in te schakelen, waarbij ervoor wordt gezorgd dat het verkeer binnen de grens van Azure blijft. Dit beleid biedt een manier om te controleren of Azure Database for MariaDB een virtuele-netwerkservice-eindpunt gebruikt.	AuditIfNotExists, uitgeschakeld	1.0.2
De MySQL-server moet gebruikmaken van een service-eindpunt voor een virtueel netwerk	Firewallregels op basis van virtuele netwerken worden gebruikt om verkeer vanaf een specifiek subnet naar Azure Database for MySQL in te schakelen, waarbij ervoor wordt gezorgd dat het verkeer binnen de grens van Azure blijft. Dit beleid biedt een manier om te controleren of Azure Database for MySQL een virtuele-netwerkservice-eindpunt gebruikt.	AuditIfNotExists, uitgeschakeld	1.0.2
De PostgreSQL-server moet gebruikmaken van een service-eindpunt voor een virtueel netwerk	Firewallregels op basis van virtuele netwerken worden gebruikt om verkeer vanaf een specifiek subnet naar Azure Database for PostgreSQL in te schakelen, waarbij ervoor wordt gezorgd dat het verkeer binnen de grens van Azure blijft. Dit beleid biedt een manier om te controleren of Azure Database for PostgreSQL een virtuele-netwerkservice-eindpunt gebruikt.	AuditIfNotExists, uitgeschakeld	1.0.2
Openbare netwerktoegang voor Azure SQL Database moet zijn uitgeschakeld	Het uitschakelen van de eigenschap openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat uw Azure SQL Database alleen toegankelijk is vanuit een privé-eindpunt. Deze configuratie weigert alle aanmeldingen die overeenkomen met de firewallregels op basis van IP of virtueel netwerk.	Controleren, Weigeren, Uitgeschakeld	1.1.0
Openbare netwerktoegang moet worden uitgeschakeld voor MariaDB-servers	Schakel de eigenschap 'openbare netwerktoegang' uit om de beveiliging te verbeteren en ervoor te zorgen dat uw Azure Database for MariaDB alleen toegankelijk is vanuit een privé-eindpunt. Met deze configuratie wordt de toegang vanuit elke openbare adresruimte buiten Azure IP-bereik geheel uitgeschakeld, en worden alle aanmeldingen die overeenkomen met firewallregels op basis van IP of virtueel netwerk, geweigerd.	Controleren, Weigeren, Uitgeschakeld	2.0.0
Openbare netwerktoegang moet zijn uitgeschakeld voor flexibele MySQL-servers	Het uitschakelen van de eigenschap voor openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat uw flexibele Azure Database for MySQL-servers alleen toegankelijk zijn vanuit een privé-eindpunt. Met deze configuratie wordt de toegang vanuit elke openbare adresruimte buiten Azure IP-bereik geheel uitgeschakeld, en worden alle aanmeldingen geweigerd die overeenkomen met firewallregels op basis van IP of virtueel netwerk.	Controleren, Weigeren, Uitgeschakeld	2.1.0
Openbare netwerktoegang moet worden uitgeschakeld voor MySQL-servers	Schakel de eigenschap 'openbare netwerktoegang' uit om de beveiliging te verbeteren en ervoor te zorgen dat uw Azure Database for MySQL alleen toegankelijk is vanuit een privé-eindpunt. Met deze configuratie wordt de toegang vanuit elke openbare adresruimte buiten Azure IP-bereik geheel uitgeschakeld, en worden alle aanmeldingen die overeenkomen met firewallregels op basis van IP of virtueel netwerk, geweigerd.	Controleren, Weigeren, Uitgeschakeld	2.0.0
Openbare netwerktoegang moet zijn uitgeschakeld voor flexibele PostgreSQL-servers	Het uitschakelen van de eigenschap voor openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat uw flexibele Azure Database for PostgreSQL-servers alleen toegankelijk zijn vanuit een privé-eindpunt. Met deze configuratie wordt de toegang strikt uitgeschakeld vanuit een openbare adresruimte buiten het Azure IP-bereik en worden alle aanmeldingen geweigerd die overeenkomen met firewallregels op basis van IP.	Controleren, Weigeren, Uitgeschakeld	3.1.0
Openbare netwerktoegang moet worden uitgeschakeld voor PostgreSQL-servers	Schakel de eigenschap 'openbare netwerktoegang' uit om de beveiliging te verbeteren en ervoor te zorgen dat uw Azure Database for PostgreSQL alleen toegankelijk is vanuit een privé-eindpunt. Met deze configuratie wordt de toegang vanuit elke openbare adresruimte buiten Azure IP-bereik uitgeschakeld. Hiernaast worden alle aanmeldingen geweigerd die overeenkomen met firewallregels op basis van IP of virtueel netwerk.	Controleren, Weigeren, Uitgeschakeld	2.0.1
Voor SQL Managed Instance moet minimaal TLS-versie 1.2 worden gebruikt	Als u de minimale TLS-versie instelt op 1.2, verbetert u de beveiliging door ervoor te zorgen dat uw SQL Managed Instance alleen toegankelijk is vanaf clients met TLS 1.2. Het is raadzaam geen lagere TLS-versies dan 1.2 te gebruiken, omdat deze goed gedocumenteerde beveiligingsproblemen hebben.	Controle, uitgeschakeld	1.0.1
De firewallregel voor virtuele netwerken van Azure SQL Database moet zijn ingeschakeld om verkeer van het opgegeven subnet toe te staan	Firewallregels op basis van virtuele netwerken worden gebruikt om verkeer vanaf een specifiek subnet naar Azure SQL Database in te schakelen, waarbij ervoor wordt gezorgd dat het verkeer binnen de grens van Azure blijft.	AuditIfNotExists	1.0.0
Web Application Firewall (WAF) moet zijn ingeschakeld voor Application Gateway	Implementeer Azure Web Application Firewall (WAF) voor openbare webtoepassingen voor extra inspectie van binnenkomend verkeer. WAF (Web Application Firewall) biedt gecentraliseerde bescherming van uw webtoepassingen, van veelvoorkomende aanvallen tot beveiligingsproblemen, zoals SQL-injecties, aanvallen via scripting op meerdere sites en lokale en externe bestandsuitvoeringen. U kunt de toegang tot uw webtoepassingen ook beperken op basis van landen, IP-adresbereiken en andere http(s)-para meters via aangepaste regels.	Controleren, Weigeren, Uitgeschakeld	2.0.0
Web Application Firewall (WAF) moet de opgegeven modus gebruiken voor Application Gateway	Hiermee wordt machtiging verleend dat de modus Detectie of Preventie actief is voor alle Web Application Firewall-beleidsregels voor Application Gateway.	Controleren, Weigeren, Uitgeschakeld	1.0.0
Web Application Firewall (WAF) moet de opgegeven modus gebruiken voor Azure Front Door Service	Hiermee wordt machtiging verleend dat de modus Detectie of Preventie actief is voor alle Web Application Firewall-beleidsregels voor Azure Front Door Service.	Controleren, Weigeren, Uitgeschakeld	1.0.0

Controlemaatregelen inzake cyberbeveiliging - bijlage 5.7

Id: RMiT Bijlage 5.7 Eigendom: Klant

Naam (Azure-portal)	Beschrijving	Gevolg(en)	Versie (GitHub)
Alle resources voor stroomlogboeken moeten de status Ingeschakeld hebben	Controleer of stroomlogboekbronnen zijn ingeschakeld om te controleren of de status van het stroomlogboek is ingeschakeld. Als u stroomlogboeken inschakelt, kunt u logboekinformatie over HET IP-verkeer vastleggen. Het kan worden gebruikt voor het optimaliseren van netwerkstromen, het controleren van de doorvoer, het controleren van de naleving, het detecteren van inbraakpogingen en meer.	Controle, uitgeschakeld	1.0.1
Alle netwerkpoorten moeten worden beperkt in netwerkbeveiligingsgroepen die zijn gekoppeld aan uw virtuele machine	Azure Security Center heeft een aantal te ruime regels voor binnenkomende verbindingen van uw netwerkbeveiligingsgroepen geïdentificeerd. Inkomende regels mogen geen toegang toestaan vanuit de bereiken ‘Any’ of ‘Internet’. Dit kan mogelijke kwaadwillende personen in staat stellen om uw resources aan te vallen.	AuditIfNotExists, uitgeschakeld	3.0.0
App Service-apps moeten externe foutopsporing hebben uitgeschakeld	Voor externe foutopsporing moeten binnenkomende poorten worden geopend in een App Service-app. Externe foutopsporing moet worden uitgeschakeld.	AuditIfNotExists, uitgeschakeld	2.0.0
Azure DDoS Protection moet zijn ingeschakeld	DDoS-beveiliging moet zijn ingeschakeld voor alle virtuele netwerken met een subnet dat deel uitmaakt van een toepassingsgateway met een openbaar IP-adres.	AuditIfNotExists, uitgeschakeld	3.0.1
Azure Defender voor Azure SQL-databaseservers moet zijn ingeschakeld	Azure Defender voor SQL biedt functionaliteit voor het opsporen en verhelpen van mogelijke databasebeveiligingsproblemen, het detecteren van afwijkende activiteiten die kunnen duiden op een bedreiging voor uw SQL-database en het detecteren en classificeren van gevoelige gegevens.	AuditIfNotExists, uitgeschakeld	1.0.2
Azure Defender voor servers moet zijn ingeschakeld	Azure Defender voor servers biedt realtime beveiliging tegen bedreigingen voor serverworkloads. Ook worden aanbevelingen voor bescherming en waarschuwingen over verdachte activiteiten gegenereerd.	AuditIfNotExists, uitgeschakeld	1.0.3
Azure Defender voor SQL-servers moet zijn ingeschakeld	Azure Defender voor SQL biedt functionaliteit voor het opsporen en verhelpen van mogelijke databasebeveiligingsproblemen, het detecteren van afwijkende activiteiten die kunnen duiden op een bedreiging voor uw SQL-database en het detecteren en classificeren van gevoelige gegevens.	AuditIfNotExists, uitgeschakeld	1.0.2
Azure SQL Server configureren om privé-eindpuntverbindingen in te schakelen	Een privé-eindpuntverbinding maakt privéconnectiviteit met uw Azure SQL Database mogelijk via een privé-IP-adres in een virtueel netwerk. Deze configuratie verbetert uw beveiligingspostuur en ondersteunt Azure-netwerkhulpprogramma's en -scenario's.	DeployIfNotExists, uitgeschakeld	1.0.0
E-mailmelding voor waarschuwingen met hoge urgentie moet zijn ingeschakeld	Om ervoor te zorgen dat de relevante personen in uw organisatie worden gewaarschuwd wanneer er sprake is van een mogelijke schending van de beveiliging in een van uw abonnementen, kunt u e-mailmeldingen inschakelen voor waarschuwingen met hoge urgentie in Security Center.	AuditIfNotExists, uitgeschakeld	1.2.0
Stroomlogboeken moeten worden geconfigureerd voor elke netwerkbeveiligingsgroep	Controleer of stroomlogboeken zijn geconfigureerd voor netwerkbeveiligingsgroepen. Als u stroomlogboeken inschakelt, kunt u logboekgegevens vastleggen over IP-verkeer dat via de netwerkbeveiligingsgroep stroomt. Het kan worden gebruikt voor het optimaliseren van netwerkstromen, het controleren van de doorvoer, het controleren van de naleving, het detecteren van inbraakpogingen en meer.	Controle, uitgeschakeld	1.1.0
Functie-apps moeten externe foutopsporing uitschakelen	Voor externe foutopsporing moeten binnenkomende poorten worden geopend in Functie-apps. Externe foutopsporing moet worden uitgeschakeld.	AuditIfNotExists, uitgeschakeld	2.0.0
Voor functie-apps mag CORS niet zijn geconfigureerd om elke resource toegang te geven tot uw apps	Gebruik van Cross-Origin Resource Sharing (CORS) mag er niet toe leiden dat alle domeinen toegang hebben tot uw Function-app. Sta alleen de vereiste domeinen toe om met uw Function-app te communiceren.	AuditIfNotExists, uitgeschakeld	2.0.0
Op internet gerichte virtuele machines moeten worden beveiligd met netwerkbeveiligingsgroepen	Bescherm uw virtuele machines tegen mogelijke bedreigingen door de toegang tot de VM te beperken met een netwerkbeveiligingsgroep (Network Security Group/NSG). U vindt meer informatie over het beheren van verkeer met NSG's op https://aka.ms/nsg-doc	AuditIfNotExists, uitgeschakeld	3.0.0
Doorsturen via IP op uw virtuele machine moet zijn uitgeschakeld	Door doorsturen via IP in te schakelen op de NIC van een virtuele machine kan de computer verkeer ontvangen dat is geadresseerd aan andere bestemmingen. Doorsturen via IP is zelden vereist (bijvoorbeeld wanneer de VM wordt gebruikt als een virtueel netwerkapparaat). Daarom moet dit worden gecontroleerd door het netwerkbeveiligingsteam.	AuditIfNotExists, uitgeschakeld	3.0.0
Microsoft Defender voor containers moet zijn ingeschakeld	Microsoft Defender for Containers biedt beveiliging tegen beveiligingsproblemen, evaluatie van beveiligingsproblemen en runtimebeveiligingen voor uw Azure-, hybride en multi-cloud Kubernetes-omgevingen.	AuditIfNotExists, uitgeschakeld	1.0.0
Microsoft IaaSAntimalware-uitbreiding moet zijn geïmplementeerd op Windows-servers	Met dit beleid wordt elke Windows Server-VM gecontroleerd waarvoor de Microsoft IaaSAntimalware-uitbreiding niet is geïmplementeerd.	AuditIfNotExists, uitgeschakeld	1.1.0
Niet-internetgerichte virtuele machines moeten worden beveiligd met netwerkbeveiligingsgroepen	Bescherm uw niet-internetgerichte virtuele machines tegen mogelijke bedreigingen door de toegang te beperken met een netwerkbeveiligingsgroep (Network Security Group/NSG). U vindt meer informatie over het beheren van verkeer met NSG's op https://aka.ms/nsg-doc	AuditIfNotExists, uitgeschakeld	3.0.0
Het privé-eindpunt moet worden ingeschakeld voor MariaDB-servers	Met privé-eindpuntverbindingen wordt beveiligde communicatie afgedwongen door middel van het inschakelen van privéconnectiviteit met Azure Database for MariaDB. Configureer een privé-eindpuntverbinding om alleen verkeer dat afkomstig is van bekende netwerken toegang te verlenen en om verkeer van alle andere IP-adressen, ook binnen Azure, toegang te ontzeggen.	AuditIfNotExists, uitgeschakeld	1.0.2
Het privé-eindpunt moet worden ingeschakeld voor PostgreSQL-servers	Met privé-eindpuntverbindingen wordt beveiligde communicatie afgedwongen door middel van het inschakelen van privéconnectiviteit met Azure Database for PostgreSQL. Configureer een privé-eindpuntverbinding om alleen verkeer dat afkomstig is van bekende netwerken toegang te verlenen en om verkeer van alle andere IP-adressen, ook binnen Azure, toegang te ontzeggen.	AuditIfNotExists, uitgeschakeld	1.0.2
Subnetten moeten worden gekoppeld aan een netwerkbeveiligingsgroep	Bescherm uw subnet tegen mogelijke bedreigingen door de toegang te beperken met een netwerkbeveiligingsgroep (Network Security Group/NSG). NSG's bevatten een lijst met ACL-regels (Access Control List) waarmee netwerkverkeer naar uw subnet wordt toegestaan of geweigerd.	AuditIfNotExists, uitgeschakeld	3.0.0
Abonnementen moeten een e-mailadres van contactpersonen voor beveiligingsproblemen bevatten	Om ervoor te zorgen dat de relevante personen in uw organisatie worden gewaarschuwd wanneer er sprake is van een mogelijke schending van de beveiliging in een van uw abonnementen, moet u een veiligheidscontact instellen die e-mailmeldingen van Security Center ontvangt.	AuditIfNotExists, uitgeschakeld	1.0.1

Volgende stappen

Aanvullende artikelen over Azure Policy:

• Overzicht voor naleving van regelgeving.
• Bekijk de structuur van initiatiefdefinities.
• Bekijk andere voorbeelden op Voorbeelden van Azure Policy.
• Lees Informatie over de effecten van het beleid.
• Ontdek hoe u niet-compatibele resources kunt herstellen.