Zalecenia dotyczące zabezpieczeń

W tym artykule wymieniono wszystkie zalecenia dotyczące zabezpieczeń, które można zobaczyć w Microsoft Defender dla Chmury. Zalecenia wyświetlane w twoim środowisku są oparte na zasobach, które chronisz i na dostosowanej konfiguracji.

Rekomendacje w Defender dla Chmury są oparte na tezie porównawczym zabezpieczeń w chmurze firmy Microsoft. Test porównawczy zabezpieczeń w chmurze firmy Microsoft to utworzony przez firmę Microsoft zestaw wytycznych dotyczących najlepszych rozwiązań dotyczących zabezpieczeń i zgodności. Ten powszechnie szanowany punkt odniesienia opiera się na kontrolach z Centrum Bezpieczeństwa Internetowego (CIS) i Narodowego Instytutu Standardów i Technologii (NIST), koncentrując się na zabezpieczeniach skoncentrowanych na chmurze.

Aby dowiedzieć się więcej o akcjach, które można wykonać w odpowiedzi na te zalecenia, zobacz Korygowanie zaleceń w Defender dla Chmury.

Wskaźnik bezpieczeństwa jest oparty na liczbie ukończonych zaleceń dotyczących zabezpieczeń. Aby zdecydować, które zalecenia należy rozwiązać jako pierwsze, przyjrzyj się ważności poszczególnych rekomendacji i jej potencjalnemu wpływowi na wskaźnik bezpieczeństwa.

Napiwek

Jeśli opis zalecenia zawiera tekst Brak powiązanych zasad, zwykle jest to spowodowane tym, że zalecenie jest zależne od innego zalecenia i jego zasad.

Na przykład zalecenie Niepowodzenia kondycji programu Endpoint Protection należy skorygować , opiera się na rekomendacji sprawdzającej, czy rozwiązanie ochrony punktu końcowego jest nawet zainstalowane (należy zainstalować rozwiązanie Endpoint Protection). Rekomendacja bazowa ma zasady. Ograniczenie zasad tylko do podstawowych zaleceń upraszcza zarządzanie zasadami.

Zalecenia dotyczące usługi AppServices

Aplikacja interfejsu API powinna być dostępna tylko za pośrednictwem protokołu HTTPS

Opis: Użycie protokołu HTTPS zapewnia uwierzytelnianie serwera/usługi i chroni dane przesyłane przed atakami podsłuchiwania warstwy sieciowej. (Powiązane zasady: Aplikacja interfejsu API powinna być dostępna tylko za pośrednictwem protokołu HTTPS.

Ważność: średni rozmiar

Mechanizm CORS nie powinien zezwalać każdemu zasobowi na dostęp do usługi API Apps

Opis: Udostępnianie zasobów między źródłami (CORS) nie powinno zezwalać wszystkim domenom na dostęp do aplikacji interfejsu API. Zezwalaj tylko domenom wymaganym na interakcję z aplikacją interfejsu API. (Powiązane zasady: Mechanizm CORS nie powinien zezwalać każdemu zasobowi na dostęp do aplikacji interfejsu API).

Ważność: Niska

Mechanizm CORS nie powinien zezwalać każdemu zasobowi na dostęp do aplikacji funkcji

Opis: Udostępnianie zasobów między źródłami (CORS) nie powinno zezwalać wszystkim domenom na dostęp do aplikacji funkcji. Zezwalaj tylko domenom wymaganym na interakcję z aplikacją funkcji. (Powiązane zasady: Mechanizm CORS nie powinien zezwalać każdemu zasobowi na dostęp do aplikacji funkcji).

Ważność: Niska

Mechanizm CORS nie powinien zezwalać każdemu zasobowi na dostęp do aplikacji internetowych

Opis: Udostępnianie zasobów między źródłami (CORS) nie powinno zezwalać wszystkim domenom na dostęp do aplikacji internetowej. Zezwalaj tylko na interakcję z aplikacją internetową tylko wymaganych domen. (Powiązane zasady: Mechanizm CORS nie powinien zezwalać każdemu zasobowi na dostęp do aplikacji internetowych).

Ważność: Niska

Dzienniki diagnostyczne w usłudze App Service powinny być włączone

Opis: Inspekcja włączania dzienników diagnostycznych w aplikacji. Dzięki temu można odtworzyć ślady aktywności do celów badania, jeśli wystąpi zdarzenie zabezpieczeń lub bezpieczeństwo sieci (brak powiązanych zasad).

Ważność: średni rozmiar

Upewnij się, że aplikacja interfejsu API ma certyfikaty klienta przychodzące certyfikaty klienta ustawione na włączone

Opis: Certyfikaty klienta umożliwiają aplikacji żądanie certyfikatu dla żądań przychodzących. Tylko klienci z prawidłowym certyfikatem będą mogli uzyskać dostęp do aplikacji. (Powiązane zasady: Upewnij się, że aplikacja interfejsu API ma ustawioną wartość "Certyfikaty klienta (przychodzące certyfikaty klienta)".

Ważność: średni rozmiar

Protokół FTPS powinien być wymagany w aplikacjach interfejsu API

Opis: Włącz wymuszanie protokołu FTPS dla zwiększonych zabezpieczeń (powiązane zasady: w aplikacji interfejsu API powinny być wymagane tylko usługi FTPS).

Ważność: Wysoka

Protokół FTPS powinien być wymagany w aplikacjach funkcji

Opis: Włącz wymuszanie FTPS dla zwiększonych zabezpieczeń (powiązane zasady: w aplikacji funkcji powinny być wymagane tylko usługi FTPS).

Ważność: Wysoka

Protokół FTPS powinien być wymagany w aplikacjach internetowych

Opis: Włącz wymuszanie ftpS dla zwiększonych zabezpieczeń (powiązane zasady: FTPS powinny być wymagane w aplikacji internetowej).

Ważność: Wysoka

Aplikacja funkcji powinna być dostępna tylko za pośrednictwem protokołu HTTPS

Opis: Użycie protokołu HTTPS zapewnia uwierzytelnianie serwera/usługi i chroni dane przesyłane przed atakami podsłuchiwania warstwy sieciowej. (Powiązane zasady: Aplikacja funkcji powinna być dostępna tylko za pośrednictwem protokołu HTTPS).

Ważność: średni rozmiar

Aplikacje funkcji powinny mieć włączone certyfikaty klienta (przychodzące certyfikaty klienta)

Opis: Certyfikaty klienta umożliwiają aplikacji żądanie certyfikatu dla żądań przychodzących. Tylko klienci z prawidłowymi certyfikatami będą mogli uzyskać dostęp do aplikacji. (Powiązane zasady: Aplikacje funkcji powinny mieć włączoną opcję "Certyfikaty klienta (przychodzące certyfikaty klienta)".

Ważność: średni rozmiar

Język Java powinien zostać zaktualizowany do najnowszej wersji aplikacji interfejsu API

Opis: Okresowo nowsze wersje są wydawane dla języka Java z powodu wad zabezpieczeń lub uwzględnienia dodatkowych funkcji. Korzystanie z najnowszej wersji języka Python dla aplikacji interfejsu API jest zalecane, aby korzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. (Powiązane zasady: Upewnij się, że wersja języka Java jest najnowsza, jeśli jest używana jako część aplikacji interfejsu API).

Ważność: średni rozmiar

Tożsamość zarządzana powinna być używana w aplikacjach interfejsu API

Opis: W przypadku zwiększonych zabezpieczeń uwierzytelniania użyj tożsamości zarządzanej. Na platformie Azure tożsamości zarządzane eliminują potrzebę, aby deweloperzy musieli zarządzać poświadczeniami, zapewniając tożsamość zasobu platformy Azure w usłudze Azure AD i używając ich do uzyskiwania tokenów usługi Azure Active Directory (Azure AD). (Powiązane zasady: Tożsamość zarządzana powinna być używana w aplikacji interfejsu API).

Ważność: średni rozmiar

Tożsamość zarządzana powinna być używana w aplikacjach funkcji

Opis: W przypadku zwiększonych zabezpieczeń uwierzytelniania użyj tożsamości zarządzanej. Na platformie Azure tożsamości zarządzane eliminują potrzebę, aby deweloperzy musieli zarządzać poświadczeniami, zapewniając tożsamość zasobu platformy Azure w usłudze Azure AD i używając ich do uzyskiwania tokenów usługi Azure Active Directory (Azure AD). (Powiązane zasady: Tożsamość zarządzana powinna być używana w aplikacji funkcji).

Ważność: średni rozmiar

Tożsamość zarządzana powinna być używana w aplikacjach internetowych

Opis: W przypadku zwiększonych zabezpieczeń uwierzytelniania użyj tożsamości zarządzanej. Na platformie Azure tożsamości zarządzane eliminują potrzebę, aby deweloperzy musieli zarządzać poświadczeniami, zapewniając tożsamość zasobu platformy Azure w usłudze Azure AD i używając ich do uzyskiwania tokenów usługi Azure Active Directory (Azure AD). (Powiązane zasady: Tożsamość zarządzana powinna być używana w aplikacji internetowej).

Ważność: średni rozmiar

Usługa Microsoft Defender dla usługi App Service powinna być włączona

Opis: Usługa Microsoft Defender for App Service wykorzystuje skalę chmury oraz widoczność, którą platforma Azure ma jako dostawcę usług w chmurze, do monitorowania typowych ataków aplikacji internetowych. Usługa Microsoft Defender for App Service umożliwia wykrywanie ataków na aplikacje i identyfikowanie pojawiających się ataków.

Ważne: Skorygowanie tego zalecenia spowoduje naliczanie opłat za ochronę planów usługi App Service. Jeśli nie masz żadnych planów usługi App Service w tej subskrypcji, nie będą naliczane żadne opłaty. Jeśli w przyszłości utworzysz plany usługi App Service dla tej subskrypcji, zostaną one automatycznie chronione, a opłaty zaczną się w tym czasie. Dowiedz się więcej w temacie Ochrona aplikacji internetowych i interfejsów API. (Powiązane zasady: Usługa Azure Defender dla usługi App Service powinna być włączona).

Ważność: Wysoka

Język PHP powinien zostać zaktualizowany do najnowszej wersji aplikacji interfejsu API

Opis: Okresowo nowsze wersje są wydawane dla oprogramowania PHP z powodu wad zabezpieczeń lub uwzględnienia dodatkowych funkcji. Korzystanie z najnowszej wersji języka PHP dla aplikacji interfejsu API jest zalecane, aby korzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. (Powiązane zasady: Upewnij się, że wersja języka PHP jest najnowsza, jeśli jest używana jako część aplikacji interfejsu API).

Ważność: średni rozmiar

Język Python powinien zostać zaktualizowany do najnowszej wersji aplikacji interfejsu API

Opis: Okresowo nowsze wersje są wydawane dla oprogramowania w języku Python z powodu wad zabezpieczeń lub uwzględnienia dodatkowych funkcji. Korzystanie z najnowszej wersji języka Python dla aplikacji interfejsu API jest zalecane, aby korzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. (Powiązane zasady: Upewnij się, że "Wersja języka Python" jest najnowsza, jeśli jest używana jako część aplikacji interfejsu API).

Ważność: średni rozmiar

Zdalne debugowanie powinno być wyłączone dla aplikacji interfejsu API

Opis: Debugowanie zdalne wymaga otwarcia portów przychodzących w aplikacji interfejsu API. Zdalne debugowanie powinno być wyłączone. (Powiązane zasady: Debugowanie zdalne powinno być wyłączone dla usługi API Apps).

Ważność: Niska

Debugowanie zdalne powinno być wyłączone dla aplikacji funkcji

Opis: Debugowanie zdalne wymaga otwarcia portów przychodzących w aplikacji funkcji platformy Azure. Zdalne debugowanie powinno być wyłączone. (Powiązane zasady: Debugowanie zdalne powinno być wyłączone dla aplikacji funkcji).

Ważność: Niska

Zdalne debugowanie powinno być wyłączone dla aplikacji internetowych

Opis: Debugowanie zdalne wymaga otwarcia portów przychodzących w aplikacji internetowej. Debugowanie zdalne jest obecnie włączone. Jeśli nie musisz już używać debugowania zdalnego, należy go wyłączyć. (Powiązane zasady: Debugowanie zdalne powinno być wyłączone dla aplikacji internetowych).

Ważność: Niska

Protokół TLS powinien zostać zaktualizowany do najnowszej wersji aplikacji interfejsu API

Opis: uaktualnij do najnowszej wersji protokołu TLS. (Powiązane zasady: Najnowsza wersja protokołu TLS powinna być używana w aplikacji interfejsu API).

Ważność: Wysoka

Protokół TLS powinien zostać zaktualizowany do najnowszej wersji aplikacji funkcji

Opis: uaktualnij do najnowszej wersji protokołu TLS. (Powiązane zasady: Najnowsza wersja protokołu TLS powinna być używana w aplikacji funkcji).

Ważność: Wysoka

Protokół TLS powinien zostać zaktualizowany do najnowszej wersji aplikacji internetowych

Opis: uaktualnij do najnowszej wersji protokołu TLS. (Powiązane zasady: Najnowsza wersja protokołu TLS powinna być używana w aplikacji internetowej).

Ważność: Wysoka

Aplikacja internetowa powinna być dostępna tylko za pośrednictwem protokołu HTTPS

Opis: Użycie protokołu HTTPS zapewnia uwierzytelnianie serwera/usługi i chroni dane przesyłane przed atakami podsłuchiwania warstwy sieciowej. (Powiązane zasady: Aplikacja internetowa powinna być dostępna tylko za pośrednictwem protokołu HTTPS).

Ważność: średni rozmiar

Aplikacje internetowe powinny żądać certyfikatu SSL dla wszystkich żądań przychodzących

Opis: Certyfikaty klienta umożliwiają aplikacji żądanie certyfikatu dla żądań przychodzących. Tylko klienci z prawidłowym certyfikatem będą mogli uzyskać dostęp do aplikacji. (Powiązane zasady: Upewnij się, że aplikacja internetowa ma ustawioną wartość "Certyfikaty klienta (przychodzące certyfikaty klienta)".

Ważność: średni rozmiar

Zalecenia dotyczące obliczeń

Funkcje adaptacyjnego sterowania aplikacjami do definiowania bezpiecznych aplikacji powinny być włączone na maszynach

Opis: Włącz kontrolki aplikacji, aby zdefiniować listę znanych bezpiecznych aplikacji działających na maszynach i otrzymywać alerty po uruchomieniu innych aplikacji. Pomaga to chronić maszyny przed złośliwym oprogramowaniem. Aby uprościć proces konfigurowania i utrzymywania reguł, Defender dla Chmury używa uczenia maszynowego do analizowania aplikacji działających na każdej maszynie i sugerowania listy znanych aplikacji bezpiecznych. (Powiązane zasady: Funkcje adaptacyjnego sterowania aplikacjami do definiowania bezpiecznych aplikacji powinny być włączone na maszynach.

Ważność: Wysoka

Reguły listy dozwolonych w zasadach adaptacyjnej kontroli aplikacji powinny zostać zaktualizowane

Opis: Monitoruj zmiany zachowania w grupach maszyn skonfigurowanych do inspekcji przez funkcje adaptacyjnego sterowania aplikacjami Defender dla Chmury. Defender dla Chmury używa uczenia maszynowego do analizowania uruchomionych procesów na maszynach i sugerowania listy znanych aplikacji bezpiecznych. Są one prezentowane jako zalecane aplikacje umożliwiające stosowanie zasad adaptacyjnego sterowania aplikacjami. (Powiązane zasady: Należy zaktualizować reguły listy dozwolonych w zasadach adaptacyjnej kontroli aplikacji.

Ważność: Wysoka

Uwierzytelnianie na maszynach z systemem Linux powinno wymagać kluczy SSH

Opis: Chociaż sam protokół SSH zapewnia zaszyfrowane połączenie, użycie haseł za pomocą protokołu SSH nadal pozostawia maszynę wirtualną podatną na ataki siłowe. Najbezpieczniejszą opcją uwierzytelniania na maszynie wirtualnej z systemem Linux platformy Azure za pośrednictwem protokołu SSH jest para kluczy publiczny-prywatny, nazywana również kluczami SSH. Dowiedz się więcej w artykule Szczegółowe kroki: Tworzenie kluczy SSH na potrzeby uwierzytelniania na maszynie wirtualnej z systemem Linux na platformie Azure i zarządzanie nimi. (Powiązane zasady: Przeprowadź inspekcję maszyn z systemem Linux, które nie używają klucza SSH do uwierzytelniania).

Ważność: średni rozmiar

Zmienne konta usługi Automation powinny być szyfrowane

Opis: Ważne jest włączenie szyfrowania zasobów zmiennych konta usługi Automation podczas przechowywania poufnych danych. (Powiązane zasady: Zmienne konta usługi Automation powinny być szyfrowane).

Ważność: Wysoka

Usługa Azure Backup powinna być włączona dla maszyn wirtualnych

Opis: Ochrona danych na maszynach wirtualnych platformy Azure za pomocą usługi Azure Backup. Usługa Azure Backup to natywne, ekonomiczne, ekonomiczne rozwiązanie do ochrony danych. Tworzy punkty odzyskiwania przechowywane w magazynach odzyskiwania geograficznie nadmiarowych. Z punktu odzyskiwania można przywrócić całą maszynę wirtualną lub poszczególne pliki. (Powiązane zasady: Usługa Azure Backup powinna być włączona dla maszyn wirtualnych).

Ważność: Niska

Hosty kontenerów powinny być skonfigurowane bezpiecznie

Opis: Koryguj luki w zabezpieczeniach w konfiguracji zabezpieczeń na maszynach z zainstalowaną platformą Docker, aby chronić je przed atakami. (Powiązane zasady: Należy skorygować luki w zabezpieczeniach w konfiguracjach zabezpieczeń kontenerów.

Ważność: Wysoka

Dzienniki diagnostyczne w usłudze Azure Stream Analytics powinny być włączone

Opis: Włącz dzienniki i zachowaj je przez maksymalnie rok. Dzięki temu można odtworzyć ślady aktywności do celów badania, gdy wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona. (Powiązane zasady: Dzienniki diagnostyczne w usłudze Azure Stream Analytics powinny być włączone).

Ważność: Niska

Dzienniki diagnostyczne na kontach usługi Batch powinny być włączone

Opis: Włącz dzienniki i zachowaj je przez maksymalnie rok. Dzięki temu można odtworzyć ślady aktywności do celów badania, gdy wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona. (Powiązane zasady: Dzienniki diagnostyczne na kontach usługi Batch powinny być włączone).

Ważność: Niska

Dzienniki diagnostyczne w usłudze Event Hubs powinny być włączone

Opis: Włącz dzienniki i zachowaj je przez maksymalnie rok. Dzięki temu można odtworzyć ślady aktywności do celów badania, gdy wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona. (Powiązane zasady: Dzienniki diagnostyczne w usłudze Event Hubs powinny być włączone).

Ważność: Niska

Dzienniki diagnostyczne w usłudze Logic Apps powinny być włączone

Opis: Aby mieć pewność, że można odtworzyć ślady aktywności do celów badania w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci, włącz rejestrowanie. Jeśli dzienniki diagnostyczne nie są wysyłane do obszaru roboczego usługi Log Analytics, konta usługi Azure Storage lub usługi Azure Event Hubs, upewnij się, że skonfigurowano ustawienia diagnostyczne w celu wysyłania metryk platformy i dzienników platformy do odpowiednich miejsc docelowych. Dowiedz się więcej w artykule Create diagnostic settings to send platform logs and metrics to different destinations (Tworzenie ustawień diagnostycznych w celu wysyłania dzienników i metryk platformy do różnych miejsc docelowych). (Powiązane zasady: Dzienniki diagnostyczne w usłudze Logic Apps powinny być włączone).

Ważność: Niska

Dzienniki diagnostyczne w usługa wyszukiwania powinny być włączone

Opis: Włącz dzienniki i zachowaj je przez maksymalnie rok. Dzięki temu można odtworzyć ślady aktywności do celów badania, gdy wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona. (Powiązane zasady: Należy włączyć dzienniki diagnostyczne w usługa wyszukiwania).

Ważność: Niska

Dzienniki diagnostyczne w usłudze Service Bus powinny być włączone

Opis: Włącz dzienniki i zachowaj je przez maksymalnie rok. Dzięki temu można odtworzyć ślady aktywności do celów badania, gdy wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona. (Powiązane zasady: Dzienniki diagnostyczne w usłudze Service Bus powinny być włączone).

Ważność: Niska

Dzienniki diagnostyczne w zestawach skalowania maszyn wirtualnych powinny być włączone

Opis: Włącz dzienniki i zachowaj je przez maksymalnie rok. Dzięki temu można odtworzyć ślady aktywności do celów badania, gdy wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona. (Powiązane zasady: Dzienniki diagnostyczne w zestawach skalowania maszyn wirtualnych powinny być włączone).

Ważność: Wysoka

Problemy z konfiguracją EDR należy rozwiązać na maszynach wirtualnych

Opis: Aby chronić maszyny wirtualne przed najnowszymi zagrożeniami i lukami w zabezpieczeniach, rozwiąż wszystkie zidentyfikowane problemy z konfiguracją zainstalowanego rozwiązania wykrywania i reagowania na punkty końcowe (EDR).
Uwaga: obecnie to zalecenie dotyczy tylko zasobów z włączonym Ochrona punktu końcowego w usłudze Microsoft Defender (MDE).

Ważność: Niska

Rozwiązanie EDR powinno być zainstalowane na maszynach wirtualnych

Opis: Instalowanie rozwiązania do wykrywania i reagowania na punkty końcowe (EDR) na maszynach wirtualnych jest ważne dla ochrony przed zaawansowanymi zagrożeniami. EDR pomagają zapobiegać, wykrywać, badać i reagować na te zagrożenia. Usługi Microsoft Defender for Servers można użyć do wdrożenia Ochrona punktu końcowego w usłudze Microsoft Defender. Jeśli zasób jest klasyfikowany jako "W złej kondycji", wskazuje brak obsługiwanego rozwiązania EDR. Jeśli rozwiązanie EDR jest zainstalowane, ale nie można go odnaleźć zgodnie z tym zaleceniem, można go wykluczyć. Bez rozwiązania EDR maszyny wirtualne są zagrożone zaawansowanymi zagrożeniami.

Ważność: Wysoka

Należy rozwiązać problemy z kondycją programu Endpoint Protection w zestawach skalowania maszyn wirtualnych

Opis: Koryguj błędy kondycji ochrony punktu końcowego w zestawach skalowania maszyn wirtualnych, aby chronić je przed zagrożeniami i lukami w zabezpieczeniach. (Powiązane zasady: Rozwiązanie endpoint protection powinno być zainstalowane w zestawach skalowania maszyn wirtualnych.

Ważność: Niska

Program Endpoint Protection powinien być zainstalowany w zestawach skalowania maszyn wirtualnych

Opis: Zainstaluj rozwiązanie ochrony punktu końcowego na zestawach skalowania maszyn wirtualnych, aby chronić je przed zagrożeniami i lukami w zabezpieczeniach. (Powiązane zasady: Rozwiązanie endpoint protection powinno być zainstalowane w zestawach skalowania maszyn wirtualnych.

Ważność: Wysoka

Monitorowanie integralności plików powinno być włączone na maszynach

Opis: Defender dla Chmury zidentyfikował maszyny, na których brakuje rozwiązania do monitorowania integralności plików. Aby monitorować zmiany plików krytycznych, kluczy rejestru i nie tylko na serwerach, włącz monitorowanie integralności plików. Po włączeniu rozwiązania do monitorowania integralności plików utwórz reguły zbierania danych, aby zdefiniować pliki do monitorowania. Aby zdefiniować reguły lub wyświetlić pliki zmienione na maszynach z istniejącymi regułami, przejdź do strony zarządzania monitorowaniem integralności plików. (Brak powiązanych zasad)

Ważność: Wysoka

Rozszerzenie zaświadczania gościa powinno być zainstalowane w obsługiwanych zestawach skalowania maszyn wirtualnych z systemem Linux

Opis: Zainstaluj rozszerzenie zaświadczania gościa na obsługiwanych zestawach skalowania maszyn wirtualnych z systemem Linux, aby umożliwić Microsoft Defender dla Chmury proaktywne potwierdzanie i monitorowanie integralności rozruchu. Po zainstalowaniu integralność rozruchu zostanie zaświadczona za pośrednictwem zaświadczania zdalnego. Ta ocena dotyczy tylko zaufanych zestawów skalowania maszyn wirtualnych z systemem Linux z obsługą uruchamiania.

Ważne: zaufane uruchamianie wymaga utworzenia nowych maszyn wirtualnych. Nie można włączyć zaufanego uruchamiania na istniejących maszynach wirtualnych, które zostały początkowo utworzone bez niego. Dowiedz się więcej na temat zaufanego uruchamiania maszyn wirtualnych platformy Azure. (Brak powiązanych zasad)

Ważność: Niska

Rozszerzenie zaświadczania gościa powinno być zainstalowane na obsługiwanych maszynach wirtualnych z systemem Linux

Opis: Zainstaluj rozszerzenie zaświadczania gościa na obsługiwanych maszynach wirtualnych z systemem Linux, aby umożliwić Microsoft Defender dla Chmury proaktywne potwierdzanie i monitorowanie integralności rozruchu. Po zainstalowaniu integralność rozruchu zostanie zaświadczona za pośrednictwem zaświadczania zdalnego. Ta ocena dotyczy tylko zaufanych maszyn wirtualnych z systemem Linux z obsługą uruchamiania.

Ważne: zaufane uruchamianie wymaga utworzenia nowych maszyn wirtualnych. Nie można włączyć zaufanego uruchamiania na istniejących maszynach wirtualnych, które zostały początkowo utworzone bez niego. Dowiedz się więcej na temat zaufanego uruchamiania maszyn wirtualnych platformy Azure. (Brak powiązanych zasad)

Ważność: Niska

Rozszerzenie zaświadczania gościa powinno być zainstalowane w obsługiwanych zestawach skalowania maszyn wirtualnych z systemem Windows

Opis: Zainstaluj rozszerzenie zaświadczania gościa na obsługiwanych zestawach skalowania maszyn wirtualnych, aby umożliwić Microsoft Defender dla Chmury proaktywne potwierdzanie i monitorowanie integralności rozruchu. Po zainstalowaniu integralność rozruchu zostanie zaświadczona za pośrednictwem zaświadczania zdalnego. Ta ocena dotyczy tylko zaufanych zestawów skalowania maszyn wirtualnych z włączoną obsługą uruchamiania.

Ważne: zaufane uruchamianie wymaga utworzenia nowych maszyn wirtualnych. Nie można włączyć zaufanego uruchamiania na istniejących maszynach wirtualnych, które zostały początkowo utworzone bez niego. Dowiedz się więcej na temat zaufanego uruchamiania maszyn wirtualnych platformy Azure. (Brak powiązanych zasad)

Ważność: Niska

Rozszerzenie zaświadczania gościa powinno być zainstalowane na obsługiwanych maszynach wirtualnych z systemem Windows

Opis: Zainstaluj rozszerzenie zaświadczania gościa na obsługiwanych maszynach wirtualnych, aby umożliwić Microsoft Defender dla Chmury proaktywne potwierdzanie i monitorowanie integralności rozruchu. Po zainstalowaniu integralność rozruchu zostanie zaświadczona za pośrednictwem zaświadczania zdalnego. Ta ocena dotyczy tylko zaufanych maszyn wirtualnych z obsługą uruchamiania.

Ważne: zaufane uruchamianie wymaga utworzenia nowych maszyn wirtualnych. Nie można włączyć zaufanego uruchamiania na istniejących maszynach wirtualnych, które zostały początkowo utworzone bez niego. Dowiedz się więcej na temat zaufanego uruchamiania maszyn wirtualnych platformy Azure. (Brak powiązanych zasad)

Ważność: Niska

Rozszerzenie konfiguracji gościa powinno być zainstalowane na maszynach

Opis: Aby zapewnić bezpieczeństwo konfiguracji ustawień gościa maszyny, zainstaluj rozszerzenie Konfiguracja gościa. Ustawienia gościa monitorowane przez rozszerzenie obejmują konfigurację systemu operacyjnego, konfigurację aplikacji lub obecność oraz ustawienia środowiska. Po zainstalowaniu zasady gościa będą dostępne, takie jak Funkcja Windows Exploit Guard powinna być włączona. (Powiązane zasady: Maszyny wirtualne powinny mieć rozszerzenie Konfiguracji gościa).

Ważność: średni rozmiar

Instalowanie rozwiązania endpoint protection na maszynach wirtualnych

Opis: Zainstaluj rozwiązanie ochrony punktu końcowego na maszynach wirtualnych, aby chronić je przed zagrożeniami i lukami w zabezpieczeniach. (Powiązane zasady: Monitorowanie braku programu Endpoint Protection w usłudze Azure Security Center).

Ważność: Wysoka

Maszyny wirtualne z systemem Linux powinny wymuszać walidację podpisu modułu jądra

Opis: Aby pomóc w ograniczeniu ryzyka wykonania złośliwego lub nieautoryzowanego kodu w trybie jądra, wymuś walidację podpisu modułu jądra na obsługiwanych maszynach wirtualnych z systemem Linux. Sprawdzanie poprawności sygnatury modułu jądra gwarantuje, że do uruchomienia będą mogły być uruchamiane tylko zaufane moduły jądra. Ta ocena dotyczy tylko maszyn wirtualnych z systemem Linux z zainstalowanym agentem usługi Azure Monitor. (Brak powiązanych zasad)

Ważność: Niska

Maszyny wirtualne z systemem Linux powinny używać tylko podpisanych i zaufanych składników rozruchu

Opis: Po włączeniu bezpiecznego rozruchu wszystkie składniki rozruchu systemu operacyjnego (moduł ładujący rozruchu, jądro, sterowniki jądra) muszą być podpisane przez zaufanych wydawców. Defender dla Chmury zidentyfikował niezaufane składniki rozruchu systemu operacyjnego na co najmniej jednej maszynie z systemem Linux. Aby chronić maszyny przed potencjalnie złośliwymi składnikami, dodaj je do listy dozwolonych lub usuń zidentyfikowane składniki. (Brak powiązanych zasad)

Ważność: Niska

Maszyny wirtualne z systemem Linux powinny używać bezpiecznego rozruchu

Opis: Aby chronić przed instalacją zestawów rootkit opartych na złośliwym oprogramowaniu i zestawów rozruchowych, włącz bezpieczny rozruch na obsługiwanych maszynach wirtualnych z systemem Linux. Bezpieczny rozruch zapewnia możliwość uruchamiania tylko podpisanych systemów operacyjnych i sterowników. Ta ocena dotyczy tylko maszyn wirtualnych z systemem Linux z zainstalowanym agentem usługi Azure Monitor. (Brak powiązanych zasad)

Ważność: Niska

Agent usługi Log Analytics powinien być zainstalowany na maszynach z obsługą usługi Azure Arc opartych na systemie Linux

Opis: Defender dla Chmury używa agenta usługi Log Analytics (znanego również jako OMS) do zbierania zdarzeń zabezpieczeń z maszyn usługi Azure Arc. Aby wdrożyć agenta na wszystkich maszynach usługi Azure Arc, wykonaj kroki korygowania. (Brak powiązanych zasad)

Ważność: Wysoka

Agent usługi Log Analytics powinien być zainstalowany w zestawach skalowania maszyn wirtualnych

Opis: Defender dla Chmury zbiera dane z maszyn wirtualnych platformy Azure w celu monitorowania luk w zabezpieczeniach i zagrożeń. Dane są zbierane przy użyciu agenta usługi Log Analytics, wcześniej znanego jako program Microsoft Monitoring Agent (MMA), który odczytuje różne konfiguracje i dzienniki zdarzeń związane z zabezpieczeniami z maszyny i kopiuje dane do obszaru roboczego na potrzeby analizy. Należy również wykonać procedurę, jeśli maszyny wirtualne są używane przez usługę zarządzaną platformy Azure, taką jak Azure Kubernetes Service lub Azure Service Fabric. Nie można skonfigurować automatycznej aprowizacji agenta dla zestawów skalowania maszyn wirtualnych platformy Azure. Aby wdrożyć agenta w zestawach skalowania maszyn wirtualnych (w tym tych używanych przez usługi zarządzane platformy Azure, takich jak Azure Kubernetes Service i Azure Service Fabric), wykonaj procedurę w krokach korygowania. (Powiązane zasady: Agent usługi Log Analytics powinien być zainstalowany w zestawach skalowania maszyn wirtualnych na potrzeby monitorowania usługi Azure Security Center.

Ważność: Wysoka

Agent usługi Log Analytics powinien być zainstalowany na maszynach wirtualnych

Opis: Defender dla Chmury zbiera dane z maszyn wirtualnych platformy Azure w celu monitorowania luk w zabezpieczeniach i zagrożeń. Dane są zbierane przy użyciu agenta usługi Log Analytics, znanego wcześniej jako Microsoft Monitoring Agent (MMA), który odczytuje różne konfiguracje i dzienniki zdarzeń związane z zabezpieczeniami z maszyny i kopiuje dane do obszaru roboczego usługi Log Analytics na potrzeby analizy. Ten agent jest również wymagany, jeśli maszyny wirtualne są używane przez usługę zarządzaną platformy Azure, taką jak Azure Kubernetes Service lub Azure Service Fabric. Zalecamy skonfigurowanie automatycznej aprowizacji w celu automatycznego wdrożenia agenta. Jeśli nie chcesz używać automatycznej aprowizacji, ręcznie wdróż agenta na maszynach wirtualnych, korzystając z instrukcji w krokach korygowania. (Powiązane zasady: Agent usługi Log Analytics powinien być zainstalowany na maszynie wirtualnej na potrzeby monitorowania usługi Azure Security Center.

Ważność: Wysoka

Agent usługi Log Analytics powinien być zainstalowany na komputerach z obsługą usługi Azure Arc z systemem Windows

Opis: Defender dla Chmury używa agenta usługi Log Analytics (znanego również jako MMA) do zbierania zdarzeń zabezpieczeń z maszyn usługi Azure Arc. Aby wdrożyć agenta na wszystkich maszynach usługi Azure Arc, wykonaj kroki korygowania. (Brak powiązanych zasad)

Ważność: Wysoka

Maszyny powinny być skonfigurowane bezpiecznie

Opis: Korygowanie luk w zabezpieczeniach w konfiguracji zabezpieczeń na maszynach w celu ochrony ich przed atakami. (Powiązane zasady: Należy skorygować luki w zabezpieczeniach w konfiguracji zabezpieczeń na maszynach.

Ważność: Niska

Aby zastosować aktualizacje konfiguracji zabezpieczeń, należy ponownie uruchomić maszyny

Opis: Aby zastosować aktualizacje konfiguracji zabezpieczeń i chronić przed lukami w zabezpieczeniach, uruchom ponownie maszyny. Ta ocena dotyczy tylko maszyn wirtualnych z systemem Linux z zainstalowanym agentem usługi Azure Monitor. (Brak powiązanych zasad)

Ważność: Niska

Maszyny powinny mieć rozwiązanie do oceny luk w zabezpieczeniach

Opis: Defender dla Chmury regularnie sprawdza połączone maszyny, aby upewnić się, że są uruchomione narzędzia do oceny luk w zabezpieczeniach. Użyj tego zalecenia, aby wdrożyć rozwiązanie do oceny luk w zabezpieczeniach. (Powiązane zasady: Na maszynach wirtualnych należy włączyć rozwiązanie do oceny luk w zabezpieczeniach.

Ważność: średni rozmiar

Maszyny powinny mieć rozwiązane problemy z lukami w zabezpieczeniach

Opis: Rozwiąż wyniki rozwiązań do oceny luk w zabezpieczeniach na maszynach wirtualnych. (Powiązane zasady: Na maszynach wirtualnych należy włączyć rozwiązanie do oceny luk w zabezpieczeniach.

Ważność: Niska

Porty zarządzania maszyn wirtualnych powinny być chronione za pomocą kontroli dostępu do sieci just in time

Opis: Defender dla Chmury zidentyfikował pewne nadmiernie permissywne reguły ruchu przychodzącego dla portów zarządzania w sieciowej grupie zabezpieczeń. Włącz kontrolę dostępu just in time, aby chronić maszynę wirtualną przed atakami siłowymi opartymi na Internecie. Dowiedz się więcej w artykule Understanding just-in-time (JIT) VM access (Dostęp just in time) do maszyny wirtualnej. (Powiązane zasady: Porty zarządzania maszyn wirtualnych powinny być chronione za pomocą kontroli dostępu do sieci just in time.

Ważność: Wysoka

Usługa Microsoft Defender dla serwerów powinna być włączona

Opis: Usługa Microsoft Defender dla serwerów zapewnia ochronę przed zagrożeniami w czasie rzeczywistym dla obciążeń serwera i generuje zalecenia dotyczące wzmacniania zabezpieczeń, a także alerty dotyczące podejrzanych działań. Te informacje umożliwiają szybkie korygowanie problemów z zabezpieczeniami i poprawianie zabezpieczeń serwerów.

Ważne: Skorygowanie tego zalecenia spowoduje naliczanie opłat za ochronę serwerów. Jeśli nie masz żadnych serwerów w tej subskrypcji, nie będą naliczane żadne opłaty. Jeśli w przyszłości utworzysz jakiekolwiek serwery w tej subskrypcji, będą one automatycznie chronione, a opłaty zaczną się w tym czasie. Dowiedz się więcej w temacie Wprowadzenie do usługi Microsoft Defender dla serwerów. (Powiązane zasady: Usługa Azure Defender dla serwerów powinna być włączona).

Ważność: Wysoka

Usługa Microsoft Defender dla serwerów powinna być włączona w obszarach roboczych

Opis: Usługa Microsoft Defender dla serwerów zapewnia wykrywanie zagrożeń i zaawansowaną ochronę maszyn z systemami Windows i Linux. Dzięki włączeniu tego planu usługi Defender w ramach subskrypcji, ale nie w obszarach roboczych, płacisz za pełną funkcję usługi Microsoft Defender dla serwerów, ale brakuje niektórych korzyści. Po włączeniu usługi Microsoft Defender dla serwerów w obszarze roboczym wszystkie maszyny raportujące do tego obszaru roboczego będą naliczane opłaty za usługę Microsoft Defender dla serwerów — nawet jeśli znajdują się w subskrypcjach bez włączenia planów usługi Defender. Jeśli nie włączysz również usługi Microsoft Defender dla serwerów w ramach subskrypcji, te maszyny nie będą mogły korzystać z dostępu just in time do maszyn wirtualnych, adaptacyjnego sterowania aplikacjami i wykrywania sieci dla zasobów platformy Azure. Dowiedz się więcej w temacie Wprowadzenie do usługi Microsoft Defender dla serwerów. (Brak powiązanych zasad)

Ważność: średni rozmiar

Bezpieczny rozruch powinien być włączony na obsługiwanych maszynach wirtualnych z systemem Windows

Opis: Włącz bezpieczny rozruch na obsługiwanych maszynach wirtualnych z systemem Windows, aby ograniczyć ryzyko złośliwych i nieautoryzowanych zmian w łańcuchu rozruchu. Po włączeniu będzie można uruchamiać tylko zaufane moduły ładujących, jądro i sterowniki jądra. Ta ocena dotyczy tylko zaufanych maszyn wirtualnych z systemem Windows z obsługą uruchamiania.

Ważne: zaufane uruchamianie wymaga utworzenia nowych maszyn wirtualnych. Nie można włączyć zaufanego uruchamiania na istniejących maszynach wirtualnych, które zostały początkowo utworzone bez niego. Dowiedz się więcej na temat zaufanego uruchamiania maszyn wirtualnych platformy Azure. (Brak powiązanych zasad)

Ważność: Niska

Klastry usługi Service Fabric powinny mieć właściwość ClusterProtectionLevel ustawioną na Wartość EncryptAndSign

Opis: Usługa Service Fabric zapewnia trzy poziomy ochrony (None, Sign i EncryptAndSign) na potrzeby komunikacji między węzłami przy użyciu certyfikatu podstawowego klastra. Ustaw poziom ochrony, aby upewnić się, że wszystkie komunikaty typu node-to-node są szyfrowane i podpisane cyfrowo. (Powiązane zasady: Klastry usługi Service Fabric powinny mieć właściwość ClusterProtectionLevel ustawioną na Wartość EncryptAndSign.

Ważność: Wysoka

Klastry usługi Service Fabric powinny używać tylko usługi Azure Active Directory do uwierzytelniania klienta

Opis: Wykonaj uwierzytelnianie klienta tylko za pośrednictwem usługi Azure Active Directory w usłudze Service Fabric (powiązane zasady: Klastry usługi Service Fabric powinny używać tylko usługi Azure Active Directory do uwierzytelniania klienta).

Ważność: Wysoka

Należy zainstalować aktualizacje systemu w zestawach skalowania maszyn wirtualnych

Opis: Zainstaluj brakujące aktualizacje zabezpieczeń systemu i aktualizacji krytycznych, aby zabezpieczyć zestawy skalowania maszyn wirtualnych z systemem Windows i Linux. (Powiązane zasady: Należy zainstalować aktualizacje systemu w zestawach skalowania maszyn wirtualnych).

Ważność: Wysoka

Aktualizacje systemu powinny być instalowane na maszynach

Opis: Zainstaluj brakujące aktualizacje zabezpieczeń systemu i aktualizacji krytycznych, aby zabezpieczyć maszyny wirtualne i komputery z systemem Windows i Linux (powiązane zasady: Aktualizacje systemu powinny być zainstalowane na maszynach).

Ważność: Wysoka

Aktualizacje systemu powinny być instalowane na maszynach (obsługiwane przez Centrum aktualizacji)

Opis: Na maszynach brakuje systemu, zabezpieczeń i aktualizacji krytycznych. Aktualizacje oprogramowania często obejmują krytyczne poprawki do luk w zabezpieczeniach. Takie dziury są często wykorzystywane w atakach złośliwego oprogramowania, dlatego ważne jest, aby oprogramowanie było aktualizowane. Aby zainstalować wszystkie zaległe poprawki i zabezpieczyć maszyny, wykonaj kroki korygowania. (Brak powiązanych zasad)

Ważność: Wysoka

Zestawy skalowania maszyn wirtualnych należy skonfigurować bezpiecznie

Opis: Korygowanie luk w zabezpieczeniach w konfiguracji zabezpieczeń w zestawach skalowania maszyn wirtualnych w celu ochrony ich przed atakami. (Powiązane zasady: Należy skorygować luki w zabezpieczeniach w konfiguracji zabezpieczeń w zestawach skalowania maszyn wirtualnych.

Ważność: Wysoka

Stan zaświadczania gościa maszyn wirtualnych powinien być w dobrej kondycji

Opis: Zaświadczanie gościa jest wykonywane przez wysłanie zaufanego dziennika (TCGLog) na serwer zaświadczania. Serwer używa tych dzienników do określenia, czy składniki rozruchu są wiarygodne. Ta ocena ma na celu wykrywanie kompromisów łańcucha rozruchowego, co może być wynikiem infekcji bootkit lub rootkit. Ta ocena dotyczy tylko maszyn wirtualnych z włączoną obsługą zaufanego uruchamiania z zainstalowanym rozszerzeniem zaświadczania gościa. (Brak powiązanych zasad)

Ważność: średni rozmiar

Rozszerzenie Konfiguracji gościa maszyn wirtualnych powinno zostać wdrożone z tożsamością zarządzaną przypisaną przez system

Opis: Rozszerzenie Konfiguracji gościa wymaga przypisanej przez system tożsamości zarządzanej. Maszyny wirtualne platformy Azure w zakresie tych zasad będą niezgodne, gdy mają zainstalowane rozszerzenie Konfiguracja gościa, ale nie mają przypisanej przez system tożsamości zarządzanej. Dowiedz się więcej (Powiązane zasady: Rozszerzenie konfiguracji gościa powinno zostać wdrożone na maszynach wirtualnych platformy Azure z przypisaną przez system tożsamością zarządzaną).

Ważność: średni rozmiar

Maszyny wirtualne powinny być migrowane do nowych zasobów usługi Azure Resource Manager

Opis: Maszyny wirtualne (klasyczne) zostały wycofane i te maszyny wirtualne powinny zostać zmigrowane do usługi Azure Resource Manager. Ponieważ usługa Azure Resource Manager ma teraz pełne możliwości IaaS i inne postępy, w dniu 28 lutego 2020 r. przestaliśmy zarządzać maszynami wirtualnymi IaaS za pośrednictwem usługi Azure Service Manager (ASM). Ta funkcja zostanie w pełni wycofana 1 marca 2023 r.

Aby wyświetlić wszystkie maszyny wirtualne, których dotyczy problem, upewnij się, że wybrano wszystkie subskrypcje platformy Azure na karcie "katalogi i subskrypcje".

Dostępne zasoby i informacje o tej migracji narzędzia i migracji: Omówienie wycofywania maszyn wirtualnych (klasycznych), krok po kroku dla migracji i dostępnych zasobów firmy Microsoft.Szczegółowe informacje o narzędziu migracji do usługi Azure Resource Manager.Migrowanie do narzędzia migracji usługi Azure Resource Manager przy użyciu programu PowerShell. (Powiązane zasady: Maszyny wirtualne należy migrować do nowych zasobów usługi Azure Resource Manager).

Ważność: Wysoka

Maszyny wirtualne powinny szyfrować dyski tymczasowe, pamięci podręczne i przepływy danych między zasobami obliczeniowymi i magazynem

Opis: Domyślnie dyski systemu operacyjnego i danych maszyny wirtualnej są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez platformę; dyski tymczasowe i pamięci podręczne danych nie są szyfrowane, a dane nie są szyfrowane podczas przepływu między zasobami obliczeniowymi i magazynowymi. Aby zapoznać się z porównaniem różnych technologii szyfrowania dysków na platformie Azure, zobacz https://aka.ms/diskencryptioncomparison. Za pomocą usługi Azure Disk Encryption szyfruj wszystkie te dane. Zignoruj to zalecenie, jeśli:

1. Używasz funkcji szyfrowania na hoście lub 2. Szyfrowanie dysków zarządzanych po stronie serwera spełnia Twoje wymagania dotyczące zabezpieczeń. Dowiedz się więcej w temacie Szyfrowanie po stronie serwera usługi Azure Disk Storage. (Powiązane zasady: Szyfrowanie dysków powinno być stosowane na maszynach wirtualnych)

Ważność: Wysoka

Maszyny wirtualne vTPM powinny być włączone na obsługiwanych maszynach wirtualnych

Opis: Włącz wirtualne urządzenie TPM na obsługiwanych maszynach wirtualnych, aby ułatwić mierzony rozruch i inne funkcje zabezpieczeń systemu operacyjnego, które wymagają modułu TPM. Po włączeniu maszyny vTPM mogą służyć do potwierdzania integralności rozruchu. Ta ocena dotyczy tylko zaufanych maszyn wirtualnych z obsługą uruchamiania.

Ważne: zaufane uruchamianie wymaga utworzenia nowych maszyn wirtualnych. Nie można włączyć zaufanego uruchamiania na istniejących maszynach wirtualnych, które zostały początkowo utworzone bez niego. Dowiedz się więcej na temat zaufanego uruchamiania maszyn wirtualnych platformy Azure. (Brak powiązanych zasad)

Ważność: Niska

Luki w zabezpieczeniach konfiguracji zabezpieczeń na maszynach z systemem Linux powinny zostać skorygowane (obsługiwane przez konfigurację gościa)

Opis: Korygowanie luk w zabezpieczeniach w konfiguracji zabezpieczeń na maszynach z systemem Linux w celu ochrony ich przed atakami. (Powiązane zasady: Maszyny z systemem Linux powinny spełniać wymagania dotyczące punktu odniesienia zabezpieczeń platformy Azure).

Ważność: Niska

Należy skorygować luki w zabezpieczeniach w konfiguracji zabezpieczeń na maszynach z systemem Windows (obsługiwane przez konfigurację gościa)

Opis: Korygowanie luk w zabezpieczeniach w konfiguracji zabezpieczeń na maszynach z systemem Windows w celu ochrony ich przed atakami. (Brak powiązanych zasad)

Ważność: Niska

Funkcja Windows Defender Exploit Guard powinna być włączona na maszynach

Opis: Program Windows Defender Exploit Guard używa agenta konfiguracji gościa usługi Azure Policy. Funkcja Exploit Guard ma cztery składniki, które są przeznaczone do blokowania urządzeń przed szeroką gamą wektorów ataków i blokowania zachowań często używanych w atakach związanych ze złośliwym oprogramowaniem, umożliwiając przedsiębiorstwom zrównoważenie wymagań dotyczących ryzyka zabezpieczeń i produktywności (tylko system Windows). (Powiązane zasady: Przeprowadź inspekcję maszyn z systemem Windows, na których nie włączono funkcji Windows Defender Exploit Guard.

Ważność: średni rozmiar

Serwery sieci Web systemu Windows powinny być skonfigurowane do używania bezpiecznych protokołów komunikacyjnych

Opis: Aby chronić prywatność informacji przekazywanych przez Internet, serwery internetowe powinny używać najnowszej wersji standardowego protokołu kryptograficznego Transport Layer Security (TLS). Protokół TLS zabezpiecza komunikację za pośrednictwem sieci przy użyciu certyfikatów zabezpieczeń w celu szyfrowania połączenia między maszynami. (Powiązane zasady: Przeprowadź inspekcję serwerów sieci Web systemu Windows, które nie korzystają z bezpiecznych protokołów komunikacyjnych).

Ważność: Wysoka

[Wersja zapoznawcza]: Maszyny wirtualne z systemem Linux powinny włączyć usługę Azure Disk Encryption lub EncryptionAtHost

Opis: Domyślnie dyski systemu operacyjnego i danych maszyny wirtualnej są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez platformę; dyski tymczasowe i pamięci podręczne danych nie są szyfrowane, a dane nie są szyfrowane podczas przepływu między zasobami obliczeniowymi i magazynowymi. Użyj usługi Azure Disk Encryption lub EncryptionAtHost, aby zaszyfrować wszystkie te dane. Odwiedź stronę https://aka.ms/diskencryptioncomparison , aby porównać oferty szyfrowania. Te zasady wymagają wdrożenia dwóch wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. (Powiązane zasady: [Wersja zapoznawcza]: Maszyny wirtualne z systemem Linux powinny włączyć usługę Azure Disk Encryption lub EncryptionAtHost).

Ważność: Wysoka

[Wersja zapoznawcza]: Maszyny wirtualne z systemem Windows powinny włączyć usługę Azure Disk Encryption lub EncryptionAtHost

Opis: Domyślnie dyski systemu operacyjnego i danych maszyny wirtualnej są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez platformę; dyski tymczasowe i pamięci podręczne danych nie są szyfrowane, a dane nie są szyfrowane podczas przepływu między zasobami obliczeniowymi i magazynowymi. Użyj usługi Azure Disk Encryption lub EncryptionAtHost, aby zaszyfrować wszystkie te dane. Odwiedź stronę https://aka.ms/diskencryptioncomparison , aby porównać oferty szyfrowania. Te zasady wymagają wdrożenia dwóch wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. (Powiązane zasady: [Wersja zapoznawcza]: maszyny wirtualne z systemem Windows powinny włączyć usługę Azure Disk Encryption lub EncryptionAtHost).

Ważność: Wysoka

Maszyny wirtualne i zestawy skalowania maszyn wirtualnych powinny mieć włączone szyfrowanie na hoście

Opis: Użyj szyfrowania na hoście, aby uzyskać kompleksowe szyfrowanie dla maszyny wirtualnej i danych zestawu skalowania maszyn wirtualnych. Szyfrowanie na hoście umożliwia szyfrowanie magazynowanych dysków tymczasowych i pamięci podręcznych dysku systemu operacyjnego/danych. Tymczasowe i efemeryczne dyski systemu operacyjnego są szyfrowane przy użyciu kluczy zarządzanych przez platformę, gdy szyfrowanie na hoście jest włączone. Pamięci podręczne dysku systemu operacyjnego/danych są szyfrowane w spoczynku przy użyciu klucza zarządzanego przez klienta lub zarządzanego przez platformę, w zależności od typu szyfrowania wybranego na dysku. Dowiedz się więcej w witrynie Azure Portal, aby włączyć kompleksowe szyfrowanie przy użyciu szyfrowania na hoście. (Powiązane zasady: Maszyny wirtualne i zestawy skalowania maszyn wirtualnych powinny mieć włączone szyfrowanie na hoście.

Ważność: średni rozmiar

(Wersja zapoznawcza) Serwery rozwiązania Azure Stack HCI powinny spełniać wymagania zabezpieczonego rdzenia

Opis: Upewnij się, że wszystkie serwery rozwiązania Azure Stack HCI spełniają wymagania zabezpieczonego rdzenia. (Powiązane zasady: Rozszerzenie Konfiguracji gościa powinno być zainstalowane na maszynach — Microsoft Azure).

Ważność: Niska

(Wersja zapoznawcza) Serwery usługi Azure Stack HCI powinny mieć spójnie wymuszane zasady kontroli aplikacji

Opis: Zastosuj co najmniej zasady podstawowe usługi Microsoft WDAC w trybie wymuszonym na wszystkich serwerach rozwiązania Azure Stack HCI. Zastosowane zasady kontroli aplikacji usługi Windows Defender (WDAC) muszą być spójne między serwerami w tym samym klastrze. (Powiązane zasady: Rozszerzenie Konfiguracji gościa powinno być zainstalowane na maszynach — Microsoft Azure).

Ważność: Wysoka

(Wersja zapoznawcza) Systemy rozwiązania Azure Stack HCI powinny mieć zaszyfrowane woluminy

Opis: Użyj funkcji BitLocker do szyfrowania woluminów systemu operacyjnego i danych w systemach Azure Stack HCI. (Powiązane zasady: Rozszerzenie Konfiguracji gościa powinno być zainstalowane na maszynach — Microsoft Azure).

Ważność: Wysoka

(Wersja zapoznawcza) Sieć hostów i maszyn wirtualnych powinna być chroniona w systemach Azure Stack HCI

Opis: Ochrona danych w sieci hosta rozwiązania Azure Stack HCI i połączeń sieciowych maszyn wirtualnych. (Powiązane zasady: Rozszerzenie Konfiguracji gościa powinno być zainstalowane na maszynach — Microsoft Azure).

Ważność: Niska

Rekomendacje dotyczące kontenerów

[Wersja zapoznawcza] Obrazy kontenerów w rejestrze platformy Azure powinny mieć rozwiązane problemy z lukami w zabezpieczeniach

Opis: Defender dla Chmury skanuje obrazy rejestru pod kątem znanych luk w zabezpieczeniach (CVE) i zawiera szczegółowe wyniki dla każdego zeskanowanego obrazu. Skanowanie i korygowanie luk w zabezpieczeniach obrazów kontenerów w rejestrze pomaga zachować bezpieczny i niezawodny łańcuch dostaw oprogramowania, zmniejsza ryzyko zdarzeń związanych z bezpieczeństwem i zapewnia zgodność ze standardami branżowymi.

Ważność: Wysoka

Typ: Ocena luk w zabezpieczeniach

[Wersja zapoznawcza] Kontenery uruchomione na platformie Azure powinny mieć rozwiązane problemy z lukami w zabezpieczeniach

Opis: Defender dla Chmury tworzy spis wszystkich obciążeń kontenerów aktualnie uruchomionych w klastrach Kubernetes i udostępnia raporty luk w zabezpieczeniach dla tych obciążeń, pasując do używanych obrazów i raportów o lukach w zabezpieczeniach utworzonych dla obrazów rejestru. Skanowanie i korygowanie luk w zabezpieczeniach obciążeń kontenerów ma kluczowe znaczenie dla zapewnienia niezawodnego i bezpiecznego łańcucha dostaw oprogramowania, zmniejszenia ryzyka zdarzeń bezpieczeństwa i zapewnienia zgodności ze standardami branżowymi.

Ważność: Wysoka

Typ: Ocena luk w zabezpieczeniach

(Włącz, jeśli jest to wymagane) Rejestry kontenerów powinny być szyfrowane przy użyciu klucza zarządzanego przez klienta (CMK)

Opis: Rekomendacje do używania kluczy zarządzanych przez klienta na potrzeby szyfrowania danych magazynowanych nie są domyślnie oceniane, ale są dostępne do włączenia w odpowiednich scenariuszach. Dane są szyfrowane automatycznie przy użyciu kluczy zarządzanych przez platformę, więc użycie kluczy zarządzanych przez klienta powinno być stosowane tylko w przypadku obowiązku spełnienia wymagań dotyczących zgodności lub restrykcyjnych zasad. Aby włączyć to zalecenie, przejdź do zasad zabezpieczeń dla odpowiedniego zakresu i zaktualizuj parametr Effect dla odpowiednich zasad inspekcji lub wymuś użycie kluczy zarządzanych przez klienta. Dowiedz się więcej w temacie Zarządzanie zasadami zabezpieczeń. Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem w pozostałej części zawartości rejestrów. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta (CMK) są zwykle wymagane do spełnienia standardów zgodności z przepisami. Zestawy CMKs umożliwiają szyfrowanie danych przy użyciu klucza usługi Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę i odpowiedzialność za cykl życia klucza, w tym rotację i zarządzanie. Dowiedz się więcej o szyfrowaniu klucza zarządzanego przez klienta na stronie https://aka.ms/acr/CMK. (Powiązane zasady: Rejestry kontenerów powinny być szyfrowane przy użyciu klucza zarządzanego przez klienta (CMK).

Ważność: Niska

Typ: Płaszczyzna sterowania

Klastry Kubernetes z włączoną usługą Azure Arc powinny mieć zainstalowane rozszerzenie usługi Azure Policy

Opis: Rozszerzenie usługi Azure Policy dla platformy Kubernetes rozszerza usługę Gatekeeper w wersji 3, element webhook kontrolera dostępu dla agenta open policy ( OPA), aby zastosować wymuszania i zabezpieczenia na dużą skalę w klastrach w sposób scentralizowany i spójny. (Brak powiązanych zasad)

Ważność: Wysoka

Typ: Płaszczyzna sterowania

Klastry Kubernetes z obsługą usługi Azure Arc powinny mieć zainstalowane rozszerzenie Defender

Opis: Rozszerzenie usługi Defender dla usługi Azure Arc zapewnia ochronę przed zagrożeniami dla klastrów Kubernetes z obsługą usługi Arc. Rozszerzenie zbiera dane ze wszystkich węzłów płaszczyzny sterowania (master) w klastrze i wysyła je do zaplecza usługi Microsoft Defender for Kubernetes w chmurze w celu dalszej analizy. (Brak powiązanych zasad)

Ważność: Wysoka

Typ: Płaszczyzna sterowania

Klastry usługi Azure Kubernetes Service powinny mieć włączony profil usługi Defender

Opis: Usługa Microsoft Defender for Containers zapewnia natywne dla chmury funkcje zabezpieczeń platformy Kubernetes, w tym zabezpieczenia środowiska, ochronę obciążeń i ochronę w czasie wykonywania. Po włączeniu profilu SecurityProfile.AzureDefender w klastrze usługi Azure Kubernetes Service agent zostanie wdrożony w klastrze w celu zbierania danych zdarzeń zabezpieczeń. Dowiedz się więcej w temacie Introduction to Microsoft Defender for Containers (Wprowadzenie do usługi Microsoft Defender for Containers). (Brak powiązanych zasad)

Ważność: Wysoka

Typ: Płaszczyzna sterowania

Klastry usługi Azure Kubernetes Service powinny mieć zainstalowany dodatek usługi Azure Policy dla platformy Kubernetes

Opis: Dodatek usługi Azure Policy dla platformy Kubernetes rozszerza program Gatekeeper w wersji 3, element webhook kontrolera dostępu dla agenta open policy agenta (OPA), aby zastosować wymuszanie i zabezpieczenia na dużą skalę w klastrach w sposób scentralizowany i spójny. Defender dla Chmury wymaga dodatku do inspekcji i wymuszania możliwości zabezpieczeń i zgodności w klastrach. Dowiedz się więcej. Wymaga platformy Kubernetes w wersji 1.14.0 lub nowszej. (Powiązane zasady: Dodatek usługi Azure Policy dla usługi Kubernetes Service (AKS) powinien być zainstalowany i włączony w klastrach.

Ważność: Wysoka

Typ: Płaszczyzna sterowania

Rejestry kontenerów nie powinny zezwalać na nieograniczony dostęp do sieci

Opis: Rejestry kontenerów platformy Azure domyślnie akceptują połączenia przez Internet z hostów w dowolnej sieci. Aby chronić rejestry przed potencjalnymi zagrożeniami, zezwól na dostęp tylko z określonych publicznych adresów IP lub zakresów adresów. Jeśli rejestr nie ma reguły ip/zapory lub skonfigurowanej sieci wirtualnej, pojawi się w zasobach w złej kondycji. Dowiedz się więcej o regułach sieci usługi Container Registry tutaj: https://aka.ms/acr/portal/public-network i tutaj https://aka.ms/acr/vnet. (Powiązane zasady: Rejestry kontenerów nie powinny zezwalać na nieograniczony dostęp sieciowy).

Ważność: średni rozmiar

Typ: Płaszczyzna sterowania

Rejestry kontenerów powinny używać łącza prywatnego

Opis: Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe do rejestrów kontenerów zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: https://aka.ms/acr/private-link. (Powiązane zasady: Rejestry kontenerów powinny używać łącza prywatnego).

Ważność: średni rozmiar

Typ: Płaszczyzna sterowania

Dzienniki diagnostyczne w usługach Kubernetes powinny być włączone

Opis: włącz dzienniki diagnostyczne w usługach Kubernetes i zachowaj je do roku. Dzięki temu można odtworzyć ślady aktywności do celów badania w przypadku wystąpienia zdarzenia zabezpieczeń. (Brak powiązanych zasad)

Ważność: Niska

Typ: Płaszczyzna sterowania

Serwer interfejsu API Kubernetes powinien być skonfigurowany z ograniczonym dostępem

Opis: Aby upewnić się, że tylko aplikacje z dozwolonych sieci, maszyn lub podsieci mogą uzyskiwać dostęp do klastra, ogranicz dostęp do serwera interfejsu API Kubernetes. Dostęp można ograniczyć, definiując autoryzowane zakresy adresów IP lub konfigurując serwery interfejsów API jako klastry prywatne, jak wyjaśniono w artykule Tworzenie prywatnego klastra usługi Azure Kubernetes Service. (Powiązane zasady: Autoryzowane zakresy adresów IP powinny być zdefiniowane w usługach Kubernetes Services).

Ważność: Wysoka

Typ: Płaszczyzna sterowania

Kontrola dostępu oparta na rolach powinna być używana w usługach Kubernetes Services

Opis: Aby zapewnić szczegółowe filtrowanie akcji, które użytkownicy mogą wykonać, użyj kontroli dostępu opartej na rolach (RBAC) do zarządzania uprawnieniami w klastrach usługi Kubernetes i konfigurowania odpowiednich zasad autoryzacji. (Powiązane zasady: Kontrola dostępu oparta na rolach (RBAC) powinna być używana w usługach Kubernetes Services).

Ważność: Wysoka

Typ: Płaszczyzna sterowania

Należy włączyć usługę Microsoft Defender for Containers

Opis: Usługa Microsoft Defender for Containers zapewnia ochronę przed zabezpieczeniami, ocenę luk w zabezpieczeniach i ochronę w czasie wykonywania dla środowisk Platformy Azure, hybrydowej i wielochmurowej platformy Kubernetes. Te informacje pozwalają na szybkie rozwiązywanie problemów dotyczących zabezpieczeń i poprawę bezpieczeństwa kontenerów.

Ważne: Skorygowanie tego zalecenia spowoduje naliczanie opłat za ochronę klastrów Kubernetes. Jeśli w tej subskrypcji nie masz żadnych klastrów Kubernetes, nie będą naliczane żadne opłaty. Jeśli w przyszłości utworzysz jakiekolwiek klastry Kubernetes w tej subskrypcji, będą one automatycznie chronione, a opłaty za nie zaczną się w tym czasie. Dowiedz się więcej w temacie Introduction to Microsoft Defender for Containers (Wprowadzenie do usługi Microsoft Defender for Containers). (Brak powiązanych zasad)

Ważność: Wysoka

Typ: Płaszczyzna sterowania

Należy wymusić limity procesora CPU i pamięci kontenera

Opis: Wymuszanie limitów procesora CPU i pamięci zapobiega atakom wyczerpania zasobów (atak typu "odmowa usługi").

Zalecamy ustawienie limitów dla kontenerów, aby upewnić się, że środowisko uruchomieniowe uniemożliwia kontenerowi użycie więcej niż skonfigurowany limit zasobów.

(Powiązane zasady: Upewnij się, że limity zasobów procesora CPU i pamięci kontenera nie przekraczają określonych limitów w klastrze Kubernetes).

Ważność: średni rozmiar

Typ: Płaszczyzna danych Kubernetes

Obrazy kontenerów powinny być wdrażane tylko z zaufanych rejestrów

Opis: Obrazy uruchomione w klastrze Kubernetes powinny pochodzić ze znanych i monitorowanych rejestrów obrazów kontenerów. Zaufane rejestry zmniejszają ryzyko narażenia klastra, ograniczając możliwości wprowadzenia nieznanych luk w zabezpieczeniach, problemów z zabezpieczeniami i złośliwych obrazów.

(Powiązane zasady: Upewnij się, że dozwolone są tylko obrazy kontenerów w klastrze Kubernetes).

Ważność: Wysoka

Typ: Płaszczyzna danych Kubernetes

Należy unikać kontenera z eskalacją uprawnień

Opis: Kontenery nie powinny działać z eskalacją uprawnień do katalogu głównego w klastrze Kubernetes. Atrybut AllowPrivilegeEscalation określa, czy proces może uzyskać więcej uprawnień niż proces nadrzędny. (Powiązane zasady: Klastry Kubernetes nie powinny zezwalać na eskalację uprawnień kontenera).

Ważność: średni rozmiar

Typ: płaszczyzna danych kubernetes

Należy unikać udostępniania poufnych przestrzeni nazw hostów przez kontenery

Opis: Aby chronić przed eskalacją uprawnień poza kontenerem, unikaj dostępu zasobnika do poufnych przestrzeni nazw hostów (identyfikator procesu hosta i IPC hosta) w klastrze Kubernetes. (Powiązane zasady: Kontenery klastra Kubernetes nie powinny współużytkować identyfikatora procesu hosta ani przestrzeni nazw IPC hosta).

Ważność: średni rozmiar

Typ: płaszczyzna danych kubernetes

Kontenery powinny używać tylko dozwolonych profilów AppArmor

Opis: Kontenery uruchomione w klastrach Kubernetes powinny być ograniczone tylko do dozwolonych profilów AppArmor. ; AppArmor (Application Armor) to moduł zabezpieczeń systemu Linux, który chroni system operacyjny i jego aplikacje przed zagrożeniami bezpieczeństwa. Aby go używać, administrator systemu kojarzy profil zabezpieczeń AppArmor z każdym programem. (Powiązane zasady: Kontenery klastra Kubernetes powinny używać tylko dozwolonych profilów AppArmor.

Ważność: Wysoka

Typ: płaszczyzna danych kubernetes

Niezmienny (tylko do odczytu) główny system plików powinien być wymuszany dla kontenerów

Opis: Kontenery powinny działać z systemem plików głównym tylko do odczytu w klastrze Kubernetes. Niezmienny system plików chroni kontenery przed zmianami w czasie wykonywania, a złośliwe pliki binarne są dodawane do ścieżki . (Powiązane zasady: Kontenery klastra Kubernetes powinny działać z głównym systemem plików tylko do odczytu).

Ważność: średni rozmiar

Typ: płaszczyzna danych kubernetes

Klastry Kubernetes powinny być dostępne tylko za pośrednictwem protokołu HTTPS

Opis: Użycie protokołu HTTPS zapewnia uwierzytelnianie i chroni dane podczas przesyłania przed atakami podsłuchiwania warstwy sieciowej. Ta funkcja jest obecnie ogólnie dostępna dla usługi Kubernetes Service (AKS) oraz w wersji zapoznawczej dla aparatu AKS i platformy Kubernetes z obsługą usługi Azure Arc. Aby uzyskać więcej informacji, odwiedź stronę https://aka.ms/kubepolicydoc (Powiązane zasady: Wymuszanie ruchu przychodzącego HTTPS w klastrze Kubernetes).

Ważność: Wysoka

Typ: Płaszczyzna danych Kubernetes

Klastry Kubernetes powinny wyłączyć automatyczne instalowanie poświadczeń interfejsu API

Opis: Wyłącz automatyczne instalowanie poświadczeń interfejsu API, aby uniemożliwić potencjalnie naruszony zasób zasobnika do uruchamiania poleceń interfejsu API w klastrach Kubernetes. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc. (Powiązane zasady: Klastry Kubernetes powinny wyłączyć automatyczne instalowanie poświadczeń interfejsu API).

Ważność: Wysoka

Typ: Płaszczyzna danych Kubernetes

Klastry Kubernetes nie powinny udzielać możliwości zabezpieczeń CAPSYSADMIN

Opis: Aby zmniejszyć obszar ataków kontenerów, ogranicz CAP_SYS_ADMIN możliwości systemu Linux. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc. (Brak powiązanych zasad)

Ważność: Wysoka

Typ: płaszczyzna danych kubernetes

Klastry Kubernetes nie powinny używać domyślnej przestrzeni nazw

Opis: Zapobiegaj użyciu domyślnej przestrzeni nazw w klastrach Kubernetes w celu ochrony przed nieautoryzowanym dostępem dla typów zasobów ConfigMap, Pod, Secret, Service i ServiceAccount. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc. (Powiązane zasady: Klastry Kubernetes nie powinny używać domyślnej przestrzeni nazw.

Ważność: Niska

Typ: płaszczyzna danych kubernetes

Należy wymusić najmniej uprzywilejowane możliwości systemu Linux dla kontenerów

Opis: Aby zmniejszyć obszar ataków kontenera, ogranicz możliwości systemu Linux i przyznaj określone uprawnienia kontenerom bez udzielania wszystkich uprawnień użytkownika głównego. Zalecamy usunięcie wszystkich funkcji, a następnie dodanie tych, które są wymagane (powiązane zasady: kontenery klastra Kubernetes powinny używać tylko dozwolonych funkcji).

Ważność: średni rozmiar

Typ: płaszczyzna danych kubernetes

Należy unikać kontenerów uprzywilejowanych

Opis: Aby zapobiec nieograniczonemu dostępowi do hosta, należy unikać uprzywilejowanych kontenerów, gdy jest to możliwe.

Kontenery uprzywilejowane mają wszystkie główne możliwości maszyny hosta. Mogą być one używane jako punkty wejścia do ataków i rozprzestrzeniania złośliwego kodu lub złośliwego oprogramowania do aplikacji, hostów i sieci, których bezpieczeństwo zostało naruszone. (Powiązane zasady: Nie zezwalaj na uprzywilejowane kontenery w klastrze Kubernetes).

Ważność: średni rozmiar

Typ: płaszczyzna danych kubernetes

Należy unikać uruchamiania kontenerów jako użytkownika głównego

Opis: Kontenery nie powinny być uruchamiane jako użytkownicy root w klastrze Kubernetes. Uruchomienie procesu jako użytkownik główny wewnątrz kontenera uruchamia go jako katalog główny na hoście. W przypadku naruszenia zabezpieczeń osoba atakująca ma katalog główny w kontenerze, a wszelkie błędy konfiguracji stają się łatwiejsze do wykorzystania. (Powiązane zasady: Zasobniki i kontenery klastra Kubernetes powinny być uruchamiane tylko z zatwierdzonymi identyfikatorami użytkowników i grup).

Ważność: Wysoka

Typ: Płaszczyzna danych Kubernetes

Usługi powinny nasłuchiwać tylko na dozwolonych portach

Opis: Aby zmniejszyć obszar ataków klastra Kubernetes, ogranicz dostęp do klastra przez ograniczenie dostępu usług do skonfigurowanych portów. (Powiązane zasady: Upewnij się, że usługi nasłuchują tylko na dozwolonych portach w klastrze Kubernetes).

Ważność: średni rozmiar

Typ: płaszczyzna danych kubernetes

Użycie sieci i portów hosta powinno być ograniczone

Opis: Ogranicz dostęp zasobnika do sieci hostów i dozwolony zakres portów hosta w klastrze Kubernetes. Zasobniki utworzone za pomocą atrybutu hostNetwork będą współużytkować przestrzeń sieciową węzła. Aby uniknąć naruszenia zabezpieczeń kontenera przed sniffing ruchu sieciowego, zalecamy, aby nie umieszczać zasobników w sieci hosta. Jeśli musisz uwidocznić port kontenera w sieci węzła, a użycie portu węzła kubernetes Service nie spełnia Twoich potrzeb, inną możliwością jest określenie hostaPort dla kontenera w specyfikacji zasobnika. (Powiązane zasady: zasobniki klastra Kubernetes powinny używać tylko zatwierdzonej sieci hosta i zakresu portów).

Ważność: średni rozmiar

Typ: płaszczyzna danych kubernetes

Użycie instalacji woluminów HostPath zasobnika powinno być ograniczone do znanej listy, aby ograniczyć dostęp do węzła z kontenerów, których bezpieczeństwo jest naruszone

Opis: Zalecamy ograniczenie instalacji woluminów HostPath zasobnika w klastrze Kubernetes do skonfigurowanych dozwolonych ścieżek hostów. W przypadku naruszenia zabezpieczeń dostęp do węzła kontenera z kontenerów powinien być ograniczony. (Powiązane zasady: Woluminy hostpath zasobników klastra Kubernetes powinny używać tylko dozwolonych ścieżek hostów.

Ważność: średni rozmiar

Typ: Płaszczyzna danych Kubernetes

Obrazy kontenerów usługi Azure Registry powinny mieć rozwiązane luki w zabezpieczeniach (obsługiwane przez firmę Qualys)

Opis: Ocena luk w zabezpieczeniach obrazu kontenera skanuje rejestr pod kątem luk w zabezpieczeniach i uwidacznia szczegółowe wyniki dla każdego obrazu. Rozwiązanie luk w zabezpieczeniach może znacznie poprawić stan zabezpieczeń kontenerów i chronić je przed atakami. (Powiązane zasady: Należy skorygować luki w zabezpieczeniach obrazów usługi Azure Container Registry.

Ważność: Wysoka

Typ: Ocena luk w zabezpieczeniach

Obrazy kontenerów usługi Azure Registry powinny mieć rozwiązane luki w zabezpieczeniach (obsługiwane przez Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender)

Ważne

To zalecenie znajduje się na ścieżce wycofania. Jest on zastępowany zaleceniem [[Wersja zapoznawcza] Obrazy kontenerów w rejestrze platformy Azure powinny mieć rozwiązane wyniki luk w zabezpieczeniach](#preview-container-images-in-azure-registry-should-have-vulnerability-findings-resolvedhttpsportalazurecomblademicrosoft_azure_securityrecommendationsbladeassessmentkey33422d8f-ab1e-42be-bc9a-38685bb567b9).

Opis: Ocena luk w zabezpieczeniach obrazu kontenera skanuje rejestr pod kątem powszechnie znanych luk w zabezpieczeniach (CVE) i zawiera szczegółowy raport luk w zabezpieczeniach dla każdego obrazu. Rozwiązywanie luk w zabezpieczeniach może znacznie poprawić stan zabezpieczeń, zapewniając bezpieczeństwo obrazów przed wdrożeniem. (Powiązane zasady: Należy skorygować luki w zabezpieczeniach obrazów usługi Azure Container Registry.

Ważność: Wysoka

Typ: Ocena luk w zabezpieczeniach

Platforma Azure z uruchomionymi obrazami kontenerów powinna mieć rozwiązane luki w zabezpieczeniach (obsługiwane przez Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender)

Ważne

To zalecenie znajduje się na ścieżce wycofania. Jest on zastępowany zaleceniem [[Wersja zapoznawcza] Kontenery uruchomione na platformie Azure powinny mieć rozwiązane wyniki luk w zabezpieczeniach](#preview-containers-running-in-azure-should-have-vulnerability-findings-resolvedhttpsportalazurecomblademicrosoft_azure_securityrecommendationsbladeassessmentkeye9acaf48-d2cf-45a3-a6e7-3caa2ef769e0).

Opis: Ocena luk w zabezpieczeniach obrazu kontenera skanuje rejestr pod kątem powszechnie znanych luk w zabezpieczeniach (CVE) i zawiera szczegółowy raport luk w zabezpieczeniach dla każdego obrazu. To zalecenie zapewnia widoczność narażonych obrazów aktualnie uruchomionych w klastrach Kubernetes. Korygowanie luk w zabezpieczeniach obrazów kontenerów, które są aktualnie uruchomione, ma kluczowe znaczenie dla poprawy stanu zabezpieczeń, co znacznie zmniejsza obszar ataków dla konteneryzowanych obciążeń.

Ważność: Wysoka

Typ: Ocena luk w zabezpieczeniach

Zalecenia dotyczące danych

(Włącz, jeśli jest to wymagane) Konta usługi Azure Cosmos DB powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych

Opis: Rekomendacje do używania kluczy zarządzanych przez klienta na potrzeby szyfrowania danych magazynowanych nie są domyślnie oceniane, ale są dostępne do włączenia w odpowiednich scenariuszach. Dane są szyfrowane automatycznie przy użyciu kluczy zarządzanych przez platformę, więc użycie kluczy zarządzanych przez klienta powinno być stosowane tylko w przypadku obowiązku spełnienia wymagań dotyczących zgodności lub restrykcyjnych zasad. Aby włączyć to zalecenie, przejdź do zasad zabezpieczeń dla odpowiedniego zakresu i zaktualizuj parametr Effect dla odpowiednich zasad inspekcji lub wymuś użycie kluczy zarządzanych przez klienta. Dowiedz się więcej w temacie Zarządzanie zasadami zabezpieczeń. Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem w spoczynku usługi Azure Cosmos DB. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta (CMK) są zwykle wymagane do spełnienia standardów zgodności z przepisami. Zestawy CMKs umożliwiają szyfrowanie danych przy użyciu klucza usługi Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę i odpowiedzialność za cykl życia klucza, w tym rotację i zarządzanie. Dowiedz się więcej o szyfrowaniu klucza zarządzanego przez klienta na stronie https://aka.ms/cosmosdb-cmk. (Powiązane zasady: Konta usługi Azure Cosmos DB powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych).

Ważność: Niska

(Włącz, jeśli jest to wymagane) Obszary robocze usługi Azure Machine Edukacja powinny być szyfrowane przy użyciu klucza zarządzanego przez klienta (CMK)

Opis: Rekomendacje do używania kluczy zarządzanych przez klienta na potrzeby szyfrowania danych magazynowanych nie są domyślnie oceniane, ale są dostępne do włączenia w odpowiednich scenariuszach. Dane są szyfrowane automatycznie przy użyciu kluczy zarządzanych przez platformę, więc użycie kluczy zarządzanych przez klienta powinno być stosowane tylko w przypadku obowiązku spełnienia wymagań dotyczących zgodności lub restrykcyjnych zasad. Aby włączyć to zalecenie, przejdź do zasad zabezpieczeń dla odpowiedniego zakresu i zaktualizuj parametr Effect dla odpowiednich zasad inspekcji lub wymuś użycie kluczy zarządzanych przez klienta. Dowiedz się więcej w temacie Zarządzanie zasadami zabezpieczeń. Zarządzanie szyfrowaniem magazynowanych danych obszaru roboczego usługi Azure Machine Edukacja przy użyciu kluczy zarządzanych przez klienta (CMK). Domyślnie dane klientów są szyfrowane przy użyciu kluczy zarządzanych przez usługę, ale do spełnienia standardów zgodności z przepisami często wymagane są klucze zarządzania usługami. Zestawy CMKs umożliwiają szyfrowanie danych przy użyciu klucza usługi Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę i odpowiedzialność za cykl życia klucza, w tym rotację i zarządzanie. Dowiedz się więcej o szyfrowaniu klucza zarządzanego przez klienta na stronie https://aka.ms/azureml-workspaces-cmk. (Powiązane zasady: Obszary robocze usługi Azure Machine Edukacja powinny być szyfrowane przy użyciu klucza zarządzanego przez klienta (CMK) .

Ważność: Niska

(Włącz, jeśli jest to wymagane) Konta usług Cognitive Services powinny włączyć szyfrowanie danych przy użyciu klucza zarządzanego przez klienta (CMK)

Opis: Rekomendacje do używania kluczy zarządzanych przez klienta na potrzeby szyfrowania danych magazynowanych nie są domyślnie oceniane, ale są dostępne do włączenia w odpowiednich scenariuszach. Dane są szyfrowane automatycznie przy użyciu kluczy zarządzanych przez platformę, więc użycie kluczy zarządzanych przez klienta powinno być stosowane tylko w przypadku obowiązku spełnienia wymagań dotyczących zgodności lub restrykcyjnych zasad. Aby włączyć to zalecenie, przejdź do zasad zabezpieczeń dla odpowiedniego zakresu i zaktualizuj parametr Effect dla odpowiednich zasad inspekcji lub wymuś użycie kluczy zarządzanych przez klienta. Dowiedz się więcej w temacie Zarządzanie zasadami zabezpieczeń. Klucze zarządzane przez klienta (CMK) są często wymagane do spełnienia standardów zgodności z przepisami. Zestawy CMKs umożliwiają szyfrowanie danych przechowywanych w usługach Cognitive Services za pomocą klucza usługi Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę i odpowiedzialność za cykl życia klucza, w tym rotację i zarządzanie. Dowiedz się więcej o szyfrowaniu klucza zarządzanego przez klienta na stronie https://aka.ms/cosmosdb-cmk. (Powiązane zasady: Konta usług Cognitive Services powinny włączyć szyfrowanie danych przy użyciu klucza zarządzanego przez klienta? (CMK))

Ważność: Niska

(Włącz, jeśli jest to wymagane) Serwery MySQL powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych

Opis: Rekomendacje do używania kluczy zarządzanych przez klienta na potrzeby szyfrowania danych magazynowanych nie są domyślnie oceniane, ale są dostępne do włączenia w odpowiednich scenariuszach. Dane są szyfrowane automatycznie przy użyciu kluczy zarządzanych przez platformę, więc użycie kluczy zarządzanych przez klienta powinno być stosowane tylko w przypadku obowiązku spełnienia wymagań dotyczących zgodności lub restrykcyjnych zasad. Aby włączyć to zalecenie, przejdź do zasad zabezpieczeń dla odpowiedniego zakresu i zaktualizuj parametr Effect dla odpowiednich zasad inspekcji lub wymuś użycie kluczy zarządzanych przez klienta. Dowiedz się więcej w temacie Zarządzanie zasadami zabezpieczeń. Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem magazynowanych serwerów MySQL. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta (CMK) są zwykle wymagane do spełnienia standardów zgodności z przepisami. Zestawy CMKs umożliwiają szyfrowanie danych przy użyciu klucza usługi Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę i odpowiedzialność za cykl życia klucza, w tym rotację i zarządzanie. (Powiązane zasady: Należy włączyć ochronę danych przy użyciu własnego klucza dla serwerów MySQL.

Ważność: Niska

(Włącz, jeśli jest to wymagane) Serwery PostgreSQL powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych

Opis: Rekomendacje do używania kluczy zarządzanych przez klienta na potrzeby szyfrowania danych magazynowanych nie są domyślnie oceniane, ale są dostępne do włączenia w odpowiednich scenariuszach. Dane są szyfrowane automatycznie przy użyciu kluczy zarządzanych przez platformę, więc użycie kluczy zarządzanych przez klienta powinno być stosowane tylko w przypadku obowiązku spełnienia wymagań dotyczących zgodności lub restrykcyjnych zasad. Aby włączyć to zalecenie, przejdź do zasad zabezpieczeń dla odpowiedniego zakresu i zaktualizuj parametr Effect dla odpowiednich zasad inspekcji lub wymuś użycie kluczy zarządzanych przez klienta. Dowiedz się więcej w temacie Zarządzanie zasadami zabezpieczeń. Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem magazynowanych serwerów PostgreSQL. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta (CMK) są zwykle wymagane do spełnienia standardów zgodności z przepisami. Zestawy CMKs umożliwiają szyfrowanie danych przy użyciu klucza usługi Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę i odpowiedzialność za cykl życia klucza, w tym rotację i zarządzanie. (Powiązane zasady: Należy włączyć ochronę danych przy użyciu własnego klucza dla serwerów PostgreSQL.

Ważność: Niska

(Włącz, jeśli jest to wymagane) Wystąpienia zarządzane SQL powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych

Opis: Rekomendacje do używania kluczy zarządzanych przez klienta na potrzeby szyfrowania danych magazynowanych nie są domyślnie oceniane, ale są dostępne do włączenia w odpowiednich scenariuszach. Dane są szyfrowane automatycznie przy użyciu kluczy zarządzanych przez platformę, więc użycie kluczy zarządzanych przez klienta powinno być stosowane tylko w przypadku obowiązku spełnienia wymagań dotyczących zgodności lub restrykcyjnych zasad. Aby włączyć to zalecenie, przejdź do zasad zabezpieczeń dla odpowiedniego zakresu i zaktualizuj parametr Effect dla odpowiednich zasad inspekcji lub wymuś użycie kluczy zarządzanych przez klienta. Dowiedz się więcej w temacie Zarządzanie zasadami zabezpieczeń. Implementowanie funkcji Transparent Data Encryption (TDE) przy użyciu własnego klucza zapewnia większą przejrzystość i kontrolę nad funkcją ochrony TDE, zwiększone bezpieczeństwo dzięki usłudze zewnętrznej opartej na module HSM oraz podwyższeniu poziomu rozdzielenia obowiązków. To zalecenie dotyczy organizacji z powiązanym wymaganiem dotyczącym zgodności. (Powiązane zasady: Wystąpienia zarządzane SQL powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych).

Ważność: Niska

(Włącz, jeśli jest to wymagane) Serwery SQL powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych

Opis: Rekomendacje do używania kluczy zarządzanych przez klienta na potrzeby szyfrowania danych magazynowanych nie są domyślnie oceniane, ale są dostępne do włączenia w odpowiednich scenariuszach. Dane są szyfrowane automatycznie przy użyciu kluczy zarządzanych przez platformę, więc użycie kluczy zarządzanych przez klienta powinno być stosowane tylko w przypadku obowiązku spełnienia wymagań dotyczących zgodności lub restrykcyjnych zasad. Aby włączyć to zalecenie, przejdź do zasad zabezpieczeń dla odpowiedniego zakresu i zaktualizuj parametr Effect dla odpowiednich zasad inspekcji lub wymuś użycie kluczy zarządzanych przez klienta. Dowiedz się więcej w temacie Zarządzanie zasadami zabezpieczeń. Zaimplementowanie funkcji Transparent Data Encryption (TDE) przy użyciu własnego klucza zapewnia większą przejrzystość i kontrolę nad funkcją ochrony TDE, zwiększone bezpieczeństwo dzięki usłudze zewnętrznej opartej na module HSM oraz podwyższenie poziomu rozdzielenia obowiązków. To zalecenie dotyczy organizacji z powiązanym wymaganiem dotyczącym zgodności. (Powiązane zasady: Serwery SQL powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych).

Ważność: Niska

(Włącz, jeśli jest to wymagane) Konta magazynu powinny używać klucza zarządzanego przez klienta (CMK) do szyfrowania

Opis: Rekomendacje do używania kluczy zarządzanych przez klienta na potrzeby szyfrowania danych magazynowanych nie są domyślnie oceniane, ale są dostępne do włączenia w odpowiednich scenariuszach. Dane są szyfrowane automatycznie przy użyciu kluczy zarządzanych przez platformę, więc użycie kluczy zarządzanych przez klienta powinno być stosowane tylko w przypadku obowiązku spełnienia wymagań dotyczących zgodności lub restrykcyjnych zasad. Aby włączyć to zalecenie, przejdź do zasad zabezpieczeń dla odpowiedniego zakresu i zaktualizuj parametr Effect dla odpowiednich zasad inspekcji lub wymuś użycie kluczy zarządzanych przez klienta. Dowiedz się więcej w temacie Zarządzanie zasadami zabezpieczeń. Zabezpiecz konto magazynu z większą elastycznością przy użyciu kluczy zarządzanych przez klienta (CMKs). Po określeniu klucza zarządzanego klucz jest używany do ochrony i kontrolowania dostępu do klucza, który szyfruje dane. Korzystanie z cmKs zapewnia dodatkowe możliwości kontrolowania rotacji klucza szyfrowania klucza lub kryptograficznie wymazywania danych. (Powiązane zasady: Konta magazynu powinny używać klucza zarządzanego przez klienta (CMK) do szyfrowania.

Ważność: Niska

Wszystkie zaawansowane typy ochrony przed zagrożeniami powinny być włączone w zaawansowanych ustawieniach zabezpieczeń danych wystąpienia zarządzanego SQL

Opis: Zaleca się włączenie wszystkich zaawansowanych typów ochrony przed zagrożeniami w wystąpieniach zarządzanych SQL. Włączenie wszystkich typów chroni przed wstrzyknięciem kodu SQL, lukami w zabezpieczeniach bazy danych i wszelkimi innymi nietypowymi działaniami. (Brak powiązanych zasad)

Ważność: średni rozmiar

Wszystkie zaawansowane typy ochrony przed zagrożeniami powinny być włączone w zaawansowanych ustawieniach zabezpieczeń danych programu SQL Server

Opis: Zaleca się włączenie wszystkich zaawansowanych typów ochrony przed zagrożeniami na serwerach SQL. Włączenie wszystkich typów chroni przed wstrzyknięciem kodu SQL, lukami w zabezpieczeniach bazy danych i wszelkimi innymi nietypowymi działaniami. (Brak powiązanych zasad)

Ważność: średni rozmiar

Usługi API Management powinny używać sieci wirtualnej

Opis: Wdrożenie usługi Azure Virtual Network zapewnia zwiększone zabezpieczenia, izolację i umożliwia umieszczenie usługi API Management w sieci nieinternetowej, do której można kontrolować dostęp. Te sieci można następnie połączyć z sieciami lokalnymi przy użyciu różnych technologii sieci VPN, co umożliwia dostęp do usług zaplecza w sieci i/lub lokalnie. Portal deweloperów i brama interfejsu API można skonfigurować tak, aby była dostępna z Internetu lub tylko w sieci wirtualnej. (Powiązane zasady: Usługi API Management powinny używać sieci wirtualnej).

Ważność: średni rozmiar

Usługa App Configuration powinna używać łącza prywatnego

Opis: Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na wystąpienia konfiguracji aplikacji zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: https://aka.ms/appconfig/private-endpoint. (Powiązane zasady: Usługa App Configuration powinna używać linku prywatnego).

Ważność: średni rozmiar

Przechowywanie inspekcji dla serwerów SQL powinno być ustawione na co najmniej 90 dni

Opis: Przeprowadź inspekcję serwerów SQL skonfigurowanych z okresem przechowywania inspekcji krótszym niż 90 dni. (Powiązane zasady: Serwery SQL powinny być skonfigurowane z 90-dniowym okresem przechowywania lub nowszym).

Ważność: Niska

Inspekcja na serwerze SQL powinna być włączona

Opis: Włącz inspekcję w programie SQL Server, aby śledzić działania bazy danych we wszystkich bazach danych na serwerze i zapisywać je w dzienniku inspekcji. (Powiązane zasady: Inspekcja na serwerze SQL powinna być włączona.

Ważność: Niska

Automatyczna aprowizacja agenta usługi Log Analytics powinna być włączona w subskrypcjach

Opis: Aby monitorować luki w zabezpieczeniach i zagrożenia, Microsoft Defender dla Chmury zbiera dane z maszyn wirtualnych platformy Azure. Dane są zbierane przez agenta usługi Log Analytics, wcześniej znanego jako program Microsoft Monitoring Agent (MMA), który odczytuje różne konfiguracje i dzienniki zdarzeń związane z zabezpieczeniami z maszyny i kopiuje dane do obszaru roboczego usługi Log Analytics na potrzeby analizy. Zalecamy włączenie automatycznej aprowizacji w celu automatycznego wdrożenia agenta na wszystkich obsługiwanych maszynach wirtualnych platformy Azure i wszystkich nowych utworzonych maszynach wirtualnych platformy Azure. (Powiązane zasady: Automatyczna aprowizacja agenta usługi Log Analytics powinna być włączona w ramach subskrypcji).

Ważność: Niska

Usługa Azure Cache for Redis powinna znajdować się w sieci wirtualnej

Opis: Wdrożenie usługi Azure Virtual Network (VNet) zapewnia zwiększone zabezpieczenia i izolację dla usługi Azure Cache for Redis, a także podsieci, zasad kontroli dostępu i innych funkcji w celu dalszego ograniczenia dostępu. Gdy wystąpienie usługi Azure Cache for Redis jest skonfigurowane z siecią wirtualną, nie można go publicznie adresować i można uzyskać do niego tylko z maszyn wirtualnych i aplikacji w sieci wirtualnej. (Powiązane zasady: Usługa Azure Cache for Redis powinna znajdować się w sieci wirtualnej).

Ważność: średni rozmiar

Usługa Azure Database for MySQL powinna mieć zainicjowaną aprowizację administratora usługi Azure Active Directory

Opis: Aprowizuj administratora usługi Azure AD dla usługi Azure Database for MySQL, aby włączyć uwierzytelnianie usługi Azure AD. Uwierzytelnianie usługi Azure AD umożliwia uproszczone zarządzanie uprawnieniami i scentralizowane zarządzanie tożsamościami użytkowników bazy danych i innych usługi firmy Microsoft (powiązane zasady: Administrator usługi Azure Active Directory powinien być aprowizowany dla serwerów MySQL).

Ważność: średni rozmiar

Usługa Azure Database for PostgreSQL powinna mieć zainicjowaną aprowizację administratora usługi Azure Active Directory

Opis: Aprowizuj administratora usługi Azure AD dla usługi Azure Database for PostgreSQL, aby włączyć uwierzytelnianie usługi Azure AD. Uwierzytelnianie usługi Azure AD umożliwia uproszczone zarządzanie uprawnieniami i scentralizowane zarządzanie tożsamościami użytkowników bazy danych i innych usługi firmy Microsoft
(Powiązane zasady: Administrator usługi Azure Active Directory powinien być aprowizowany dla serwerów PostgreSQL.

Ważność: średni rozmiar

Konta usługi Azure Cosmos DB powinny mieć reguły zapory

Opis: Reguły zapory powinny być zdefiniowane na kontach usługi Azure Cosmos DB, aby uniemożliwić ruch z nieautoryzowanych źródeł. Konta, które mają co najmniej jedną regułę adresu IP zdefiniowaną z włączonym filtrem sieci wirtualnej, są uznawane za zgodne. Konta wyłączające dostęp publiczny są również uznawane za zgodne. (Powiązane zasady: Konta usługi Azure Cosmos DB powinny mieć reguły zapory.

Ważność: średni rozmiar

Domeny usługi Azure Event Grid powinny używać łącza prywatnego

Opis: Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na domeny usługi Event Grid zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: https://aka.ms/privateendpoints. (Powiązane zasady: Domeny usługi Azure Event Grid powinny używać łącza prywatnego).

Ważność: średni rozmiar

Tematy usługi Azure Event Grid powinny używać łącza prywatnego

Opis: Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na tematy zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: https://aka.ms/privateendpoints. (Powiązane zasady: Tematy usługi Azure Event Grid powinny używać łącza prywatnego).

Ważność: średni rozmiar

Obszary robocze usługi Azure Machine Edukacja powinny używać łącza prywatnego

Opis: Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na obszary robocze usługi Azure Machine Edukacja zamiast całej usługi, będziesz również chronić przed wyciekami danych. Dowiedz się więcej na stronie: https://aka.ms/azureml-workspaces-privatelink. (Powiązane zasady: Obszary robocze usługi Azure Machine Edukacja powinny używać łącza prywatnego).

Ważność: średni rozmiar

Usługa Azure SignalR Service powinna używać łącza prywatnego

Opis: Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na zasoby usługi SignalR zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: https://aka.ms/asrs/privatelink. (Powiązane zasady: Usługa Azure SignalR Service powinna używać łącza prywatnego).

Ważność: średni rozmiar

Usługa Azure Spring Cloud powinna używać iniekcji sieci

Opis: Wystąpienia usługi Azure Spring Cloud powinny używać iniekcji sieci wirtualnej do następujących celów: 1. Izolowanie usługi Azure Spring Cloud z Internetu. 2. Umożliwianie usłudze Azure Spring Cloud interakcji z systemami w lokalnych centrach danych lub usłudze platformy Azure w innych sieciach wirtualnych. 3. Umożliwienie klientom kontrolowania przychodzącej i wychodzącej komunikacji sieciowej dla usługi Azure Spring Cloud. (Powiązane zasady: Usługa Azure Spring Cloud powinna używać iniekcji sieci).

Ważność: średni rozmiar

Serwery SQL powinny mieć zainicjowaną aprowizację administratora usługi Azure Active Directory

Opis: Aprowizuj administratora usługi Azure AD dla serwera SQL, aby włączyć uwierzytelnianie usługi Azure AD. Uwierzytelnianie usługi Azure AD umożliwia uproszczone zarządzanie uprawnieniami i scentralizowane zarządzanie tożsamościami użytkowników bazy danych i innych usługi firmy Microsoft. (Powiązane zasady: Administrator usługi Azure Active Directory powinien być aprowizowany dla serwerów SQL.

Ważność: Wysoka

Tryb uwierzytelniania obszaru roboczego usługi Azure Synapse powinien być tylko w usłudze Azure Active Directory

Opis: Tryb uwierzytelniania obszaru roboczego usługi Azure Synapse powinien mieć wartość Tylko usługa Azure Active Directory tylko w usłudze Azure Active Directory zwiększa bezpieczeństwo, zapewniając, że obszary robocze usługi Synapse wymagają wyłącznie tożsamości usługi Azure AD na potrzeby uwierzytelniania. Dowiedz się więcej. (Powiązane zasady: Obszary robocze usługi Synapse powinny używać tylko tożsamości usługi Azure Active Directory do uwierzytelniania).

Ważność: średni rozmiar

Repozytoria kodu powinny mieć rozpoznane wyniki skanowania kodu

Opis: Usługa Defender for DevOps wykryła luki w zabezpieczeniach w repozytoriach kodu. Aby poprawić stan zabezpieczeń repozytoriów, zdecydowanie zaleca się skorygowanie tych luk w zabezpieczeniach. (Brak powiązanych zasad)

Ważność: średni rozmiar

Repozytoria kodu powinny mieć rozpoznane wyniki skanowania dependabot

Opis: Usługa Defender for DevOps wykryła luki w zabezpieczeniach w repozytoriach kodu. Aby poprawić stan zabezpieczeń repozytoriów, zdecydowanie zaleca się skorygowanie tych luk w zabezpieczeniach. (Brak powiązanych zasad)

Ważność: średni rozmiar

Repozytoria kodu powinny mieć infrastrukturę w miarę rozwiązywania ustaleń skanowania kodu

Opis: Usługa Defender for DevOps znalazła infrastrukturę jako problemy z konfiguracją zabezpieczeń kodu w repozytoriach. Problemy przedstawione poniżej zostały wykryte w plikach szablonów. Aby poprawić stan zabezpieczeń powiązanych zasobów w chmurze, zdecydowanie zaleca się skorygowanie tych problemów. (Brak powiązanych zasad)

Ważność: średni rozmiar

Repozytoria kodu powinny mieć rozpoznane wyniki skanowania wpisów tajnych

Opis: Usługa Defender for DevOps znalazła wpis tajny w repozytoriach kodu. Powinno to zostać natychmiast skorygowane, aby zapobiec naruszeniu zabezpieczeń. Wpisy tajne znalezione w repozytoriach mogą być ujawnione lub wykryte przez przeciwników, co prowadzi do naruszenia zabezpieczeń aplikacji lub usługi. W przypadku usługi Azure DevOps narzędzie Microsoft Security DevOps CredScan skanuje tylko kompilacje, na których został skonfigurowany do uruchomienia. W związku z tym wyniki mogą nie odzwierciedlać pełnego stanu wpisów tajnych w repozytoriach. (Brak powiązanych zasad)

Ważność: Wysoka

Konta usług Cognitive Services powinny włączyć szyfrowanie danych

Opis: Te zasady przeprowadzają inspekcję konta usług Cognitive Services, które nie korzysta z szyfrowania danych. Dla każdego konta usług Cognitive Services z magazynem należy włączyć szyfrowanie danych za pomocą klucza zarządzanego przez klienta lub zarządzanego przez firmę Microsoft. (Powiązane zasady: Konta usług Cognitive Services powinny włączać szyfrowanie danych).

Ważność: Niska

Konta usług Cognitive Services powinny używać magazynu należącego do klienta lub włączyć szyfrowanie danych

Opis: Te zasady sprawdzają, czy żadne konto usług Cognitive Services nie korzysta z magazynu należącego do klienta ani szyfrowania danych. Dla każdego konta usług Cognitive Services z magazynem użyj magazynu należącego do klienta lub włącz szyfrowanie danych. (Powiązane zasady: Konta usług Cognitive Services powinny używać magazynu należącego do klienta lub włączyć szyfrowanie danych).

Ważność: Niska

Dzienniki diagnostyczne w usłudze Azure Data Lake Store powinny być włączone

Opis: Włącz dzienniki i zachowaj je przez maksymalnie rok. Dzięki temu można odtworzyć ślady aktywności do celów badania, gdy wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona. (Powiązane zasady: Dzienniki diagnostyczne w usłudze Azure Data Lake Store powinny być włączone).

Ważność: Niska

Dzienniki diagnostyczne w usłudze Data Lake Analytics powinny być włączone

Opis: Włącz dzienniki i zachowaj je przez maksymalnie rok. Dzięki temu można odtworzyć ślady aktywności do celów badania, gdy wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona. (Powiązane zasady: Dzienniki diagnostyczne w usłudze Data Lake Analytics powinny być włączone).

Ważność: Niska

Powiadomienia e-mail dotyczące alertów o wysokiej ważności powinny być włączone

Opis: Aby upewnić się, że odpowiednie osoby w organizacji są powiadamiane o potencjalnym naruszeniu zabezpieczeń w jednej z Twoich subskrypcji, włącz powiadomienia e-mail dla alertów o wysokiej ważności w Defender dla Chmury. (Powiązane zasady: Powiadomienia e-mail dotyczące alertów o wysokiej ważności powinny być włączone).

Ważność: Niska

Należy włączyć powiadomienie e-mail właściciela subskrypcji dla alertów o wysokiej ważności

Opis: Aby upewnić się, że właściciele subskrypcji są powiadamiani, gdy istnieje potencjalne naruszenie zabezpieczeń w subskrypcji, ustaw powiadomienia e-mail właścicieli subskrypcji na potrzeby alertów o wysokiej ważności w Defender dla Chmury. (Powiązane zasady: Należy włączyć powiadomienie e-mail właściciela subskrypcji dla alertów o wysokiej ważności.

Ważność: średni rozmiar

Wymuszanie połączenia SSL powinno być włączone dla serwerów baz danych MySQL

Opis: Usługa Azure Database for MySQL obsługuje łączenie serwera usługi Azure Database for MySQL z aplikacjami klienckimi przy użyciu protokołu SSL (Secure Sockets Layer). Wymuszanie połączeń SSL między serwerem bazy danych a aplikacjami klienckimi pomaga chronić przed atakami typu "człowiek w środku", szyfrując strumień danych między serwerem a aplikacją. Ta konfiguracja wymusza, że protokół SSL jest zawsze włączony do uzyskiwania dostępu do serwera bazy danych. (Powiązane zasady: Wymuś połączenie SSL powinno być włączone dla serwerów baz danych MySQL.

Ważność: średni rozmiar

Wymuszanie połączenia SSL powinno być włączone dla serwerów baz danych PostgreSQL

Opis: Usługa Azure Database for PostgreSQL obsługuje łączenie serwera usługi Azure Database for PostgreSQL z aplikacjami klienckimi przy użyciu protokołu SSL (Secure Sockets Layer). Wymuszanie połączeń SSL między serwerem bazy danych a aplikacjami klienckimi pomaga chronić przed atakami typu "człowiek w środku", szyfrując strumień danych między serwerem a aplikacją. Ta konfiguracja wymusza, że protokół SSL jest zawsze włączony do uzyskiwania dostępu do serwera bazy danych. (Powiązane zasady: Wymuszanie połączenia SSL powinno być włączone dla serwerów baz danych PostgreSQL).

Ważność: średni rozmiar

Aplikacje funkcji powinny mieć rozwiązane problemy z lukami w zabezpieczeniach

Opis: Skanowanie w zabezpieczeniach środowiska uruchomieniowego pod kątem funkcji skanuje aplikacje funkcji pod kątem luk w zabezpieczeniach i uwidacznia szczegółowe wyniki. Rozwiązanie luk w zabezpieczeniach może znacznie poprawić stan zabezpieczeń aplikacji bezserwerowych i chronić je przed atakami. (Brak powiązanych zasad)

Ważność: Wysoka

Geograficznie nadmiarowa kopia zapasowa powinna być włączona dla usługi Azure Database for MariaDB

Opis: Usługa Azure Database for MariaDB umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarowy magazyn kopii zapasowych, w którym dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu, aby zapewnić opcje odzyskiwania w przypadku awarii regionu. Konfigurowanie magazynu geograficznie nadmiarowego na potrzeby kopii zapasowej jest dozwolone tylko podczas tworzenia serwera. (Powiązane zasady: Geograficznie nadmiarowa kopia zapasowa powinna być włączona dla usługi Azure Database for MariaDB.

Ważność: Niska

Należy włączyć geograficznie nadmiarową kopię zapasową dla usługi Azure Database for MySQL

Opis: Usługa Azure Database for MySQL umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarowy magazyn kopii zapasowych, w którym dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu, aby zapewnić opcje odzyskiwania w przypadku awarii regionu. Konfigurowanie magazynu geograficznie nadmiarowego na potrzeby kopii zapasowej jest dozwolone tylko podczas tworzenia serwera. (Powiązane zasady: Geograficznie nadmiarowa kopia zapasowa powinna być włączona dla usługi Azure Database for MySQL.

Ważność: Niska

Należy włączyć geograficznie nadmiarową kopię zapasową dla usługi Azure Database for PostgreSQL

Opis: Usługa Azure Database for PostgreSQL umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarowy magazyn kopii zapasowych, w którym dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu, aby zapewnić opcje odzyskiwania w przypadku awarii regionu. Konfigurowanie magazynu geograficznie nadmiarowego na potrzeby kopii zapasowej jest dozwolone tylko podczas tworzenia serwera. (Powiązane zasady: Dla usługi Azure Database for PostgreSQL należy włączyć geograficznie nadmiarową kopię zapasową.

Ważność: Niska

Repozytoria GitHub powinny mieć włączone skanowanie kodu

Opis: Usługa GitHub używa skanowania kodu do analizowania kodu w celu znalezienia luk w zabezpieczeniach i błędów w kodzie. Skanowanie kodu może służyć do znajdowania, klasyfikowania i określania priorytetów poprawek istniejących problemów w kodzie. Skanowanie kodu może również uniemożliwić deweloperom wprowadzanie nowych problemów. Skanowania mogą być zaplanowane przez określone dni i godziny lub skanowania mogą być wyzwalane, gdy w repozytorium wystąpi określone zdarzenie, takie jak wypychanie. Jeśli skanowanie kodu wykryje potencjalną lukę w zabezpieczeniach lub błąd w kodzie, usługa GitHub wyświetli alert w repozytorium. Luka w zabezpieczeniach jest problemem w kodzie projektu, który może zostać wykorzystany w celu uszkodzenia poufności, integralności lub dostępności projektu. (Brak powiązanych zasad)

Ważność: średni rozmiar

Repozytoria GitHub powinny mieć włączone skanowanie dependabotów

Opis: Usługa GitHub wysyła alerty Dependabot, gdy wykrywa luki w zabezpieczeniach zależności kodu, które mają wpływ na repozytoria. Luka w zabezpieczeniach jest problemem w kodzie projektu, który może zostać wykorzystany w celu uszkodzenia poufności, integralności lub dostępności projektu lub innych projektów korzystających z jego kodu. Luki w zabezpieczeniach różnią się w zależności od typu, ważności i metody ataku. Gdy kod zależy od pakietu, który ma lukę w zabezpieczeniach, ta zależność podatna na zagrożenia może spowodować szereg problemów. (Brak powiązanych zasad)

Ważność: średni rozmiar

Repozytoria GitHub powinny mieć włączone skanowanie wpisów tajnych

Opis: Usługa GitHub skanuje repozytoria pod kątem znanych typów wpisów tajnych, aby zapobiec fałszywemu użyciu wpisów tajnych, które zostały przypadkowo zatwierdzone w repozytoriach. Skanowanie wpisów tajnych spowoduje skanowanie całej historii usługi Git we wszystkich gałęziach znajdujących się w repozytorium GitHub pod kątem wszystkich wpisów tajnych. Przykłady wpisów tajnych to tokeny i klucze prywatne, które dostawca usług może wystawiać na potrzeby uwierzytelniania. Jeśli wpis tajny zostanie zaewidencjonowany w repozytorium, każdy, kto ma dostęp do odczytu do repozytorium, może użyć wpisu tajnego, aby uzyskać dostęp do usługi zewnętrznej z tymi uprawnieniami. Wpisy tajne powinny być przechowywane w dedykowanej, bezpiecznej lokalizacji poza repozytorium projektu. (Brak powiązanych zasad)

Ważność: Wysoka

Serwery usługi Microsoft Defender dla usługi Azure SQL Database powinny być włączone

Opis: Microsoft Defender for SQL to ujednolicony pakiet, który zapewnia zaawansowane funkcje zabezpieczeń SQL. Obejmuje ona funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać na zagrożenie dla bazy danych oraz odnajdywanie i klasyfikowanie poufnych danych. Ważne: opłaty za ochronę z tego planu są naliczane, jak pokazano na stronie plany usługi Defender. Jeśli w tej subskrypcji nie masz żadnych serwerów usługi Azure SQL Database, nie zostaną naliczone opłaty. Jeśli później utworzysz serwery usługi Azure SQL Database w tej subskrypcji, zostaną one automatycznie chronione i rozpocznie się naliczanie opłat. Dowiedz się więcej o szczegółach cennika na region. Dowiedz się więcej w temacie Introduction to Microsoft Defender for SQL (Wprowadzenie do usługi Microsoft Defender for SQL). (Powiązane zasady: Serwery usługi Azure Defender dla usługi Azure SQL Database powinny być włączone).

Ważność: Wysoka

Usługa Microsoft Defender dla systemu DNS powinna być włączona

Opis: Usługa Microsoft Defender for DNS zapewnia dodatkową warstwę ochrony zasobów w chmurze przez ciągłe monitorowanie wszystkich zapytań DNS z zasobów platformy Azure. Usługa Defender for DNS powiadamia o podejrzanych działaniach w warstwie DNS. Dowiedz się więcej w temacie Introduction to Microsoft Defender for DNS (Wprowadzenie do usługi Microsoft Defender dla systemu DNS). Włączenie tego planu usługi Defender powoduje naliczanie opłat. Dowiedz się więcej o szczegółach cennika dla regionu na stronie cennika Defender dla Chmury: Defender dla Chmury Cennik. (Brak powiązanych zasad)

Ważność: Wysoka

Usługa Microsoft Defender dla relacyjnych baz danych typu open source powinna być włączona

Opis: Usługa Microsoft Defender dla relacyjnych baz danych typu open source wykrywa nietypowe działania wskazujące na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. Dowiedz się więcej w artykule Wprowadzenie do usługi Microsoft Defender dla relacyjnych baz danych typu open source.

Ważne: włączenie tego planu spowoduje naliczanie opłat za ochronę relacyjnych baz danych typu open source. Jeśli w tej subskrypcji nie masz żadnych relacyjnych baz danych typu open source, nie będą naliczane żadne opłaty. Jeśli w przyszłości utworzysz jakiekolwiek relacyjne bazy danych typu open source w tej subskrypcji, zostaną one automatycznie chronione, a opłaty zaczną się w tym czasie. (Brak powiązanych zasad)

Ważność: Wysoka

Usługa Microsoft Defender dla usługi Resource Manager powinna być włączona

Opis: Usługa Microsoft Defender dla usługi Resource Manager automatycznie monitoruje operacje zarządzania zasobami w organizacji. Defender dla Chmury wykrywa zagrożenia i ostrzega o podejrzanych działaniach. Dowiedz się więcej w temacie Introduction to Microsoft Defender for Resource Manager (Wprowadzenie do usługi Microsoft Defender dla usługi Resource Manager). Włączenie tego planu usługi Defender powoduje naliczanie opłat. Dowiedz się więcej o szczegółach cennika dla regionu na stronie cennika Defender dla Chmury: Defender dla Chmury Cennik. (Brak powiązanych zasad)

Ważność: Wysoka

Usługa Microsoft Defender for SQL na maszynach powinna być włączona w obszarach roboczych

Opis: Usługa Microsoft Defender dla serwerów zapewnia wykrywanie zagrożeń i zaawansowaną ochronę maszyn z systemami Windows i Linux. Dzięki włączeniu tego planu usługi Defender w ramach subskrypcji, ale nie w obszarach roboczych, płacisz za pełną funkcję usługi Microsoft Defender dla serwerów, ale brakuje niektórych korzyści. Po włączeniu usługi Microsoft Defender dla serwerów w obszarze roboczym wszystkie maszyny raportujące do tego obszaru roboczego będą naliczane opłaty za usługę Microsoft Defender dla serwerów — nawet jeśli znajdują się w subskrypcjach bez włączenia planów usługi Defender. Jeśli nie włączysz również usługi Microsoft Defender dla serwerów w ramach subskrypcji, te maszyny nie będą mogły korzystać z dostępu just in time do maszyn wirtualnych, adaptacyjnego sterowania aplikacjami i wykrywania sieci dla zasobów platformy Azure. Dowiedz się więcej w temacie Wprowadzenie do usługi Microsoft Defender dla serwerów. (Brak powiązanych zasad)

Ważność: średni rozmiar

Należy włączyć usługę Microsoft Defender dla serwerów SQL na maszynach

Opis: Microsoft Defender for SQL to ujednolicony pakiet, który zapewnia zaawansowane funkcje zabezpieczeń SQL. Obejmuje ona funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać na zagrożenie dla bazy danych oraz odnajdywanie i klasyfikowanie poufnych danych.

Ważne: Skorygowanie tego zalecenia spowoduje naliczanie opłat za ochronę serwerów SQL na maszynach. Jeśli nie masz żadnych serwerów SQL na maszynach w tej subskrypcji, nie będą naliczane żadne opłaty. Jeśli w przyszłości utworzysz jakiekolwiek serwery SQL na maszynach w tej subskrypcji, zostaną one automatycznie chronione, a opłaty zaczną się w tym czasie. Dowiedz się więcej o serwerach Microsoft Defender for SQL na maszynach. (Powiązane zasady: Należy włączyć usługę Azure Defender dla serwerów SQL na maszynach).

Ważność: Wysoka

Usługa Microsoft Defender for SQL powinna być włączona dla niechronionych serwerów Azure SQL

Opis: Microsoft Defender for SQL to ujednolicony pakiet, który zapewnia zaawansowane funkcje zabezpieczeń SQL. Przedstawia ona potencjalne luki w zabezpieczeniach bazy danych i wykrywa nietypowe działania, które mogą wskazywać na zagrożenie dla bazy danych. Usługa Microsoft Defender for SQL jest rozliczana zgodnie ze szczegółami cen w poszczególnych regionach. (Powiązane zasady: Na serwerach SQL należy włączyć zaawansowane zabezpieczenia danych.

Ważność: Wysoka

Usługa Microsoft Defender for SQL powinna być włączona dla niechronionych wystąpień zarządzanych SQL

Opis: Microsoft Defender for SQL to ujednolicony pakiet, który zapewnia zaawansowane funkcje zabezpieczeń SQL. Przedstawia ona potencjalne luki w zabezpieczeniach bazy danych i wykrywa nietypowe działania, które mogą wskazywać na zagrożenie dla bazy danych. Usługa Microsoft Defender for SQL jest rozliczana zgodnie ze szczegółami cen w poszczególnych regionach. (Powiązane zasady: Zaawansowane zabezpieczenia danych powinny być włączone w usłudze SQL Managed Instance).

Ważność: Wysoka

Usługa Microsoft Defender for Storage powinna być włączona

Opis: Usługa Microsoft Defender dla magazynu wykrywa nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do kont magazynu lub wykorzystania ich. Ważne: opłaty za ochronę z tego planu są naliczane, jak pokazano na stronie plany usługi Defender. Jeśli nie masz żadnych kont usługi Azure Storage w tej subskrypcji, nie zostaną naliczone opłaty. Jeśli później utworzysz konta usługi Azure Storage w tej subskrypcji, zostaną one automatycznie chronione i rozpocznie się naliczanie opłat. Dowiedz się więcej o szczegółach cennika na region. Dowiedz się więcej w temacie Introduction to Microsoft Defender for Storage (Wprowadzenie do usługi Microsoft Defender for Storage). (Powiązane zasady: Usługa Azure Defender for Storage powinna być włączona).

Ważność: Wysoka

Usługa Network Watcher powinna być włączona

Opis: Network Watcher to usługa regionalna, która umożliwia monitorowanie i diagnozowanie warunków na poziomie scenariusza sieci w systemach, do i z platformy Azure. Monitorowanie na poziomie scenariusza umożliwia diagnozowanie problemów w widoku kompleksowego poziomu sieci. Narzędzia do diagnostyki i wizualizacji sieci dostępne w usłudze Network Watcher ułatwiają zrozumienie, diagnozowanie i uzyskiwanie szczegółowych informacji o sieci na platformie Azure. (Powiązane zasady: Usługa Network Watcher powinna być włączona).

Ważność: Niska

Należy włączyć połączenia prywatnego punktu końcowego w usłudze Azure SQL Database

Opis: Połączenia prywatnego punktu końcowego wymuszają bezpieczną komunikację, włączając prywatną łączność z usługą Azure SQL Database. (Powiązane zasady: Należy włączyć połączenia prywatnego punktu końcowego w usłudze Azure SQL Database).

Ważność: średni rozmiar

Prywatny punkt końcowy powinien być włączony dla serwerów MariaDB

Opis: Połączenia prywatnego punktu końcowego wymuszają bezpieczną komunikację, włączając prywatną łączność z usługą Azure Database for MariaDB. Skonfiguruj połączenie prywatnego punktu końcowego, aby umożliwić dostęp do ruchu pochodzącego tylko ze znanych sieci i uniemożliwić dostęp ze wszystkich innych adresów IP, w tym na platformie Azure. (Powiązane zasady: Prywatny punkt końcowy powinien być włączony dla serwerów MariaDB.

Ważność: średni rozmiar

Prywatny punkt końcowy powinien być włączony dla serwerów MySQL

Opis: Połączenia prywatnego punktu końcowego wymuszają bezpieczną komunikację, włączając prywatną łączność z usługą Azure Database for MySQL. Skonfiguruj połączenie prywatnego punktu końcowego, aby umożliwić dostęp do ruchu pochodzącego tylko ze znanych sieci i uniemożliwić dostęp ze wszystkich innych adresów IP, w tym na platformie Azure. (Powiązane zasady: Prywatny punkt końcowy powinien być włączony dla serwerów MySQL).

Ważność: średni rozmiar

Prywatny punkt końcowy powinien być włączony dla serwerów PostgreSQL

Opis: Połączenia prywatnego punktu końcowego wymuszają bezpieczną komunikację, włączając prywatną łączność z usługą Azure Database for PostgreSQL. Skonfiguruj połączenie prywatnego punktu końcowego, aby umożliwić dostęp do ruchu pochodzącego tylko ze znanych sieci i uniemożliwić dostęp ze wszystkich innych adresów IP, w tym na platformie Azure. (Powiązane zasady: Prywatny punkt końcowy powinien być włączony dla serwerów PostgreSQL).

Ważność: średni rozmiar

Dostęp do sieci publicznej w usłudze Azure SQL Database powinien być wyłączony

Opis: Wyłączenie właściwości dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając dostęp do usługi Azure SQL Database tylko z prywatnego punktu końcowego. Ta konfiguracja odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej. (Powiązane zasady: Dostęp do sieci publicznej w usłudze Azure SQL Database powinien być wyłączony.

Ważność: średni rozmiar

Dostęp do sieci publicznej powinien być wyłączony dla serwerów MariaDB

Opis: Wyłącz właściwość dostępu do sieci publicznej, aby zwiększyć bezpieczeństwo i upewnić się, że dostęp do usługi Azure Database for MariaDB można uzyskać tylko z prywatnego punktu końcowego. Ta konfiguracja ściśle wyłącza dostęp z dowolnej przestrzeni adresów publicznych poza zakresem adresów IP platformy Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej. (Powiązane zasady: Dostęp do sieci publicznej powinien być wyłączony dla serwerów MariaDB.

Ważność: średni rozmiar

Dostęp do sieci publicznej powinien być wyłączony dla serwerów MySQL

Opis: Wyłącz właściwość dostępu do sieci publicznej, aby zwiększyć bezpieczeństwo i upewnić się, że dostęp do usługi Azure Database for MySQL można uzyskać tylko z prywatnego punktu końcowego. Ta konfiguracja ściśle wyłącza dostęp z dowolnej przestrzeni adresów publicznych poza zakresem adresów IP platformy Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej. (Powiązane zasady: Dostęp do sieci publicznej powinien być wyłączony dla serwerów MySQL).

Ważność: średni rozmiar

Dostęp do sieci publicznej powinien być wyłączony dla serwerów PostgreSQL

Opis: Wyłącz właściwość dostępu do sieci publicznej, aby zwiększyć bezpieczeństwo i upewnić się, że dostęp do usługi Azure Database for PostgreSQL można uzyskać tylko z prywatnego punktu końcowego. Ta konfiguracja wyłącza dostęp z dowolnej publicznej przestrzeni adresowej poza zakresem adresów IP platformy Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej. (Powiązane zasady: Dostęp do sieci publicznej powinien być wyłączony dla serwerów PostgreSQL).

Ważność: średni rozmiar

Pamięć podręczna Redis Cache powinna zezwalać na dostęp tylko za pośrednictwem protokołu SSL

Opis: Włącz tylko połączenia za pośrednictwem protokołu SSL z pamięcią podręczną Redis Cache. Korzystanie z bezpiecznych połączeń zapewnia uwierzytelnianie między serwerem a usługą i chroni dane przesyłane przed atakami warstwy sieciowej, takimi jak man-in-the-middle, podsłuchiwanie i przejęcie sesji. (Powiązane zasady: Należy włączyć tylko bezpieczne połączenia z usługą Azure Cache for Redis).

Ważność: Wysoka

Bazy danych SQL powinny mieć rozwiązane problemy z lukami w zabezpieczeniach

Opis: Ocena luk w zabezpieczeniach SQL skanuje bazę danych pod kątem luk w zabezpieczeniach i ujawnia wszelkie odchylenia od najlepszych rozwiązań, takich jak błędy konfiguracji, nadmierne uprawnienia i niechronione dane poufne. Rozwiązanie znalezionych luk w zabezpieczeniach może znacznie poprawić stan zabezpieczeń bazy danych. Dowiedz się więcej (Powiązane zasady: Luki w zabezpieczeniach baz danych SQL powinny zostać skorygowane).

Ważność: Wysoka

Wystąpienia zarządzane SQL powinny mieć skonfigurowaną ocenę luk w zabezpieczeniach

Opis: Ocena luk w zabezpieczeniach może wykrywać, śledzić i pomagać w korygowaniu potencjalnych luk w zabezpieczeniach bazy danych. (Powiązane zasady: Ocena luk w zabezpieczeniach powinna być włączona w usłudze SQL Managed Instance).

Ważność: Wysoka

Serwery SQL na maszynach powinny mieć rozwiązane problemy z lukami w zabezpieczeniach

Opis: Ocena luk w zabezpieczeniach SQL skanuje bazę danych pod kątem luk w zabezpieczeniach i ujawnia wszelkie odchylenia od najlepszych rozwiązań, takich jak błędy konfiguracji, nadmierne uprawnienia i niechronione dane poufne. Rozwiązanie znalezionych luk w zabezpieczeniach może znacznie poprawić stan zabezpieczeń bazy danych. Dowiedz się więcej (Powiązane zasady: Luki w zabezpieczeniach na serwerach SQL na maszynie powinny zostać skorygowane).

Ważność: Wysoka

Serwery SQL powinny mieć zainicjowaną aprowizację administratora usługi Azure Active Directory

Opis: Aprowizuj administratora usługi Azure AD dla serwera SQL, aby włączyć uwierzytelnianie usługi Azure AD. Uwierzytelnianie usługi Azure AD umożliwia uproszczone zarządzanie uprawnieniami i scentralizowane zarządzanie tożsamościami użytkowników bazy danych i innych usługi firmy Microsoft. (Powiązane zasady: Administrator usługi Azure Active Directory powinien być aprowizowany dla serwerów SQL.

Ważność: Wysoka

Serwery SQL powinny mieć skonfigurowaną ocenę luk w zabezpieczeniach

Opis: Ocena luk w zabezpieczeniach może wykrywać, śledzić i pomagać w korygowaniu potencjalnych luk w zabezpieczeniach bazy danych. (Powiązane zasady: Ocena luk w zabezpieczeniach powinna być włączona na serwerach SQL.

Ważność: Wysoka

Konto magazynu powinno używać połączenia łącza prywatnego

Opis: Łącza prywatne wymuszają bezpieczną komunikację, zapewniając prywatną łączność z kontem magazynu (powiązane zasady: Konto magazynu powinno używać połączenia łącza prywatnego).

Ważność: średni rozmiar

Konta magazynu należy migrować do nowych zasobów usługi Azure Resource Manager

Opis: Aby skorzystać z nowych funkcji w usłudze Azure Resource Manager, możesz migrować istniejące wdrożenia z klasycznego modelu wdrażania. Usługa Resource Manager umożliwia ulepszenia zabezpieczeń, takie jak: silniejsza kontrola dostępu (RBAC), lepsza inspekcja, wdrażanie oparte na usłudze ARM i ład, dostęp do tożsamości zarządzanych, dostęp do magazynu kluczy dla wpisów tajnych, uwierzytelnianie oparte na usłudze Azure AD oraz obsługa tagów i grup zasobów w celu łatwiejszego zarządzania zabezpieczeniami. Dowiedz się więcej (Powiązane zasady: Konta magazynu powinny być migrowane do nowych zasobów usługi Azure Resource Manager).

Ważność: Niska

Konta magazynu powinny ograniczać dostęp sieciowy przy użyciu reguł sieci wirtualnej

Opis: Ochrona kont magazynu przed potencjalnymi zagrożeniami przy użyciu reguł sieci wirtualnej jako preferowanej metody zamiast filtrowania opartego na adresach IP. Wyłączenie filtrowania opartego na adresach IP uniemożliwia publicznym adresom IP uzyskiwanie dostępu do kont magazynu. (Powiązane zasady: Konta magazynu powinny ograniczać dostęp sieciowy przy użyciu reguł sieci wirtualnej).

Ważność: średni rozmiar

Subskrypcje powinny mieć kontaktowy adres e-mail w przypadku problemów z zabezpieczeniami

Opis: Aby upewnić się, że odpowiednie osoby w organizacji są powiadamiane o potencjalnym naruszeniu zabezpieczeń w jednej z Twoich subskrypcji, ustaw kontakt zabezpieczeń, aby otrzymywać powiadomienia e-mail od Defender dla Chmury. (Powiązane zasady: W przypadku problemów z zabezpieczeniami subskrypcje powinny mieć kontaktowy adres e-mail)

Ważność: Niska

Należy włączyć funkcję Transparent Data Encryption w bazach danych SQL

Opis: Włącz przezroczyste szyfrowanie danych, aby chronić dane magazynowane i spełniać wymagania dotyczące zgodności (powiązane zasady: Funkcja Transparent Data Encryption w bazach danych SQL powinna być włączona).

Ważność: Niska

Szablony konstruktora obrazów maszyny wirtualnej powinny używać łącza prywatnego

Opis: Przeprowadź inspekcję szablonów konstruktora obrazów maszyny wirtualnej, które nie mają skonfigurowanej sieci wirtualnej. Gdy sieć wirtualna nie jest skonfigurowana, publiczny adres IP jest tworzony i używany zamiast tego, co może bezpośrednio uwidaczniać zasoby w Internecie i zwiększać potencjalny obszar ataków. (Powiązane zasady: Szablony konstruktora obrazów maszyn wirtualnych powinny używać linku prywatnego).

Ważność: średni rozmiar

Zapora aplikacji internetowej (WAF) powinna być włączona dla usługi Application Gateway

Opis: Wdróż usługę Azure Web Application Firewall (WAF) przed publicznymi aplikacjami internetowymi w celu dodatkowej inspekcji ruchu przychodzącego. Zapora aplikacji internetowej (WAF) zapewnia scentralizowaną ochronę aplikacji internetowych przed typowymi programami wykorzystującymi luki w zabezpieczeniach i lukami w zabezpieczeniach, takimi jak iniekcje SQL, wykonywanie skryptów między witrynami, lokalne i zdalne wykonywanie plików. Możesz również ograniczyć dostęp do aplikacji internetowych według krajów/regionów, zakresów adresów IP i innych parametrów http za pośrednictwem reguł niestandardowych. (Powiązane zasady: Zapora aplikacji internetowej (WAF) powinna być włączona dla usługi Application Gateway.

Ważność: Niska

Zapora aplikacji internetowej (WAF) powinna być włączona dla usługi Azure Front Door Service

Opis: Wdróż usługę Azure Web Application Firewall (WAF) przed publicznymi aplikacjami internetowymi w celu dodatkowej inspekcji ruchu przychodzącego. Zapora aplikacji internetowej (WAF) zapewnia scentralizowaną ochronę aplikacji internetowych przed typowymi programami wykorzystującymi luki w zabezpieczeniach i lukami w zabezpieczeniach, takimi jak iniekcje SQL, wykonywanie skryptów między witrynami, lokalne i zdalne wykonywanie plików. Możesz również ograniczyć dostęp do aplikacji internetowych według krajów/regionów, zakresów adresów IP i innych parametrów http za pośrednictwem reguł niestandardowych. (Powiązane zasady: Zapora aplikacji internetowej (WAF) powinna być włączona dla usługi Azure Front Door Service?service)

Ważność: Niska

Usługi Cognitive Services powinny używać łącza prywatnego

Opis: Usługa Azure Private Link umożliwia łączenie sieci wirtualnych z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na usługi Cognitive Services, zmniejszysz potencjał wycieku danych. Dowiedz się więcej o linkach prywatnych. (Powiązane zasady: Usługi Cognitive Services powinny używać łącza prywatnego).

Ważność: średni rozmiar

Usługa Azure Cosmos DB powinna wyłączyć dostęp do sieci publicznej

Opis: Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że twoje konto usługi Cosmos DB nie jest uwidocznione w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie konta usługi Cosmos DB. Dowiedz się więcej. (Powiązane zasady: Usługa Azure Cosmos DB powinna wyłączyć dostęp do sieci publicznej).

Ważność: średni rozmiar

Konta usługi Cosmos DB powinny używać łącza prywatnego

Opis: Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na konto usługi Cosmos DB, zmniejsza się ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych. (Powiązane zasady: Konta usługi Cosmos DB powinny używać łącza prywatnego).

Ważność: średni rozmiar

Usługa Azure SQL Database powinna mieć uruchomiony protokół TLS w wersji 1.2 lub nowszej

Opis: Ustawienie wersji protokołu TLS na 1.2 lub nowszej zwiększa bezpieczeństwo, zapewniając, że usługa Azure SQL Database będzie dostępna tylko od klientów przy użyciu protokołu TLS 1.2 lub nowszego. Używanie wersji protokołu TLS mniejszej niż 1.2 nie jest zalecane, ponieważ mają dobrze udokumentowane luki w zabezpieczeniach. (Powiązane zasady: Usługa Azure SQL Database powinna mieć uruchomiony protokół TLS w wersji 1.2 lub nowszej).

Ważność: średni rozmiar

Usługa Azure SQL Managed Instances powinna wyłączyć dostęp do sieci publicznej

Opis: Wyłączenie dostępu do sieci publicznej (publicznego punktu końcowego) w usłudze Azure SQL Managed Instances zwiększa bezpieczeństwo, zapewniając dostęp do nich tylko z sieci wirtualnych lub za pośrednictwem prywatnych punktów końcowych. Dowiedz się więcej o dostępie do sieci publicznej. (Powiązane zasady: Usługa Azure SQL Managed Instances powinna wyłączyć dostęp do sieci publicznej).

Ważność: średni rozmiar

Konta magazynu powinny uniemożliwić dostęp do klucza współużytkowanego

Opis: Wymaganie inspekcji usługi Azure Active Directory (Azure AD) w celu autoryzowania żądań dla konta magazynu. Domyślnie żądania mogą być autoryzowane przy użyciu poświadczeń usługi Azure Active Directory lub przy użyciu klucza dostępu konta do autoryzacji klucza współdzielonego. Spośród tych dwóch typów autoryzacji usługa Azure AD zapewnia doskonałe zabezpieczenia i łatwość korzystania z klucza współużytkowanego i jest zalecana przez firmę Microsoft. (Powiązane zasady: zasady)

Ważność: średni rozmiar

Zalecenia dotyczące tożsamości i dostępu

Dla subskrypcji należy wyznaczyć maksymalnie 3 właścicieli

Opis: Aby zmniejszyć ryzyko naruszenia zabezpieczeń przez naruszone konta właściciela, zalecamy ograniczenie liczby kont właścicieli do maksymalnie 3 (powiązane zasady: dla subskrypcji należy wyznaczyć maksymalnie 3 właścicieli).

Ważność: Wysoka

Konta z uprawnieniami właściciela do zasobów platformy Azure powinny być włączone uwierzytelnianie wieloskładnikowe

Opis: Jeśli używasz tylko haseł do uwierzytelniania użytkowników, pozostawiasz otwarty wektor ataku. Użytkownicy często używają słabych haseł dla wielu usług. Dzięki włączeniu uwierzytelniania wieloskładnikowego (MFA) zapewniasz lepsze zabezpieczenia kont, jednocześnie umożliwiając użytkownikom uwierzytelnianie w niemal każdej aplikacji przy użyciu logowania jednokrotnego (SSO). Uwierzytelnianie wieloskładnikowe to proces, za pomocą którego użytkownicy są monitowani podczas procesu logowania w celu uzyskania innej formy identyfikacji. Na przykład kod może zostać wysłany do telefonu komórkowego lub może zostać poproszony o skanowanie odciskiem palca. Zalecamy włączenie uwierzytelniania wieloskładnikowego dla wszystkich kont, które mają uprawnienia właściciela do zasobów platformy Azure, aby zapobiec naruszeniom i atakom. Więcej szczegółów i często zadawanych pytań można znaleźć tutaj: Zarządzanie wymuszaniem uwierzytelniania wieloskładnikowego (MFA) w subskrypcjach (brak powiązanych zasad).

Ważność: Wysoka

Konta z uprawnieniami do odczytu w zasobach platformy Azure powinny być włączone uwierzytelnianie wieloskładnikowe

Opis: Jeśli używasz tylko haseł do uwierzytelniania użytkowników, pozostawiasz otwarty wektor ataku. Użytkownicy często używają słabych haseł dla wielu usług. Dzięki włączeniu uwierzytelniania wieloskładnikowego (MFA) zapewniasz lepsze zabezpieczenia kont, jednocześnie umożliwiając użytkownikom uwierzytelnianie w niemal każdej aplikacji przy użyciu logowania jednokrotnego (SSO). Uwierzytelnianie wieloskładnikowe to proces, za pomocą którego użytkownicy są monitowani podczas procesu logowania w celu uzyskania dodatkowej formy identyfikacji. Na przykład kod może zostać wysłany do telefonu komórkowego lub może zostać poproszony o skanowanie odciskiem palca. Zalecamy włączenie uwierzytelniania wieloskładnikowego dla wszystkich kont, które mają uprawnienia do odczytu zasobów platformy Azure, aby zapobiec naruszeniom i atakom. Więcej szczegółów i często zadawanych pytań można znaleźć tutaj. (Brak powiązanych zasad)

Ważność: Wysoka

Konta z uprawnieniami do zapisu w zasobach platformy Azure powinny być włączone uwierzytelnianie wieloskładnikowe

Opis: Jeśli używasz tylko haseł do uwierzytelniania użytkowników, pozostawiasz otwarty wektor ataku. Użytkownicy często używają słabych haseł dla wielu usług. Dzięki włączeniu uwierzytelniania wieloskładnikowego (MFA) zapewniasz lepsze zabezpieczenia kont, jednocześnie umożliwiając użytkownikom uwierzytelnianie w niemal każdej aplikacji przy użyciu logowania jednokrotnego (SSO). Uwierzytelnianie wieloskładnikowe to proces, za pomocą którego użytkownicy są monitowani podczas procesu logowania w celu uzyskania dodatkowej formy identyfikacji. Na przykład kod może zostać wysłany do telefonu komórkowego lub może zostać poproszony o skanowanie odciskiem palca. Zalecamy włączenie uwierzytelniania wieloskładnikowego dla wszystkich kont, które mają uprawnienia do zapisu w zasobach platformy Azure, aby zapobiec naruszeniom i atakom. Więcej szczegółów i często zadawanych pytań można znaleźć tutaj: Zarządzanie wymuszaniem uwierzytelniania wieloskładnikowego (MFA) w subskrypcjach (brak powiązanych zasad).

Ważność: Wysoka

Konta usługi Azure Cosmos DB powinny używać usługi Azure Active Directory jako jedynej metody uwierzytelniania

Opis: Najlepszym sposobem uwierzytelniania w usługach platformy Azure jest użycie kontroli dostępu opartej na rolach (RBAC). Kontrola dostępu oparta na rolach umożliwia utrzymanie minimalnej zasady uprawnień i obsługuje możliwość odwołowywania uprawnień jako efektywnej metody reagowania w przypadku naruszenia zabezpieczeń. Konto usługi Azure Cosmos DB można skonfigurować tak, aby wymuszało kontrolę dostępu opartą na rolach jako jedyną metodę uwierzytelniania. Po skonfigurowaniu wymuszania wszystkie inne metody dostępu zostaną odrzucone (klucze podstawowe/pomocnicze i tokeny dostępu). (Brak powiązanych zasad)

Ważność: średni rozmiar

Zablokowane konta z uprawnieniami właściciela do zasobów platformy Azure powinny zostać usunięte

Opis: Konta, które zostały zablokowane przed zalogowaniem się w usłudze Active Directory, powinny zostać usunięte z zasobów platformy Azure. Te konta mogą być obiektami docelowymi dla osób atakujących, którzy chcą znaleźć sposoby uzyskiwania dostępu do danych bez zauważenia. (Brak powiązanych zasad)

Ważność: Wysoka

Zablokowane konta z uprawnieniami do odczytu i zapisu w zasobach platformy Azure powinny zostać usunięte

Opis: Konta, które zostały zablokowane przed zalogowaniem się w usłudze Active Directory, powinny zostać usunięte z zasobów platformy Azure. Te konta mogą być obiektami docelowymi dla osób atakujących, którzy chcą znaleźć sposoby uzyskiwania dostępu do danych bez zauważenia. (Brak powiązanych zasad)

Ważność: Wysoka

Przestarzałe konta powinny zostać usunięte z subskrypcji

Opis: Konta użytkowników, które zostały zablokowane podczas logowania, powinny zostać usunięte z subskrypcji. Te konta mogą być obiektami docelowymi dla osób atakujących, którzy chcą znaleźć sposoby uzyskiwania dostępu do danych bez zauważenia. (Powiązane zasady: Przestarzałe konta powinny zostać usunięte z subskrypcji.

Ważność: Wysoka

Przestarzałe konta z uprawnieniami właściciela powinny zostać usunięte z subskrypcji

Opis: Konta użytkowników, które zostały zablokowane podczas logowania, powinny zostać usunięte z subskrypcji. Te konta mogą być obiektami docelowymi dla osób atakujących, którzy chcą znaleźć sposoby uzyskiwania dostępu do danych bez zauważenia. (Powiązane zasady: Przestarzałe konta z uprawnieniami właściciela powinny zostać usunięte z subskrypcji.

Ważność: Wysoka

Dzienniki diagnostyczne w usłudze Key Vault powinny być włączone

Opis: Włącz dzienniki i zachowaj je przez maksymalnie rok. Dzięki temu można odtworzyć ślady aktywności do celów badania, gdy wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona. (Powiązane zasady: Dzienniki diagnostyczne w usłudze Key Vault powinny być włączone).

Ważność: Niska

Konta zewnętrzne z uprawnieniami właściciela powinny zostać usunięte z subskrypcji

Opis: Konta z uprawnieniami właściciela, które mają różne nazwy domen (konta zewnętrzne), powinny zostać usunięte z subskrypcji. Zapobiega to niemonitorowanemu dostępowi. Te konta mogą być obiektami docelowymi dla osób atakujących, którzy chcą znaleźć sposoby uzyskiwania dostępu do danych bez zauważenia. (Powiązane zasady: Konta zewnętrzne z uprawnieniami właściciela powinny zostać usunięte z subskrypcji.

Ważność: Wysoka

Konta zewnętrzne z uprawnieniami do odczytu powinny zostać usunięte z subskrypcji

Opis: Konta z uprawnieniami do odczytu, które mają różne nazwy domen (konta zewnętrzne), powinny zostać usunięte z subskrypcji. Zapobiega to niemonitorowanemu dostępowi. Te konta mogą być obiektami docelowymi dla osób atakujących, którzy chcą znaleźć sposoby uzyskiwania dostępu do danych bez zauważenia. (Powiązane zasady: Konta zewnętrzne z uprawnieniami do odczytu powinny zostać usunięte z subskrypcji.

Ważność: Wysoka

Konta zewnętrzne z uprawnieniami do zapisu powinny zostać usunięte z subskrypcji

Opis: Konta z uprawnieniami do zapisu, które mają różne nazwy domen (konta zewnętrzne), powinny zostać usunięte z subskrypcji. Zapobiega to niemonitorowanemu dostępowi. Te konta mogą być obiektami docelowymi dla osób atakujących, którzy chcą znaleźć sposoby uzyskiwania dostępu do danych bez zauważenia. (Powiązane zasady: Konta zewnętrzne z uprawnieniami do zapisu powinny zostać usunięte z subskrypcji).

Ważność: Wysoka

Zapora powinna być włączona w usłudze Key Vault

Opis: Zapora magazynu kluczy uniemożliwia nieautoryzowany ruch z dotarciem do magazynu kluczy i zapewnia dodatkową warstwę ochrony dla wpisów tajnych. Włącz zaporę, aby upewnić się, że tylko ruch z dozwolonych sieci może uzyskiwać dostęp do magazynu kluczy. (Powiązane zasady: Zapora powinna być włączona w usłudze Key Vault).

Ważność: średni rozmiar

Konta gości z uprawnieniami właściciela do zasobów platformy Azure należy usunąć

Opis: Konta z uprawnieniami właściciela, które zostały aprowidowane poza dzierżawą usługi Azure Active Directory (różne nazwy domen), powinny zostać usunięte z zasobów platformy Azure. Konta gościa nie są zarządzane zgodnie z tymi samymi standardami co tożsamości dzierżawy przedsiębiorstwa. Te konta mogą być obiektami docelowymi dla osób atakujących, którzy chcą znaleźć sposoby uzyskiwania dostępu do danych bez zauważenia. (Brak powiązanych zasad)

Ważność: Wysoka

Konta gości z uprawnieniami do odczytu w zasobach platformy Azure powinny zostać usunięte

Opis: Konta z uprawnieniami do odczytu, które zostały aprowidowane poza dzierżawą usługi Azure Active Directory (różne nazwy domen), powinny zostać usunięte z zasobów platformy Azure. Konta gościa nie są zarządzane zgodnie z tymi samymi standardami co tożsamości dzierżawy przedsiębiorstwa. Te konta mogą być obiektami docelowymi dla osób atakujących, którzy chcą znaleźć sposoby uzyskiwania dostępu do danych bez zauważenia. (Brak powiązanych zasad)

Ważność: Wysoka

Konta gości z uprawnieniami do zapisu w zasobach platformy Azure powinny zostać usunięte

Opis: Konta z uprawnieniami do zapisu, które zostały aprowidowane poza dzierżawą usługi Azure Active Directory (różne nazwy domen), powinny zostać usunięte z zasobów platformy Azure. Konta gościa nie są zarządzane zgodnie z tymi samymi standardami co tożsamości dzierżawy przedsiębiorstwa. Te konta mogą być obiektami docelowymi dla osób atakujących, którzy chcą znaleźć sposoby uzyskiwania dostępu do danych bez zauważenia. (Brak powiązanych zasad)

Ważność: Wysoka

Klucze usługi Key Vault powinny mieć datę wygaśnięcia

Opis: Klucze kryptograficzne powinny mieć zdefiniowaną datę wygaśnięcia i nie być trwałe. Klucze, które są ważne na zawsze, zapewniają potencjalnemu atakującemu więcej czasu na naruszenie klucza. Zalecaną praktyką zabezpieczeń jest ustawianie dat wygaśnięcia kluczy kryptograficznych. (Powiązane zasady: Klucze usługi Key Vault powinny mieć datę wygaśnięcia).

Ważność: Wysoka

Wpisy tajne usługi Key Vault powinny mieć datę wygaśnięcia

Opis: Wpisy tajne powinny mieć zdefiniowaną datę wygaśnięcia i nie być trwałe. Wpisy tajne, które są ważne na zawsze, zapewniają potencjalnemu atakującemu więcej czasu na ich naruszenie. Zalecaną praktyką zabezpieczeń jest ustawienie dat wygaśnięcia wpisów tajnych. (Powiązane zasady: Wpisy tajne usługi Key Vault powinny mieć datę wygaśnięcia).

Ważność: Wysoka

Magazyny kluczy powinny mieć włączoną ochronę przed przeczyszczeniem

Opis: Złośliwe usunięcie magazynu kluczy może prowadzić do trwałej utraty danych. Złośliwy tester w organizacji może potencjalnie usuwać i czyścić magazyny kluczy. Ochrona przed przeczyszczeniem chroni przed atakami poufnymi przez wymuszanie obowiązkowego okresu przechowywania dla nietrwałych magazynów kluczy usuniętych. Nikt w twojej organizacji lub firmie Microsoft nie będzie mógł przeczyścić magazynów kluczy w okresie przechowywania usuwania nietrwałego. (Powiązane zasady: Magazyny kluczy powinny mieć włączoną ochronę przed przeczyszczeniem).

Ważność: średni rozmiar

Magazyny kluczy powinny mieć włączone usuwanie nietrwałe

Opis: Usuwanie magazynu kluczy bez włączenia usuwania nietrwałego powoduje trwałe usunięcie wszystkich wpisów tajnych, kluczy i certyfikatów przechowywanych w magazynie kluczy. Przypadkowe usunięcie magazynu kluczy może prowadzić do trwałej utraty danych. Usuwanie nietrwałe umożliwia odzyskanie przypadkowo usuniętego magazynu kluczy dla konfigurowalnego okresu przechowywania. (Powiązane zasady: Magazyny kluczy powinny mieć włączone usuwanie nietrwałe).

Ważność: Wysoka

Uwierzytelnianie wieloskładnikowe powinno być włączone na kontach z uprawnieniami właściciela subskrypcji

Opis: Uwierzytelnianie wieloskładnikowe (MFA) powinno być włączone dla wszystkich kont subskrypcji z uprawnieniami właściciela, aby zapobiec naruszeniu kont lub zasobów. (Powiązane zasady: Uwierzytelnianie wieloskładnikowe powinno być włączone na kontach z uprawnieniami właściciela subskrypcji.

Ważność: Wysoka

Uwierzytelnianie wieloskładnikowe powinno być włączone na kontach z uprawnieniami do odczytu w subskrypcjach

Opis: Uwierzytelnianie wieloskładnikowe (MFA) powinno być włączone dla wszystkich kont subskrypcji z uprawnieniami do odczytu, aby zapobiec naruszeniu kont lub zasobów. (Powiązane zasady: Uwierzytelnianie wieloskładnikowe powinno być włączone na kontach z uprawnieniami do odczytu w ramach subskrypcji).

Ważność: Wysoka

Uwierzytelnianie wieloskładnikowe powinno być włączone na kontach z uprawnieniami do zapisu w subskrypcjach

Opis: Uwierzytelnianie wieloskładnikowe (MFA) powinno być włączone dla wszystkich kont subskrypcji z uprawnieniami do zapisu, aby zapobiec naruszeniu kont lub zasobów. (Powiązane zasady: Uwierzytelnianie wieloskładnikowe powinno być włączone z uprawnieniami do zapisu w ramach subskrypcji.

Ważność: Wysoka

Usługa Microsoft Defender dla usługi Key Vault powinna być włączona

Opis: Microsoft Defender dla Chmury zawiera usługę Microsoft Defender for Key Vault, zapewniając dodatkową warstwę analizy zabezpieczeń. Usługa Microsoft Defender for Key Vault wykrywa nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do kont usługi Key Vault lub wykorzystania ich. Ważne: opłaty za ochronę z tego planu są naliczane, jak pokazano na stronie plany usługi Defender. Jeśli nie masz żadnych magazynów kluczy w tej subskrypcji, nie zostaną naliczone opłaty. Jeśli później utworzysz magazyny kluczy w tej subskrypcji, zostaną one automatycznie chronione i rozpocznie się naliczanie opłat. Dowiedz się więcej o szczegółach cennika na region. Dowiedz się więcej w temacie Introduction to Microsoft Defender for Key Vault (Wprowadzenie do usługi Microsoft Defender dla usługi Key Vault). (Powiązane zasady: Usługa Azure Defender dla usługi Key Vault powinna być włączona).

Ważność: Wysoka

Prywatny punkt końcowy należy skonfigurować dla usługi Key Vault

Opis: Link prywatny umożliwia połączenie usługi Key Vault z zasobami platformy Azure bez wysyłania ruchu przez publiczny Internet. Usługa Private Link zapewnia ochronę w głębi systemu ochrony przed eksfiltracją danych. (Powiązane zasady: Prywatny punkt końcowy należy skonfigurować dla usługi Key Vault).

Ważność: średni rozmiar

Dostęp publiczny do konta magazynu powinien być niedozwolony

Opis: Anonimowy publiczny dostęp do odczytu do kontenerów i obiektów blob w usłudze Azure Storage to wygodny sposób udostępniania danych, ale może stanowić zagrożenie bezpieczeństwa. Aby zapobiec naruszeniom danych spowodowanym niepożądanym dostępem anonimowym, firma Microsoft zaleca zapobieganie publicznemu dostępowi do konta magazynu, chyba że twój scenariusz tego wymaga. (Powiązane zasady: Dostęp publiczny do konta magazynu powinien być niedozwolony.

Ważność: średni rozmiar

Do subskrypcji powinno być przypisanych więcej niż jeden właściciel

Opis: wyznaczyć więcej niż jednego właściciela subskrypcji w celu zapewnienia nadmiarowości dostępu administratora. (Powiązane zasady: Do subskrypcji powinien być przypisany więcej niż jeden właściciel.

Ważność: Wysoka

Okres ważności certyfikatów przechowywanych w usłudze Azure Key Vault nie powinien przekraczać 12 miesięcy

Opis: Upewnij się, że certyfikaty nie mają okresu ważności przekraczającego 12 miesięcy. (Powiązane zasady: Certyfikaty powinny mieć określony maksymalny okres ważności).

Ważność: średni rozmiar

Tożsamości z nadmierną aprowizą platformy Azure powinny mieć tylko niezbędne uprawnienia (wersja zapoznawcza)

Opis: Tożsamości z nadmierną aprowizą lub w przypadku tożsamości z uprawnieniami nie używają wielu z ich przyznanych uprawnień. Regularnie odpowiednie uprawnienia do tych tożsamości w celu zmniejszenia ryzyka nieprawidłowego użycia uprawnień, przypadkowego lub złośliwego. Ta akcja zmniejsza potencjalny promień wybuchu podczas zdarzenia bezpieczeństwa.

Ważność: średni rozmiar

Należy usunąć super tożsamości w środowisku platformy Azure (wersja zapoznawcza)

Opis: Super Identity to dowolna tożsamość człowieka lub obciążenia, taka jak użytkownicy, jednostki usługi i funkcje bezserwerowe, które mają uprawnienia administratora i mogą wykonywać dowolne akcje na dowolnym zasobie w całej infrastrukturze. Super Tożsamości są bardzo wysokie, ponieważ każde złośliwe lub przypadkowe użycie uprawnień może spowodować katastrofalne przerwy w działaniu usługi, degradacji usługi lub wycieku danych. Super Identities stanowią ogromne zagrożenie dla infrastruktury chmury. Zbyt wiele super tożsamości może stworzyć nadmierne ryzyko i zwiększyć promień wybuchu podczas naruszenia.

Ważność: średni rozmiar

Nieużywane tożsamości w środowisku platformy Azure powinny zostać usunięte (wersja zapoznawcza)

Opis: Tożsamości nieaktywne to tożsamości, które nie wykonały żadnej akcji dla żadnych zasobów infrastruktury w ciągu ostatnich 90 dni. Tożsamości nieaktywne stanowią poważne zagrożenie dla organizacji, ponieważ mogą być one używane przez osoby atakujące do uzyskiwania dostępu i wykonywania zadań w danym środowisku.

Ważność: średni rozmiar

Zalecenia dotyczące IoT

Domyślne zasady filtrowania adresów IP powinny mieć wartość Odmów

Opis: Konfiguracja filtru adresów IP powinna mieć reguły zdefiniowane dla dozwolonego ruchu i powinny domyślnie blokować cały inny ruch (brak powiązanych zasad).

Ważność: średni rozmiar

Dzienniki diagnostyczne w usłudze IoT Hub powinny być włączone

Opis: Włącz dzienniki i zachowaj je przez maksymalnie rok. Dzięki temu można odtworzyć ślady aktywności do celów badania, gdy wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona. (Powiązane zasady: Dzienniki diagnostyczne w usłudze IoT Hub powinny być włączone).

Ważność: Niska

Identyczne poświadczenia uwierzytelniania

Opis: Identyczne poświadczenia uwierzytelniania w usłudze IoT Hub używane przez wiele urządzeń. Może to wskazywać na bezprawne personifikowanie wiarygodnego urządzenia. Naraża również ryzyko personifikacji urządzenia przez osobę atakującą (brak powiązanych zasad).

Ważność: Wysoka

Reguła filtru adresów IP — duży zakres adresów IP

Opis: Źródłowy zakres adresów IP reguły zezwalania na filtr IP jest zbyt duży. Nadmiernie permissive reguły mogą spowodować uwidocznienie centrum IoT do złośliwych intencji (brak powiązanych zasad).

Ważność: średni rozmiar

Zalecenia dotyczące sieci

Dostęp do kont magazynu z konfiguracją zapory i sieci wirtualnej powinien być ograniczony

Opis: Przejrzyj ustawienia dostępu sieciowego w ustawieniach zapory konta magazynu. Zalecamy skonfigurowanie reguł sieci, aby tylko aplikacje z dozwolonych sieci mogły uzyskiwać dostęp do konta magazynu. Aby zezwolić na połączenia z określonych klientów internetowych lub lokalnych, można udzielić dostępu do ruchu z określonych sieci wirtualnych platformy Azure lub do publicznych zakresów adresów IP internetowych. (Powiązane zasady: Konta magazynu powinny ograniczać dostęp sieciowy).

Ważność: Niska

Zalecenia dotyczące adaptacyjnego wzmacniania zabezpieczeń sieci powinny być stosowane na maszynach wirtualnych z dostępem do Internetu

Opis: Defender dla Chmury przeanalizowała wzorce komunikacji ruchu internetowego maszyn wirtualnych wymienionych poniżej i ustaliła, że istniejące reguły skojarzone z nimi sieciowe grupy zabezpieczeń są nadmiernie permissywne, co powoduje zwiększenie potencjalnego ataku. Zwykle występuje to, gdy ten adres IP nie komunikuje się regularnie z tym zasobem. Alternatywnie adres IP został oznaczony jako złośliwy przez źródła analizy zagrożeń Defender dla Chmury. Dowiedz się więcej w temacie Zwiększanie stanu zabezpieczeń sieci dzięki adaptacyjnemu wzmacnianiu zabezpieczeń sieci. (Powiązane zasady: Zalecenia dotyczące adaptacyjnego wzmacniania zabezpieczeń sieci powinny być stosowane na maszynach wirtualnych z dostępem do Internetu.

Ważność: Wysoka

Wszystkie porty sieciowe powinny być ograniczone w sieciowych grupach zabezpieczeń skojarzonych z maszyną wirtualną

Opis: Defender dla Chmury zidentyfikował niektóre reguły ruchu przychodzącego sieciowych grup zabezpieczeń, aby być zbyt permissywne. Reguły ruchu przychodzącego nie powinny zezwalać na dostęp z zakresów "Dowolny" ani "Internet". Może to potencjalnie umożliwić osobom atakującym kierowanie zasobów. (Powiązane zasady: Wszystkie porty sieciowe powinny być ograniczone w sieciowych grupach zabezpieczeń skojarzonych z maszyną wirtualną).

Ważność: Wysoka

Należy włączyć usługę Azure DDoS Protection w warstwie Standardowa

Opis: Defender dla Chmury odnaleziono sieci wirtualne z zasobami usługi Application Gateway, które nie są chronione przez usługę ochrony przed atakami DDoS. Te zasoby zawierają publiczne adresy IP. Umożliwia ograniczenie ryzyka ataków typu volumetric i protokołów sieciowych. (Powiązane zasady: Należy włączyć usługę Azure DDoS Protection w warstwie Standardowa).

Ważność: średni rozmiar

Maszyny wirtualne dostępne z Internetu powinny być chronione za pomocą sieciowych grup zabezpieczeń

Opis: Ochrona maszyny wirtualnej przed potencjalnymi zagrożeniami przez ograniczenie dostępu do niej za pomocą sieciowej grupy zabezpieczeń. Sieciowe grupy zabezpieczeń zawierają listę reguł listy kontroli dostępu (ACL), które zezwalają na ruch sieciowy do maszyny wirtualnej z innych wystąpień lub spoza tej samej podsieci lub poza tą samą podsiecią. Aby zapewnić jak największe bezpieczeństwo maszyny, dostęp maszyny wirtualnej do Internetu musi być ograniczony, a sieciowa grupa zabezpieczeń powinna być włączona w podsieci. Maszyny wirtualne o ważności "Wysoka" to maszyny wirtualne połączone z Internetem. (Powiązane zasady: Maszyny wirtualne dostępne z Internetu powinny być chronione za pomocą sieciowych grup zabezpieczeń).

Ważność: Wysoka

Przekazywanie adresów IP na maszynie wirtualnej powinno być wyłączone

Opis: Defender dla Chmury wykrył, że przekazywanie ip jest włączone na niektórych maszynach wirtualnych. Włączenie przekazywania adresów IP na karcie sieciowej maszyny wirtualnej umożliwia maszynie odbieranie ruchu adresowanego do innych miejsc docelowych. Przekazywanie adresów IP jest rzadko wymagane (np. w przypadku korzystania z maszyny wirtualnej jako wirtualnego urządzenia sieciowego), dlatego powinno to zostać przejrzane przez zespół ds. zabezpieczeń sieci. (Powiązane zasady: Przekazywanie adresów IP na maszynie wirtualnej powinno być wyłączone.

Ważność: średni rozmiar

Maszyny powinny mieć zamknięte porty, które mogą uwidaczniać wektory ataków

Opis: Warunki użytkowania platformy Azure uniemożliwiają korzystanie z usług platformy Azure w sposób, który może uszkodzić, wyłączyć, przeciążyć lub osłabić dowolny serwer firmy Microsoft lub sieć. To zalecenie zawiera listę uwidocznionych portów, które należy zamknąć w celu zapewnienia ciągłego zabezpieczeń. Ilustruje również potencjalne zagrożenie dla każdego portu. (Brak powiązanych zasad)

Ważność: Wysoka

Porty zarządzania maszyn wirtualnych powinny być chronione za pomocą kontroli dostępu do sieci just in time

Opis: Defender dla Chmury zidentyfikował pewne nadmiernie permissywne reguły ruchu przychodzącego dla portów zarządzania w sieciowej grupie zabezpieczeń. Włącz kontrolę dostępu just in time, aby chronić maszynę wirtualną przed atakami siłowymi opartymi na Internecie. Dowiedz się więcej w artykule Understanding just-in-time (JIT) VM access (Dostęp just in time) do maszyny wirtualnej. (Powiązane zasady: Porty zarządzania maszyn wirtualnych powinny być chronione za pomocą kontroli dostępu do sieci just in time.

Ważność: Wysoka

Porty zarządzania powinny być zamknięte na maszynach wirtualnych

Opis: Otwieranie portów zdalnego zarządzania uwidacznia maszynę wirtualną na wysokim poziomie ryzyka związanego z atakami internetowymi. Te ataki próbują wymusić na nich poświadczenia, aby uzyskać dostęp administratora do maszyny. (Powiązane zasady: Porty zarządzania powinny być zamknięte na maszynach wirtualnych).

Ważność: średni rozmiar

Maszyny wirtualne bez Internetu powinny być chronione za pomocą sieciowych grup zabezpieczeń

Opis: Chroń maszynę wirtualną, która nie jest dostępna z Internetu przed potencjalnymi zagrożeniami, ograniczając dostęp do niej za pomocą sieciowej grupy zabezpieczeń. Sieciowe grupy zabezpieczeń zawierają listę reguł listy kontroli dostępu (ACL), które zezwalają na ruch sieciowy do maszyny wirtualnej z innych wystąpień, niezależnie od tego, czy znajdują się one w tej samej podsieci. Należy pamiętać, że aby zapewnić bezpieczeństwo maszyny, dostęp maszyny wirtualnej do Internetu musi być ograniczony, a sieciowa grupa zabezpieczeń powinna być włączona w podsieci. (Powiązane zasady: Maszyny wirtualne bez Internetu powinny być chronione za pomocą sieciowych grup zabezpieczeń.

Ważność: Niska

Bezpieczny transfer do kont magazynu powinien być włączony

Opis: Bezpieczny transfer to opcja, która wymusza akceptowanie żądań tylko z bezpiecznych połączeń (HTTPS). Użycie protokołu HTTPS zapewnia uwierzytelnianie między serwerem a usługą i chroni dane przesyłane przed atakami warstwy sieciowej, takimi jak man-in-the-middle, podsłuchiwanie i przejęcie sesji. (Powiązane zasady: Należy włączyć bezpieczny transfer do kont magazynu.

Ważność: Wysoka

Podsieci powinny być skojarzone z sieciową grupą zabezpieczeń

Opis: Ochrona podsieci przed potencjalnymi zagrożeniami przez ograniczenie dostępu do niej za pomocą sieciowej grupy zabezpieczeń. Sieciowe grupy zabezpieczeń zawierają listę reguł listy kontroli dostępu (ACL), które zezwalają lub odmawiają ruchu sieciowego do podsieci. Gdy sieciowa grupa zabezpieczeń jest skojarzona z podsiecią, reguły listy ACL dotyczą wszystkich wystąpień maszyn wirtualnych i zintegrowanych usług w tej podsieci, ale nie mają zastosowania do ruchu wewnętrznego wewnątrz podsieci. Aby zabezpieczyć zasoby w tej samej podsieci między sobą, włącz również sieciową grupę zabezpieczeń bezpośrednio w zasobach. Należy pamiętać, że następujące typy podsieci będą wyświetlane jako nie dotyczy: GatewaySubnet, AzureFirewallSubnet, AzureBastionSubnet. (Powiązane zasady: Podsieci powinny być skojarzone z sieciową grupą zabezpieczeń.

Ważność: Niska

Sieci wirtualne powinny być chronione przez usługę Azure Firewall

Opis: Niektóre sieci wirtualne nie są chronione za pomocą zapory. Użyj usługi Azure Firewall , aby ograniczyć dostęp do sieci wirtualnych i zapobiec potencjalnym zagrożeniom. (Powiązane zasady: Cały ruch internetowy powinien być kierowany za pośrednictwem wdrożonej usługi Azure Firewall.

Ważność: Niska

Zalecenia dotyczące interfejsu API

Należy włączyć usługę Microsoft Defender dla interfejsów API

Opis i powiązane zasady: Włącz usługę Defender dla interfejsów API, aby odnajdywać i chronić zasoby interfejsu API przed atakami i błędami konfiguracji zabezpieczeń. Dowiedz się więcej

Ważność: Wysoka

Interfejsy API usługi Azure API Management powinny być dołączane do usługi Defender dla interfejsów API

Opis i powiązane zasady: dołączanie interfejsów API do usługi Defender dla interfejsów API wymaga użycia zasobów obliczeniowych i pamięci w usłudze Azure API Management. Monitoruj wydajność usługi Azure API Management podczas dołączania interfejsów API i skaluj zasoby usługi Azure API Management zgodnie z potrzebami.

Ważność: Wysoka

Nieużywane punkty końcowe interfejsu API powinny zostać wyłączone i usunięte z usługi Azure API Management

Opis i powiązane zasady: Jako najlepsze rozwiązanie w zakresie zabezpieczeń punkty końcowe interfejsu API, które nie odebrały ruchu przez 30 dni, są uznawane za nieużywane i powinny zostać usunięte z usługi Azure API Management. Utrzymywanie nieużywanych punktów końcowych interfejsu API może stanowić zagrożenie bezpieczeństwa. Mogą to być interfejsy API, które powinny być przestarzałe z usługi Azure API Management, ale zostały przypadkowo aktywne. Takie interfejsy API zwykle nie otrzymują najbardziej aktualnego pokrycia zabezpieczeń.

Ważność: Niska

Punkty końcowe interfejsu API w usłudze Azure API Management powinny być uwierzytelniane

Opis i powiązane zasady: punkty końcowe interfejsu API opublikowane w usłudze Azure API Management powinny wymuszać uwierzytelnianie, aby zminimalizować ryzyko bezpieczeństwa. Mechanizmy uwierzytelniania są czasami implementowane niepoprawnie lub brakuje. Dzięki temu osoby atakujące mogą wykorzystywać wady implementacji i uzyskiwać dostęp do danych. W przypadku interfejsów API opublikowanych w usłudze Azure API Management ta rekomendacja ocenia uwierzytelnianie poprzez weryfikowanie obecności kluczy subskrypcji usługi Azure API Management dla interfejsów API lub produktów, w których jest wymagana subskrypcja, oraz wykonywanie zasad weryfikacji JWT, certyfikatów klienta i tokenów firmy Microsoft Entra. Jeśli żaden z tych mechanizmów uwierzytelniania nie zostanie wykonany podczas wywołania interfejsu API, interfejs API otrzyma to zalecenie.

Ważność: Wysoka

Zalecenia dotyczące usługi API Management

Subskrypcje usługi API Management nie powinny być ograniczone do wszystkich interfejsów API

Opis i powiązane zasady: subskrypcje usługi API Management powinny być ograniczone do produktu lub pojedynczego interfejsu API zamiast wszystkich interfejsów API, co może spowodować nadmierne narażenie na dane.

Ważność: średni rozmiar

Wywołania usługi API Management do zapleczy interfejsu API nie powinny pomijać odcisku palca certyfikatu ani sprawdzania poprawności nazwy

Opis i powiązane zasady: usługa API Management powinna zweryfikować certyfikat serwera zaplecza dla wszystkich wywołań interfejsu API. Włącz odcisk palca certyfikatu SSL i walidację nazwy, aby poprawić bezpieczeństwo interfejsu API.

Ważność: średni rozmiar

Nie należy włączać bezpośredniego punktu końcowego zarządzania usługą API Management

Opis i powiązane zasady: Bezpośredni interfejs API REST zarządzania w usłudze Azure API Management pomija mechanizmy kontroli dostępu, autoryzacji i ograniczania dostępu opartej na rolach usługi Azure Resource Manager, co zwiększa lukę w zabezpieczeniach usługi.

Ważność: Niska

Interfejsy API usługi API Management powinny używać tylko zaszyfrowanych protokołów

Opis i powiązane zasady: interfejsy API powinny być dostępne tylko za pośrednictwem szyfrowanych protokołów, takich jak HTTPS lub WSS. Unikaj używania niezabezpieczonych protokołów, takich jak HTTP lub WS, aby zapewnić bezpieczeństwo przesyłanych danych.

Ważność: Wysoka

Wpis tajny usługi API Management o nazwach wartości powinien być przechowywany w usłudze Azure Key Vault

Opis i powiązane zasady: Nazwane wartości są kolekcją par nazw i wartości w każdej usłudze API Management. Wartości wpisów tajnych mogą być przechowywane jako zaszyfrowany tekst w usłudze API Management (niestandardowe wpisy tajne) lub przez odwołanie się do wpisów tajnych w usłudze Azure Key Vault. Odwołanie do wpisów tajnych nazwanych wartości z usługi Azure Key Vault w celu zwiększenia bezpieczeństwa usługi API Management i wpisów tajnych. Usługa Azure Key Vault obsługuje szczegółowe zarządzanie dostępem i zasady rotacji wpisów tajnych.

Ważność: średni rozmiar

Usługa API Management powinna wyłączyć dostęp do sieci publicznej do punktów końcowych konfiguracji usługi

Opis i powiązane zasady: Aby poprawić bezpieczeństwo usług API Management, ogranicz łączność z punktami końcowymi konfiguracji usługi, takimi jak interfejs API zarządzania dostępem bezpośrednim, punkt końcowy zarządzania konfiguracją usługi Git lub punkt końcowy konfiguracji bram hostowanych samodzielnie.

Ważność: średni rozmiar

Minimalna wersja interfejsu API usługi API Management powinna być ustawiona na 2019-12-01 lub nowszą

Opis i powiązane zasady: Aby uniemożliwić udostępnianie wpisów tajnych usługi użytkownikom tylko do odczytu, minimalna wersja interfejsu API powinna być ustawiona na 2019-12-01 lub nowszą.

Ważność: średni rozmiar

Wywołania usługi API Management do zapleczy interfejsu API powinny być uwierzytelniane

Opis i powiązane zasady: wywołania z usługi API Management do zapleczy powinny używać jakiejś formy uwierzytelniania, niezależnie od tego, czy są używane certyfikaty, czy poświadczenia. Nie dotyczy zapleczy usługi Service Fabric.

Ważność: średni rozmiar

Zalecenia dotyczące sztucznej inteligencji

Dzienniki zasobów w obszarze roboczym usługi Azure Machine Edukacja powinny być włączone (wersja zapoznawcza)

Opis i powiązane zasady: Dzienniki zasobów umożliwiają ponowne tworzenie szlaków aktywności do użytku w celach badania w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci.

Ważność: średni rozmiar

Usługa Azure Machine Edukacja Workspaces powinna wyłączyć dostęp do sieci publicznej (wersja zapoznawcza)

Opis i powiązane zasady: Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że obszary robocze Edukacja maszyny nie są uwidocznione w publicznym Internecie. Zamiast tego możesz kontrolować ekspozycję obszarów roboczych, tworząc prywatne punkty końcowe. Aby uzyskać więcej informacji, zobacz Konfigurowanie prywatnego punktu końcowego dla obszaru roboczego usługi Azure Machine Edukacja.

Ważność: średni rozmiar

Usługa Azure Machine Edukacja Computes powinna znajdować się w sieci wirtualnej (wersja zapoznawcza)

Opis i powiązane zasady: Sieci wirtualne platformy Azure zapewniają zwiększone zabezpieczenia i izolację dla usługi Azure Machine Edukacja klastrów obliczeniowych i wystąpień, a także podsieci, zasad kontroli dostępu i innych funkcji w celu dalszego ograniczenia dostępu. Po skonfigurowaniu obliczeń z siecią wirtualną nie jest on publicznie adresowany i można uzyskać do niego dostęp tylko z maszyn wirtualnych i aplikacji w sieci wirtualnej.

Ważność: średni rozmiar

Usługa Azure Machine Edukacja Computes powinna mieć wyłączone lokalne metody uwierzytelniania (wersja zapoznawcza)

Opis i powiązane zasady: Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że usługa Machine Edukacja Computes wymaga tożsamości usługi Azure Active Directory wyłącznie na potrzeby uwierzytelniania. Aby uzyskać więcej informacji, zobacz Azure Policy Regulatory Compliance controls for Azure Machine Edukacja (Mechanizmy kontroli zgodności z przepisami usługi Azure Policy dla usługi Azure Machine Edukacja).

Ważność: średni rozmiar

Należy ponownie utworzyć wystąpienia obliczeniowe usługi Azure Machine Edukacja w celu uzyskania najnowszych aktualizacji oprogramowania (wersja zapoznawcza)

Opis i powiązane zasady: Upewnij się, że usługa Azure Machine Edukacja wystąpienia obliczeniowe są uruchamiane w najnowszym dostępnym systemie operacyjnym. Zabezpieczenia są ulepszane i ograniczane przez uruchomienie najnowszych poprawek zabezpieczeń. Aby uzyskać więcej informacji, zobacz Zarządzanie lukami w zabezpieczeniach dla usługi Azure Machine Edukacja.

Ważność: średni rozmiar

Dzienniki zasobów w obszarach roboczych usługi Azure Databricks powinny być włączone (wersja zapoznawcza)

Opis i powiązane zasady: Dzienniki zasobów umożliwiają ponowne tworzenie szlaków aktywności do użytku w celach badania w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci.

Ważność: średni rozmiar

Obszary robocze usługi Azure Databricks powinny wyłączyć dostęp do sieci publicznej (wersja zapoznawcza)

Opis i powiązane zasady: Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że zasób nie jest uwidoczniony w publicznym Internecie. Zamiast tego możesz kontrolować ekspozycję zasobów, tworząc prywatne punkty końcowe. Aby uzyskać więcej informacji, zobacz Włączanie usługi Azure Private Link.

Ważność: średni rozmiar

Klastry usługi Azure Databricks powinny wyłączyć publiczny adres IP (wersja zapoznawcza)

Opis i powiązane zasady: Wyłączanie publicznego adresu IP klastrów w obszarach roboczych usługi Azure Databricks zwiększa bezpieczeństwo, zapewniając, że klastry nie są uwidocznione w publicznym Internecie. Aby uzyskać więcej informacji, zobacz Zabezpieczanie łączności klastra.

Ważność: średni rozmiar

Obszary robocze usługi Azure Databricks powinny znajdować się w sieci wirtualnej (wersja zapoznawcza)

Opis i powiązane zasady: Sieci wirtualne platformy Azure zapewniają zwiększone zabezpieczenia i izolację dla obszarów roboczych usługi Azure Databricks, a także podsieci, zasad kontroli dostępu i innych funkcji w celu dalszego ograniczenia dostępu. Aby uzyskać więcej informacji, zobacz Wdrażanie usługi Azure Databricks w sieci wirtualnej platformy Azure.

Ważność: średni rozmiar

Obszary robocze usługi Azure Databricks powinny używać linku prywatnego (wersja zapoznawcza)

Opis i powiązane zasady: Usługa Azure Private Link umożliwia łączenie sieci wirtualnych z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe do obszarów roboczych usługi Azure Databricks, można zmniejszyć ryzyko wycieku danych. Aby uzyskać więcej informacji, zobacz Tworzenie obszaru roboczego i prywatnych punktów końcowych w interfejsie użytkownika witryny Azure Portal.

Ważność: średni rozmiar

Zasoby usług Azure AI Services powinny ograniczać dostęp do sieci

Opis: Ograniczając dostęp do sieci, możesz mieć pewność, że tylko dozwolone sieci będą mogły uzyskiwać dostęp do usługi. Można to osiągnąć, konfigurując reguły sieciowe, aby tylko aplikacje z dozwolonych sieci mogły uzyskiwać dostęp do zasobu usługi Azure AI.

Ważność: średni rozmiar

Zasoby usług Azure AI Powinny mieć wyłączony dostęp do klucza (wyłącz uwierzytelnianie lokalne)

Opis: Zaleca się wyłączenie dostępu do klucza (uwierzytelniania lokalnego) w celu zapewnienia bezpieczeństwa. Usługa Azure OpenAI Studio, zwykle używana podczas programowania/testowania, wymaga dostępu klucza i nie będzie działać, jeśli dostęp do klucza jest wyłączony. Po wyłączeniu identyfikator Entra firmy Microsoft staje się jedyną metodą dostępu, która umożliwia utrzymanie minimalnej zasady uprawnień i szczegółowej kontroli. Dowiedz się więcej.

Ważność: średni rozmiar

Przestarzałe zalecenia

Należy zbadać nadmiernie aprowizowane tożsamości w subskrypcjach, aby zmniejszyć indeks pełzania uprawnień (PCI)

Opis: Należy zbadać nadmierną aprowizację tożsamości w ramach subskrypcji, aby zmniejszyć indeks pełzania uprawnień (PCI) i zabezpieczyć infrastrukturę. Zmniejsz pci, usuwając nieużywane przypisania uprawnień wysokiego ryzyka. Wysokie standardy PCI odzwierciedlają ryzyko związane z tożsamościami z uprawnieniami, które przekraczają normalne lub wymagane użycie (brak powiązanych zasad).

Ważność: średni rozmiar

Należy zbadać nadmiernie aprowizowane tożsamości na kontach, aby zmniejszyć indeks pełzania uprawnień (PCI)

Opis: Należy zbadać nadmierną aprowizację tożsamości na kontach w celu zmniejszenia indeksu pełzania uprawnień (PCI) i ochrony infrastruktury. Zmniejsz pci, usuwając nieużywane przypisania uprawnień wysokiego ryzyka. Wysoka wartość PCI odzwierciedla ryzyko związane z tożsamościami z uprawnieniami, które przekraczają normalne lub wymagane użycie.

Ważność: średni rozmiar

Dostęp do usług App Services powinien być ograniczony

Opis i powiązane zasady: Ogranicz dostęp do usług App Services, zmieniając konfigurację sieci, aby uniemożliwić ruch przychodzący z zakresów, które są zbyt szerokie. (Powiązane zasady: [wersja zapoznawcza]: dostęp do usług App Services powinien być ograniczony.

Ważność: Wysoka

Reguły dla aplikacji internetowych w sieciowych grupach zabezpieczeń IaaS powinny być wzmocnione

Opis i powiązane zasady: Wzmacnianie zabezpieczeń sieciowej grupy zabezpieczeń maszyn wirtualnych z uruchomionymi aplikacjami internetowymi przy użyciu reguł sieciowej grupy zabezpieczeń, które są nadmiernie permissywne w odniesieniu do portów aplikacji internetowych. (Powiązane zasady: reguły sieciowych grup zabezpieczeń dla aplikacji internetowych w usłudze IaaS powinny być wzmocnione).

Ważność: Wysoka

Zasady zabezpieczeń zasobnika należy zdefiniować w celu zmniejszenia wektora ataku przez usunięcie niepotrzebnych uprawnień aplikacji (wersja zapoznawcza)

Opis i powiązane zasady: Zdefiniuj zasady zabezpieczeń zasobnika w celu zmniejszenia wektora ataku przez usunięcie niepotrzebnych uprawnień aplikacji. Zaleca się skonfigurowanie zasad zabezpieczeń zasobników, aby zasobniki mogły uzyskiwać dostęp tylko do zasobów, do których mogą uzyskiwać dostęp. (Powiązane zasady: [wersja zapoznawcza]: Zasady zabezpieczeń zasobników powinny być zdefiniowane w usługach Kubernetes Services).

Ważność: średni rozmiar

Zainstaluj moduł zabezpieczeń usługi Azure Security Center dla IoT, aby uzyskać lepszy wgląd w urządzenia IoT

Opis i powiązane zasady: Zainstaluj moduł zabezpieczeń usługi Azure Security Center dla IoT, aby uzyskać lepszy wgląd w urządzenia IoT.

Ważność: Niska

Aby zastosować aktualizacje systemowe, należy ponownie uruchomić maszyny

Opis i powiązane zasady: Uruchom ponownie maszyny, aby zastosować aktualizacje systemu i zabezpieczyć maszynę przed lukami w zabezpieczeniach. (Powiązane zasady: Aktualizacje systemu powinny być zainstalowane na maszynach).

Ważność: średni rozmiar

Agent monitorowania powinien być zainstalowany na maszynach

Opis i powiązane zasady: Ta akcja instaluje agenta monitorowania na wybranych maszynach wirtualnych. Wybierz obszar roboczy dla agenta do raportowania. (Brak powiązanych zasad)

Ważność: Wysoka

Język Java powinien zostać zaktualizowany do najnowszej wersji aplikacji internetowych

Opis i powiązane zasady: Okresowo nowsze wersje są wydawane dla oprogramowania Java z powodu wad zabezpieczeń lub uwzględnienia dodatkowych funkcji. Korzystanie z najnowszej wersji języka Java dla aplikacji internetowych jest zalecane, aby korzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. (Powiązane zasady: upewnij się, że "wersja Języka Java" jest najnowsza, jeśli jest używana jako część aplikacji internetowej).

Ważność: średni rozmiar

Język Python powinien zostać zaktualizowany do najnowszej wersji aplikacji funkcji

Opis i powiązane zasady: Okresowo nowsze wersje są wydawane dla oprogramowania w języku Python z powodu wad zabezpieczeń lub uwzględnienia dodatkowych funkcji. Korzystanie z najnowszej wersji języka Python dla aplikacji funkcji jest zalecane, aby korzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. (Powiązane zasady: upewnij się, że wersja języka Python jest najnowsza, jeśli jest używana jako część aplikacji funkcji).

Ważność: średni rozmiar

Język Python powinien zostać zaktualizowany do najnowszej wersji aplikacji internetowych

Opis i powiązane zasady: Okresowo nowsze wersje są wydawane dla oprogramowania w języku Python z powodu wad zabezpieczeń lub uwzględnienia dodatkowych funkcji. Korzystanie z najnowszej wersji języka Python dla aplikacji internetowych jest zalecane, aby korzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. (Powiązane zasady: upewnij się, że wersja języka Python jest najnowsza, jeśli jest używana jako część aplikacji internetowej).

Ważność: średni rozmiar

Język Java powinien zostać zaktualizowany do najnowszej wersji aplikacji funkcji

Opis i powiązane zasady: Okresowo nowsze wersje są wydawane dla oprogramowania Java z powodu wad zabezpieczeń lub uwzględnienia dodatkowych funkcji. Korzystanie z najnowszej wersji języka Java dla aplikacji funkcji jest zalecane, aby korzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. (Powiązane zasady: upewnij się, że "wersja języka Java" jest najnowsza, jeśli jest używana jako część aplikacji funkcji).

Ważność: średni rozmiar

Język PHP powinien zostać zaktualizowany do najnowszej wersji aplikacji internetowych

Opis i powiązane zasady: okresowo nowsze wersje są wydawane dla oprogramowania PHP z powodu wad zabezpieczeń lub uwzględnienia dodatkowych funkcji. Korzystanie z najnowszej wersji języka PHP dla aplikacji internetowych jest zalecane, aby korzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. (Powiązane zasady: upewnij się, że "wersja PHP" jest najnowsza, jeśli jest używana jako część aplikacji internetowej).

Ważność: średni rozmiar

Należy rozwiązać problemy z kondycją programu Endpoint Protection na maszynach

Opis: Rozwiąż problemy z kondycją ochrony punktu końcowego na maszynach wirtualnych, aby chronić je przed najnowszymi zagrożeniami i lukami w zabezpieczeniach. Zapoznaj się z dokumentacją rozwiązań ochrony punktu końcowego obsługiwanych przez Defender dla Chmury i oceny ochrony punktu końcowego. (Brak powiązanych zasad)

Ważność: średni rozmiar

Program Endpoint Protection powinien być zainstalowany na maszynach

Opis: Aby chronić maszyny przed zagrożeniami i lukami w zabezpieczeniach, zainstaluj obsługiwane rozwiązanie ochrony punktu końcowego. Dowiedz się więcej o tym, jak program Endpoint Protection dla maszyn jest oceniany w temacie Ocena programu Endpoint Protection i zalecenia w Microsoft Defender dla Chmury. (Brak powiązanych zasad)

Ważność: Wysoka

Dostęp do sieci publicznej powinien być wyłączony dla kont usług Cognitive Services

Opis: Te zasady przeprowadzają inspekcję dowolnego konta usług Cognitive Services w środowisku z włączonym dostępem do sieci publicznej. Dostęp do sieci publicznej powinien być wyłączony, aby dozwolone są tylko połączenia z prywatnych punktów końcowych. (Powiązane zasady: Dostęp do sieci publicznej powinien być wyłączony dla kont usług Cognitive Services).

Ważność: średni rozmiar

Powiązana zawartość

• Co to są zasady zabezpieczeń, inicjatywy i zalecenia?
• Przegląd rekomendacji dotyczących zabezpieczeń