Zarządzanie wartościami domyślnymi zabezpieczeń usługi Azure Stack HCI w wersji 23H2
Dotyczy: Azure Stack HCI, wersja 23H2
W tym artykule opisano sposób zarządzania domyślnymi ustawieniami zabezpieczeń klastra usługi Azure Stack HCI. Możesz również zmodyfikować ustawienia kontroli dryfu i chronionych zabezpieczeń zdefiniowanych podczas wdrażania, aby urządzenie było w znanym dobrym stanie.
Wymagania wstępne
Przed rozpoczęciem upewnij się, że masz dostęp do systemu Azure Stack HCI w wersji 23H2, który jest wdrażany, zarejestrowany i połączony z platformą Azure.
Wyświetlanie ustawień domyślnych zabezpieczeń w witrynie Azure Portal
Aby wyświetlić ustawienia domyślne zabezpieczeń w witrynie Azure Portal, upewnij się, że zastosowano inicjatywę MCSB. Aby uzyskać więcej informacji, zobacz Apply Microsoft Cloud Security Benchmark initiative (Stosowanie inicjatywy testu porównawczego zabezpieczeń w chmurze firmy Microsoft).
Ustawienia domyślne zabezpieczeń umożliwiają zarządzanie zabezpieczeniami klastra, kontrolą dryfu i ustawieniami zabezpieczonego serwera podstawowego w klastrze.
Wyświetl stan podpisywania SMB na karcie> Ochronadanych Ochrona sieci. Podpisywanie SMB umożliwia cyfrowe podpisywanie ruchu SMB między systemem Azure Stack HCI i innymi systemami.
Wyświetlanie zgodności punktu odniesienia zabezpieczeń w witrynie Azure Portal
Po zarejestrowaniu systemu Azure Stack HCI w usłudze Microsoft Defender for Cloud lub przypisaniu wbudowanych zasad maszyny z systemem Windows powinny spełniać wymagania punktu odniesienia zabezpieczeń obliczeń platformy Azure, generowany jest raport zgodności. Aby uzyskać pełną listę reguł, z których jest porównywany serwer Azure Stack HCI, zobacz Punkt odniesienia zabezpieczeń systemu Windows.
W przypadku serwera Azure Stack HCI, gdy zostaną spełnione wszystkie wymagania sprzętowe dla zabezpieczonego rdzenia, wynik zgodności to 281 z 288 reguł — czyli 281 na 288 reguł jest zgodnych.
W poniższej tabeli wyjaśniono reguły, które nie są zgodne, oraz uzasadnienie bieżącej luki:
Nazwa reguły | Oczekiwane | Actual | Logika | Komentarze |
---|---|---|---|---|
Logowanie interakcyjne: tekst komunikatu dla użytkowników próbujących się zalogować | Oczekiwaniami: | Rzeczywiste: | Operator: NOTEQUALS |
Oczekujemy, że ta wartość zostanie zdefiniowana bez kontroli dryfu. |
Logowanie interakcyjne: tytuł komunikatu dla użytkowników próbujących się zalogować | Oczekiwaniami: | Rzeczywiste: | Operator: NOTEQUALS |
Oczekujemy, że ta wartość zostanie zdefiniowana bez kontroli dryfu. |
Minimalna długość hasła | Oczekiwano: 14 | Wartość rzeczywista: 0 | Operator: GREATEROREQUAL |
Oczekujemy, że ta wartość zostanie zdefiniowana bez kontroli dryfu, która jest zgodna z zasadami organizacji. |
Zapobieganie pobieraniu metadanych urządzenia z Internetu | Oczekiwano: 1 | Wartość rzeczywista: (null) | Operator: RÓWNA |
Ta kontrolka nie ma zastosowania do usługi Azure Stack HCI. |
Uniemożliwianie użytkownikom i aplikacjom uzyskiwania dostępu do niebezpiecznych witryn internetowych | Oczekiwano: 1 | Wartość rzeczywista: (null) | Operator: RÓWNA |
Ta kontrolka jest częścią ochrony usługi Windows Defender, która nie jest domyślnie włączona. Możesz ocenić, czy chcesz włączyć. |
Wzmocnione ścieżki UNC — NETLOGON | Oczekiwaniami: RequireMutualAuthentication=1 RequireIntegrity=1 |
Wartość rzeczywista: RequireMutualAuthentication=1 RequireIntegrity=1 RequirePrivacy=1 |
Operator: RÓWNA |
Rozwiązanie Azure Stack HCI jest bardziej restrykcyjne. Tę regułę można bezpiecznie zignorować. |
Wzmocnione ścieżki UNC — SYSVOL | Oczekiwaniami: RequireMutualAuthentication=1 RequireIntegrity=1 |
Rzeczywiste: RequireMutualAuthentication=1 RequireIntegrity=1 RequirePrivacy=1 |
Operator: RÓWNA |
Rozwiązanie Azure Stack HCI jest bardziej restrykcyjne. Tę regułę można bezpiecznie zignorować. |
Zarządzanie wartościami domyślnymi zabezpieczeń przy użyciu programu PowerShell
Po włączeniu ochrony dryfu można modyfikować tylko niechronione ustawienia zabezpieczeń. Aby zmodyfikować chronione ustawienia zabezpieczeń, które tworzą punkt odniesienia, należy najpierw wyłączyć ochronę dryfu. Aby wyświetlić i pobrać pełną listę ustawień zabezpieczeń, zobacz Punkt odniesienia zabezpieczeń.
Modyfikowanie wartości domyślnych zabezpieczeń
Rozpocznij od początkowego punktu odniesienia zabezpieczeń, a następnie zmodyfikuj kontrolę dryfu i ustawienia zabezpieczeń chronione zdefiniowane podczas wdrażania.
Włączanie kontrolki dryfu
Aby włączyć kontrolkę dryfu, wykonaj następujące czynności:
Połącz się z węzłem rozwiązania Azure Stack HCI.
Uruchom następujące polecenie cmdlet:
Enable-AzsSecurity -FeatureName DriftControl -Scope <Local | Cluster>
- Lokalne — dotyczy tylko węzła lokalnego.
- Klaster — wpływa na wszystkie węzły w klastrze przy użyciu orkiestratora.
Wyłączanie kontrolki dryfu
Aby wyłączyć kontrolkę dryfu, wykonaj następujące czynności:
Połącz się z węzłem rozwiązania Azure Stack HCI.
Uruchom następujące polecenie cmdlet:
Disable-AzsSecurity -FeatureName DriftControl -Scope <Local | Cluster>
- Lokalne — dotyczy tylko węzła lokalnego.
- Klaster — wpływa na wszystkie węzły w klastrze przy użyciu orkiestratora.
Ważne
Jeśli wyłączysz kontrolkę dryfu, ustawienia chronione można modyfikować. Jeśli ponownie włączysz kontrolkę dryfu, wszelkie zmiany wprowadzone w ustawieniach chronionych zostaną zastąpione.
Konfigurowanie ustawień zabezpieczeń podczas wdrażania
W ramach wdrożenia można zmodyfikować kontrolę dryfu i inne ustawienia zabezpieczeń, które stanowią punkt odniesienia zabezpieczeń w klastrze.
W poniższej tabeli opisano ustawienia zabezpieczeń, które można skonfigurować w klastrze usługi Azure Stack HCI podczas wdrażania.
Obszar funkcji | Cecha | Opis | Obsługuje kontrolę dryfu? |
---|---|---|---|
Nadzór | Punkt odniesienia zabezpieczeń | Zachowuje wartości domyślne zabezpieczeń na każdym serwerze. Pomaga chronić przed zmianami. | Tak |
Ochrona poświadczeń | Windows Defender Credential Guard | Używa zabezpieczeń opartych na wirtualizacji w celu odizolowania wpisów tajnych od ataków polegających na kradzieży poświadczeń. | Tak |
Sterowanie aplikacjami | Kontrola aplikacji usługi Windows Defender | Steruje sterownikami i aplikacjami, które mogą być uruchamiane bezpośrednio na każdym serwerze. | Nie |
Szyfrowanie danych magazynowanych | Funkcja BitLocker dla woluminu rozruchowego systemu operacyjnego | Szyfruje wolumin uruchamiania systemu operacyjnego na każdym serwerze. | Nie |
Szyfrowanie danych magazynowanych | Funkcja BitLocker dla woluminów danych | Szyfruje udostępnione woluminy klastra (CSV) w tym klastrze | Nie |
Ochrona danych podczas przesyłania | Podpisywanie dla zewnętrznego ruchu SMB | Podpisuje ruch SMB między tym systemem a innymi, aby zapobiec atakom przekazywania. | Tak |
Ochrona danych podczas przesyłania | Szyfrowanie SMB dla ruchu w klastrze | Szyfruje ruch między serwerami w klastrze (w sieci magazynu). | Nie |
Modyfikowanie ustawień zabezpieczeń po wdrożeniu
Po zakończeniu wdrażania można użyć programu PowerShell, aby zmodyfikować ustawienia zabezpieczeń przy zachowaniu kontroli dryfu. Niektóre funkcje wymagają ponownego uruchomienia, aby zaczęły obowiązywać.
Właściwości polecenia cmdlet programu PowerShell
Następujące właściwości polecenia cmdlet dotyczą modułu AzureStackOSConfigAgent . Moduł jest instalowany podczas wdrażania.
Get-AzsSecurity
-Scope: <Local | PerNode | AllNodes | Klastra>- Local — udostępnia wartość logiczną (true/False) w węźle lokalnym. Można uruchomić z poziomu regularnej zdalnej sesji programu PowerShell.
- PerNode — udostępnia wartość logiczną (true/False) na węzeł.
- Raport — wymaga protokołu CredSSP lub serwera Azure Stack HCI przy użyciu połączenia protokołu RDP (Remote Desktop Protocol).
- AllNodes — udostępnia wartość logiczną (true/False) obliczoną między węzłami.
- Cluster — udostępnia wartość logiczną z magazynu ECE. Współdziała z orkiestratorem i działa we wszystkich węzłach w klastrze.
Enable-AzsSecurity
-Scope <Local | Klastra>Disable-AzsSecurity
-Scope <Local | Klastra>- FeatureName — <CredentialGuard | DriftControl | DRTM | HVCI | SideChannelMitigation | SMBEncryption | SMBSigning | VBS>
- Credential Guard
- Drift, kontrolka
- VBS (Zabezpieczenia oparte na wirtualizacji) — obsługujemy tylko polecenie enable.
- DRTM (dynamiczny katalog zaufania dla miary)
- HVCI (funkcja Hypervisor wymuszana, jeśli integralność kodu)
- Środki zaradcze kanału bocznego
- Szyfrowanie protokołu SMB
- Podpisywanie protokołu SMB
- FeatureName — <CredentialGuard | DriftControl | DRTM | HVCI | SideChannelMitigation | SMBEncryption | SMBSigning | VBS>
Poniższa tabela zawiera dokumenty dotyczące obsługiwanych funkcji zabezpieczeń, niezależnie od tego, czy obsługują kontrolę dryfu oraz czy do zaimplementowania funkcji jest wymagany ponowny rozruch.
Nazwa | Cecha | Obsługuje kontrolkę dryfu | Wymagany ponowny rozruch |
---|---|---|---|
Włącz |
Zabezpieczenia oparte na wirtualizacji (VBS) | Tak | Tak |
Włącz Wyłącz |
Dynamiczny katalog zaufania dla miary (DRTM) | Tak | Tak |
Włącz Wyłącz |
Funkcja Hypervisor chroniona integralności kodu (HVCI) | Tak | Tak |
Włącz Wyłącz |
Środki zaradcze kanału bocznego | Tak | Tak |
Włącz Wyłącz |
Podpisywanie protokołu SMB | Tak | Tak |
Włącz Wyłącz |
Szyfrowanie klastra SMB | Nie, ustawienie klastra | Nie |