Szczegółowe informacje na temat wbudowanej inicjatywy dotyczącej zgodności z przepisami w chmurze firmy Microsoft

Poniższy artykuł zawiera szczegółowe informacje o tym, jak wbudowana definicja inicjatywy zgodności usługi Azure Policy jest mapowana na domeny zgodności i mechanizmy kontroli w teście porównawczym zabezpieczeń w chmurze firmy Microsoft. Aby uzyskać więcej informacji na temat tego standardu zgodności, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft. Aby zrozumieć własność, zobacz Definicje zasad usługi Azure Policy i Wspólna odpowiedzialność w chmurze.

Poniższe mapowania dotyczą mechanizmów kontroli testów porównawczych zabezpieczeń w chmurze firmy Microsoft. Wiele kontrolek jest implementowanych przy użyciu definicji inicjatywy usługi Azure Policy . Aby przejrzeć pełną definicję inicjatywy, otwórz pozycję Zasady w witrynie Azure Portal i wybierz stronę Definicje . Następnie znajdź i wybierz wbudowaną definicję inicjatywy testu porównawczego zabezpieczeń w chmurze firmy Microsoft.

Ważne

Każda poniższa kontrolka jest skojarzona z co najmniej jedną definicją usługi Azure Policy . Te zasady mogą pomóc ocenić zgodność z kontrolą, jednak często nie ma jednego do jednego lub kompletnego dopasowania między kontrolką a jedną lub większą jedną zasadą. W związku z tym zgodne w usłudze Azure Policy odnosi się tylko do samych definicji zasad. Nie zapewnia to pełnej zgodności ze wszystkimi wymaganiami kontrolki. Ponadto standard zgodności obejmuje mechanizmy kontroli, które nie są obecnie uwzględniane przez żadne definicje usługi Azure Policy. W związku z tym zgodność w usłudze Azure Policy jest tylko częściowym widokiem ogólnego stanu zgodności. Skojarzenia między domenami zgodności, mechanizmami kontroli i definicjami usługi Azure Policy dla tego standardu zgodności mogą ulec zmianie w czasie. Aby wyświetlić historię zmian, zobacz historię zatwierdzń usługi GitHub.

Bezpieczeństwo sieci

Ustanawianie granic segmentacji sieci

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft NS-1 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Zalecenia dotyczące adaptacyjnego wzmacniania zabezpieczeń sieci powinny być stosowane na maszynach wirtualnych z dostępem do Internetu	Usługa Azure Security Center analizuje wzorce ruchu maszyn wirtualnych mających połączenie z Internetem i udostępnia zalecenia dotyczące reguł sieciowej grupy zabezpieczeń, które zmniejszają potencjalną powierzchnię ataków	AuditIfNotExists, Disabled	3.0.0
Wszystkie porty sieciowe powinny być ograniczone w sieciowych grupach zabezpieczeń skojarzonych z maszyną wirtualną	Usługa Azure Security Center zidentyfikowała, że niektóre reguły ruchu przychodzącego sieciowych grup zabezpieczeń są zbyt permissywne. Reguły ruchu przychodzącego nie powinny zezwalać na dostęp z zakresów "Dowolny" ani "Internet". Może to potencjalnie umożliwić osobom atakującym kierowanie zasobów.	AuditIfNotExists, Disabled	3.0.0
Maszyny wirtualne dostępne z Internetu powinny być chronione za pomocą sieciowych grup zabezpieczeń	Chroń maszyny wirtualne przed potencjalnymi zagrożeniami, ograniczając dostęp do nich za pomocą sieciowych grup zabezpieczeń. Dowiedz się więcej o kontrolowaniu ruchu za pomocą sieciowych grup zabezpieczeń na stronie https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Maszyny wirtualne bez Internetu powinny być chronione za pomocą sieciowych grup zabezpieczeń	Chroń maszyny wirtualne nienależące do Internetu przed potencjalnymi zagrożeniami, ograniczając dostęp do sieciowych grup zabezpieczeń. Dowiedz się więcej o kontrolowaniu ruchu za pomocą sieciowych grup zabezpieczeń na stronie https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Podsieci powinny być skojarzone z sieciową grupą zabezpieczeń	Chroń podsieć przed potencjalnymi zagrożeniami, ograniczając dostęp do niej za pomocą sieciowej grupy zabezpieczeń. Sieciowe grupy zabezpieczeń zawierają listę reguł listy kontroli dostępu (ACL), które zezwalają lub odmawiają ruchu sieciowego do podsieci.	AuditIfNotExists, Disabled	3.0.0

Zabezpieczanie usług w chmurze za pomocą kontrolek sieci

IDENTYFIKATOR: Test porównawczy zabezpieczeń chmury firmy Microsoft NS-2 : Współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
[Wersja zapoznawcza]: dostęp publiczny do konta magazynu powinien być niedozwolony	Anonimowy publiczny dostęp do odczytu do kontenerów i obiektów blob w usłudze Azure Storage to wygodny sposób udostępniania danych, ale może stanowić zagrożenie bezpieczeństwa. Aby zapobiec naruszeniom danych spowodowanym niepożądanym dostępem anonimowym, firma Microsoft zaleca zapobieganie publicznemu dostępowi do konta magazynu, chyba że twój scenariusz tego wymaga.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	3.1.0-preview
Usługi API Management powinny używać sieci wirtualnej	Wdrożenie usługi Azure Virtual Network zapewnia zwiększone zabezpieczenia, izolację i umożliwia umieszczenie usługi API Management w sieci nieinternetowej, do której kontrolujesz dostęp. Te sieci można następnie połączyć z sieciami lokalnymi przy użyciu różnych technologii sieci VPN, co umożliwia dostęp do usług zaplecza w sieci i/lub lokalnie. Portal dla deweloperów i brama interfejsu API można skonfigurować tak, aby był dostępny z Internetu lub tylko w sieci wirtualnej.	Inspekcja, Odmowa, Wyłączone	1.0.2
Usługa API Management powinna wyłączyć dostęp do sieci publicznej do punktów końcowych konfiguracji usługi	Aby zwiększyć bezpieczeństwo usług API Management, ogranicz łączność z punktami końcowymi konfiguracji usługi, takimi jak bezpośredni interfejs API zarządzania dostępem, punkt końcowy zarządzania konfiguracją usługi Git lub punkt końcowy konfiguracji bram hostowanych samodzielnie.	AuditIfNotExists, Disabled	1.0.1
Usługa App Configuration powinna używać łącza prywatnego	Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na wystąpienia konfiguracji aplikacji zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, Disabled	1.0.2
Autoryzowane zakresy adresów IP powinny być zdefiniowane w usługach Kubernetes Services	Ogranicz dostęp do interfejsu API usługi Kubernetes Service Management, udzielając dostępu interfejsu API tylko do adresów IP w określonych zakresach. Zaleca się ograniczenie dostępu do autoryzowanych zakresów adresów IP w celu zapewnienia, że tylko aplikacje z dozwolonych sieci mogą uzyskiwać dostęp do klastra.	Inspekcja, wyłączone	2.0.1
Zasoby usług Azure AI Services powinny ograniczać dostęp do sieci	Ograniczając dostęp do sieci, możesz upewnić się, że tylko dozwolone sieci będą mogły uzyskiwać dostęp do usługi. Można to osiągnąć, konfigurując reguły sieciowe, aby tylko aplikacje z dozwolonych sieci mogły uzyskiwać dostęp do usługi Azure AI.	Inspekcja, Odmowa, Wyłączone	3.2.0
Usługa Azure Cache for Redis powinna używać łącza prywatnego	Prywatne punkty końcowe umożliwiają łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Mapując prywatne punkty końcowe do wystąpień usługi Azure Cache for Redis, zmniejsza się ryzyko wycieku danych. Dowiedz się więcej na stronie: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, Disabled	1.0.0
Konta usługi Azure Cosmos DB powinny mieć reguły zapory	Reguły zapory powinny być zdefiniowane na kontach usługi Azure Cosmos DB, aby uniemożliwić ruch z nieautoryzowanych źródeł. Konta, które mają co najmniej jedną regułę adresu IP zdefiniowaną z włączonym filtrem sieci wirtualnej, są uznawane za zgodne. Konta wyłączające dostęp publiczny są również uznawane za zgodne.	Inspekcja, Odmowa, Wyłączone	2.0.0
Usługa Azure Cosmos DB powinna wyłączyć dostęp do sieci publicznej	Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że konto usługi CosmosDB nie jest uwidocznione w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie konta usługi CosmosDB. Dowiedz się więcej na stronie: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints#blocking-public-network-access-during-account-creation.	Inspekcja, Odmowa, Wyłączone	1.0.0
Klastry usługi Azure Databricks powinny wyłączyć publiczny adres IP	Wyłączenie publicznego adresu IP klastrów w obszarach roboczych usługi Azure Databricks zwiększa bezpieczeństwo, zapewniając, że klastry nie są uwidocznione w publicznym Internecie. Dowiedz się więcej na stronie: https://learn.microsoft.com/azure/databricks/security/secure-cluster-connectivity.	Inspekcja, Odmowa, Wyłączone	1.0.1
Obszary robocze usługi Azure Databricks powinny znajdować się w sieci wirtualnej	Sieci wirtualne platformy Azure zapewniają zwiększone zabezpieczenia i izolację dla obszarów roboczych usługi Azure Databricks, a także podsieci, zasad kontroli dostępu i innych funkcji w celu dalszego ograniczenia dostępu. Dowiedz się więcej na stronie: https://docs.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/vnet-inject.	Inspekcja, Odmowa, Wyłączone	1.0.2
Obszary robocze usługi Azure Databricks powinny wyłączyć dostęp do sieci publicznej	Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że zasób nie jest uwidoczniony w publicznym Internecie. Zamiast tego możesz kontrolować ekspozycję zasobów, tworząc prywatne punkty końcowe. Dowiedz się więcej na stronie: https://learn.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/private-link.	Inspekcja, Odmowa, Wyłączone	1.0.1
Obszary robocze usługi Azure Databricks powinny używać łącza prywatnego	Usługa Azure Private Link umożliwia łączenie sieci wirtualnych z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe do obszarów roboczych usługi Azure Databricks, można zmniejszyć ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych pod adresem: https://aka.ms/adbpe.	Inspekcja, wyłączone	1.0.2
Domeny usługi Azure Event Grid powinny używać łącza prywatnego	Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe do domeny usługi Event Grid zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: https://aka.ms/privateendpoints.	Inspekcja, wyłączone	1.0.2
Tematy usługi Azure Event Grid powinny używać łącza prywatnego	Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na temat usługi Event Grid zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: https://aka.ms/privateendpoints.	Inspekcja, wyłączone	1.0.2
Usługa Azure Key Vault powinna mieć włączoną zaporę	Włącz zaporę magazynu kluczy, aby magazyn kluczy był domyślnie niedostępny dla żadnych publicznych adresów IP. Opcjonalnie można skonfigurować określone zakresy adresów IP, aby ograniczyć dostęp do tych sieci. Dowiedz się więcej na stronie: https://docs.microsoft.com/azure/key-vault/general/network-security	Inspekcja, Odmowa, Wyłączone	3.2.1
Usługa Azure Key Vault powinna używać łącza prywatnego	Usługa Azure Private Link umożliwia łączenie sieci wirtualnych z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na magazyn kluczy, można zmniejszyć ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych pod adresem: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Usługa Azure Machine Edukacja Computes powinna znajdować się w sieci wirtualnej	Sieci wirtualne platformy Azure zapewniają zwiększone zabezpieczenia i izolację dla maszyny azure Edukacja klastrów obliczeniowych i wystąpień, a także podsieci, zasad kontroli dostępu i innych funkcji w celu dalszego ograniczenia dostępu. Po skonfigurowaniu obliczeń z siecią wirtualną nie jest on publicznie adresowany i można uzyskać do niego dostęp tylko z maszyn wirtualnych i aplikacji w sieci wirtualnej.	Inspekcja, wyłączone	1.0.1
Usługa Azure Machine Edukacja Workspaces powinna wyłączyć dostęp do sieci publicznej	Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że obszary robocze Edukacja maszyny nie są uwidocznione w publicznym Internecie. Zamiast tego możesz kontrolować ekspozycję obszarów roboczych, tworząc prywatne punkty końcowe. Dowiedz się więcej na stronie: https://learn.microsoft.com/azure/machine-learning/how-to-configure-private-link?view=azureml-api-2& tabs=azure-portal.	Inspekcja, Odmowa, Wyłączone	2.0.1
Obszary robocze usługi Azure Machine Edukacja powinny używać łącza prywatnego	Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapowanie prywatnych punktów końcowych na obszary robocze usługi Azure Machine Edukacja zmniejsza ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych pod adresem: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Inspekcja, wyłączone	1.0.0
Usługa Azure SignalR Service powinna używać łącza prywatnego	Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na zasób usługi Azure SignalR Service zamiast całej usługi, zmniejszysz ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych pod adresem: https://aka.ms/asrs/privatelink.	Inspekcja, wyłączone	1.0.0
Usługa Azure Spring Cloud powinna używać iniekcji sieci	Wystąpienia usługi Azure Spring Cloud powinny używać iniekcji sieci wirtualnej do następujących celów: 1. Izolowanie usługi Azure Spring Cloud z Internetu. 2. Umożliwianie usłudze Azure Spring Cloud interakcji z systemami w lokalnych centrach danych lub usłudze platformy Azure w innych sieciach wirtualnych. 3. Umożliwienie klientom kontrolowania przychodzącej i wychodzącej komunikacji sieciowej dla usługi Azure Spring Cloud.	Inspekcja, Wyłączone, Odmowa	1.2.0
Usługa Azure SQL Managed Instances powinna wyłączyć dostęp do sieci publicznej	Wyłączenie dostępu do sieci publicznej (publicznego punktu końcowego) w usłudze Azure SQL Managed Instances zwiększa bezpieczeństwo, zapewniając dostęp do nich tylko z sieci wirtualnych lub za pośrednictwem prywatnych punktów końcowych. Aby dowiedzieć się więcej o dostępie do sieci publicznej, odwiedź stronę https://aka.ms/mi-public-endpoint.	Inspekcja, Odmowa, Wyłączone	1.0.0
Usługi Cognitive Services powinny używać łącza prywatnego	Usługa Azure Private Link umożliwia łączenie sieci wirtualnych z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na usługi Cognitive Services, zmniejszysz potencjał wycieku danych. Dowiedz się więcej o linkach prywatnych pod adresem: https://go.microsoft.com/fwlink/?linkid=2129800.	Inspekcja, wyłączone	3.0.0
Rejestry kontenerów nie powinny zezwalać na nieograniczony dostęp do sieci	Rejestry kontenerów platformy Azure domyślnie akceptują połączenia przez Internet z hostów w dowolnej sieci. Aby chronić rejestry przed potencjalnymi zagrożeniami, zezwól na dostęp tylko z określonych prywatnych punktów końcowych, publicznych adresów IP lub zakresów adresów. Jeśli rejestr nie ma skonfigurowanych reguł sieciowych, pojawi się w zasobach w złej kondycji. Dowiedz się więcej o regułach sieci usługi Container Registry tutaj: https://aka.ms/acr/privatelinkihttps://aka.ms/acr/portal/public-networkhttps://aka.ms/acr/vnet.	Inspekcja, Odmowa, Wyłączone	2.0.0
Rejestry kontenerów powinny używać łącza prywatnego	Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe do rejestrów kontenerów zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: https://aka.ms/acr/private-link.	Inspekcja, wyłączone	1.0.1
Konta usługi CosmosDB powinny używać łącza prywatnego	Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapowanie prywatnych punktów końcowych na konto usługi CosmosDB powoduje zmniejszenie ryzyka wycieku danych. Dowiedz się więcej o linkach prywatnych pod adresem: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Inspekcja, wyłączone	1.0.0
Należy włączyć połączenia prywatnego punktu końcowego w usłudze Azure SQL Database	Połączenia prywatnych punktów końcowych wymuszają bezpieczną komunikację, włączając prywatną łączność z usługą Azure SQL Database.	Inspekcja, wyłączone	1.1.0
Prywatny punkt końcowy powinien być włączony dla serwerów MariaDB	Połączenia prywatnego punktu końcowego wymuszają bezpieczną komunikację, włączając prywatną łączność z usługą Azure Database for MariaDB. Skonfiguruj połączenie prywatnego punktu końcowego, aby umożliwić dostęp do ruchu pochodzącego tylko ze znanych sieci i uniemożliwić dostęp ze wszystkich innych adresów IP, w tym na platformie Azure.	AuditIfNotExists, Disabled	1.0.2
Prywatny punkt końcowy powinien być włączony dla serwerów MySQL	Połączenia prywatnego punktu końcowego wymuszają bezpieczną komunikację, włączając prywatną łączność z usługą Azure Database for MySQL. Skonfiguruj połączenie prywatnego punktu końcowego, aby umożliwić dostęp do ruchu pochodzącego tylko ze znanych sieci i uniemożliwić dostęp ze wszystkich innych adresów IP, w tym na platformie Azure.	AuditIfNotExists, Disabled	1.0.2
Prywatny punkt końcowy powinien być włączony dla serwerów PostgreSQL	Połączenia prywatnych punktów końcowych wymuszają bezpieczną komunikację, włączając prywatną łączność z usługą Azure Database for PostgreSQL. Skonfiguruj połączenie prywatnego punktu końcowego, aby umożliwić dostęp do ruchu pochodzącego tylko ze znanych sieci i uniemożliwić dostęp ze wszystkich innych adresów IP, w tym na platformie Azure.	AuditIfNotExists, Disabled	1.0.2
Dostęp do sieci publicznej w usłudze Azure SQL Database powinien być wyłączony	Wyłączenie właściwości dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając dostęp do usługi Azure SQL Database tylko z prywatnego punktu końcowego. Ta konfiguracja odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej.	Inspekcja, Odmowa, Wyłączone	1.1.0
Dostęp do sieci publicznej powinien być wyłączony dla serwerów MariaDB	Wyłącz właściwość dostępu do sieci publicznej, aby zwiększyć bezpieczeństwo i upewnić się, że dostęp do usługi Azure Database for MariaDB można uzyskać tylko z prywatnego punktu końcowego. Ta konfiguracja ściśle wyłącza dostęp z dowolnej przestrzeni adresów publicznych poza zakresem adresów IP platformy Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej.	Inspekcja, Odmowa, Wyłączone	2.0.0
Dostęp do sieci publicznej powinien być wyłączony dla serwerów MySQL	Wyłącz właściwość dostępu do sieci publicznej, aby zwiększyć bezpieczeństwo i upewnić się, że dostęp do usługi Azure Database for MySQL można uzyskać tylko z prywatnego punktu końcowego. Ta konfiguracja ściśle wyłącza dostęp z dowolnej przestrzeni adresów publicznych poza zakresem adresów IP platformy Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej.	Inspekcja, Odmowa, Wyłączone	2.0.0
Dostęp do sieci publicznej powinien być wyłączony dla serwerów PostgreSQL	Wyłącz właściwość dostępu do sieci publicznej, aby zwiększyć bezpieczeństwo i upewnić się, że dostęp do usługi Azure Database for PostgreSQL można uzyskać tylko z prywatnego punktu końcowego. Ta konfiguracja wyłącza dostęp z dowolnej publicznej przestrzeni adresowej poza zakresem adresów IP platformy Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej.	Inspekcja, Odmowa, Wyłączone	2.0.1
Konta magazynu powinny ograniczać dostęp sieciowy	Dostęp sieciowy do kont magazynu powinien być ograniczony. Skonfiguruj reguły sieciowe, aby tylko aplikacje z dozwolonych sieci mogły uzyskiwać dostęp do konta magazynu. Aby zezwolić na połączenia z określonych klientów internetowych lub lokalnych, można udzielić dostępu do ruchu z określonych sieci wirtualnych platformy Azure lub do publicznych zakresów adresów IP internetowych	Inspekcja, Odmowa, Wyłączone	1.1.1
Konta magazynu powinny ograniczać dostęp sieciowy przy użyciu reguł sieci wirtualnej	Chroń konta magazynu przed potencjalnymi zagrożeniami przy użyciu reguł sieci wirtualnej jako preferowanej metody zamiast filtrowania opartego na adresach IP. Wyłączenie filtrowania opartego na adresach IP uniemożliwia publicznym adresom IP uzyskiwanie dostępu do kont magazynu.	Inspekcja, Odmowa, Wyłączone	1.0.1
Konta magazynu powinny używać łącza prywatnego	Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na konto magazynu, zmniejsza się ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych pod adresem - https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
Szablony konstruktora obrazów maszyny wirtualnej powinny używać łącza prywatnego	Usługa Azure Private Link umożliwia łączenie sieci wirtualnej z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapowanie prywatnych punktów końcowych na zasoby tworzenia zasobów w narzędziu Image Builder maszyny wirtualnej powoduje zmniejszenie ryzyka wycieku danych. Dowiedz się więcej o linkach prywatnych pod adresem: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Inspekcja, Wyłączone, Odmowa	1.1.0

Wdrażanie zapory na brzegu sieci przedsiębiorstwa

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft NS-3 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
[Wersja zapoznawcza]: cały ruch internetowy powinien być kierowany za pośrednictwem wdrożonej usługi Azure Firewall	Usługa Azure Security Center wykryła, że niektóre podsieci nie są chronione za pomocą zapory nowej generacji. Ochrona podsieci przed potencjalnymi zagrożeniami przez ograniczenie dostępu do nich za pomocą usługi Azure Firewall lub obsługiwanej zapory nowej generacji	AuditIfNotExists, Disabled	3.0.0-preview
Przekazywanie adresów IP na maszynie wirtualnej powinno być wyłączone	Włączenie przekazywania adresów IP na karcie sieciowej maszyny wirtualnej umożliwia maszynie odbieranie ruchu adresowanego do innych miejsc docelowych. Przekazywanie adresów IP jest rzadko wymagane (np. w przypadku korzystania z maszyny wirtualnej jako wirtualnego urządzenia sieciowego), dlatego powinno to zostać przejrzane przez zespół ds. zabezpieczeń sieci.	AuditIfNotExists, Disabled	3.0.0
Porty zarządzania maszyn wirtualnych powinny być chronione za pomocą kontroli dostępu do sieci just in time	Możliwy dostęp just in time (JIT) do sieci będzie monitorowany przez usługę Azure Security Center zgodnie z zaleceniami	AuditIfNotExists, Disabled	3.0.0
Porty zarządzania powinny być zamknięte na maszynach wirtualnych	Otwarte porty zarządzania zdalnego uwidaczniają maszynę wirtualną na wysokim poziomie ryzyka związanego z atakami internetowymi. Te ataki próbują wymusić na nich poświadczenia, aby uzyskać dostęp administratora do maszyny.	AuditIfNotExists, Disabled	3.0.0

Wdrażanie ochrony przed atakami DDOS

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft NS-5 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Usługa Azure DDoS Protection powinna być włączona	Ochrona przed atakami DDoS powinna być włączona dla wszystkich sieci wirtualnych z podsiecią, która jest częścią bramy aplikacji z publicznym adresem IP.	AuditIfNotExists, Disabled	3.0.1

Wdrażanie zapory aplikacji internetowej

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft NS-6 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Zapora aplikacji internetowej platformy Azure powinna być włączona dla punktów wejścia usługi Azure Front Door	Wdróż zaporę aplikacji internetowej platformy Azure przed publicznymi aplikacjami internetowymi w celu dodatkowej inspekcji ruchu przychodzącego. Zapora aplikacji internetowej (WAF) zapewnia scentralizowaną ochronę aplikacji internetowych przed typowymi programami wykorzystującymi luki w zabezpieczeniach i lukami w zabezpieczeniach, takimi jak iniekcje SQL, wykonywanie skryptów między witrynami, lokalne i zdalne wykonywanie plików. Możesz również ograniczyć dostęp do aplikacji internetowych według krajów, zakresów adresów IP i innych parametrów http(s) za pośrednictwem reguł niestandardowych.	Inspekcja, Odmowa, Wyłączone	1.0.2
Zapora aplikacji internetowej (WAF) powinna być włączona dla usługi Application Gateway	Wdróż zaporę aplikacji internetowej platformy Azure przed publicznymi aplikacjami internetowymi w celu dodatkowej inspekcji ruchu przychodzącego. Zapora aplikacji internetowej (WAF) zapewnia scentralizowaną ochronę aplikacji internetowych przed typowymi programami wykorzystującymi luki w zabezpieczeniach i lukami w zabezpieczeniach, takimi jak iniekcje SQL, wykonywanie skryptów między witrynami, lokalne i zdalne wykonywanie plików. Możesz również ograniczyć dostęp do aplikacji internetowych według krajów, zakresów adresów IP i innych parametrów http(s) za pośrednictwem reguł niestandardowych.	Inspekcja, Odmowa, Wyłączone	2.0.0

Uproszczenie konfiguracji zabezpieczeń sieci

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft NS-7 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Zalecenia dotyczące adaptacyjnego wzmacniania zabezpieczeń sieci powinny być stosowane na maszynach wirtualnych z dostępem do Internetu	Usługa Azure Security Center analizuje wzorce ruchu maszyn wirtualnych mających połączenie z Internetem i udostępnia zalecenia dotyczące reguł sieciowej grupy zabezpieczeń, które zmniejszają potencjalną powierzchnię ataków	AuditIfNotExists, Disabled	3.0.0

Wykrywanie i wyłączanie niezabezpieczonych usług i protokołów

IDENTYFIKATOR: Test porównawczy zabezpieczeń chmury firmy Microsoft NS-8 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Aplikacje usługi App Service powinny używać najnowszej wersji protokołu TLS	Okresowo nowsze wersje są wydawane dla protokołu TLS z powodu wad zabezpieczeń, obejmują dodatkowe funkcje i zwiększają szybkość. Uaktualnij do najnowszej wersji protokołu TLS dla aplikacji usługi App Service, aby skorzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji.	AuditIfNotExists, Disabled	2.0.1
Aplikacje funkcji powinny używać najnowszej wersji protokołu TLS	Okresowo nowsze wersje są wydawane dla protokołu TLS z powodu wad zabezpieczeń, obejmują dodatkowe funkcje i zwiększają szybkość. Uaktualnij do najnowszej wersji protokołu TLS dla aplikacji funkcji, aby skorzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji.	AuditIfNotExists, Disabled	2.0.1

Zarządzanie tożsamością

Korzystanie ze scentralizowanego systemu tożsamości i uwierzytelniania

Identyfikator: Test porównawczy zabezpieczeń chmury firmy Microsoft: Własność wiadomości błyskawicznych 1: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Administrator firmy Microsoft Entra powinien być aprowizowany dla serwerów PostgreSQL	Przeprowadź inspekcję aprowizacji administratora usługi Microsoft Entra dla serwera PostgreSQL, aby włączyć uwierzytelnianie firmy Microsoft Entra. Uwierzytelnianie firmy Microsoft Entra umożliwia uproszczone zarządzanie uprawnieniami i scentralizowane zarządzanie tożsamościami użytkowników bazy danych i innych usługi firmy Microsoft	AuditIfNotExists, Disabled	1.0.1
Administrator usługi Azure Active Directory powinien być aprowizowany dla serwerów SQL	Przeprowadź inspekcję aprowizacji administratora usługi Azure Active Directory dla serwera SQL, aby włączyć uwierzytelnianie usługi Azure AD. Uwierzytelnianie usługi Azure AD umożliwia uproszczone zarządzanie uprawnieniami i scentralizowane zarządzanie tożsamościami użytkowników bazy danych i innych usługi firmy Microsoft	AuditIfNotExists, Disabled	1.0.0
Zasoby usług Azure AI Powinny mieć wyłączony dostęp do klucza (wyłącz uwierzytelnianie lokalne)	W przypadku zabezpieczeń zaleca się wyłączenie dostępu do klucza (uwierzytelnianie lokalne). Usługa Azure OpenAI Studio, zwykle używana podczas programowania/testowania, wymaga dostępu klucza i nie będzie działać, jeśli dostęp do klucza jest wyłączony. Po wyłączeniu identyfikator Entra firmy Microsoft staje się jedyną metodą dostępu, która umożliwia utrzymanie minimalnej zasady uprawnień i szczegółowej kontroli. Dowiedz się więcej na stronie: https://aka.ms/AI/auth	Inspekcja, Odmowa, Wyłączone	1.1.0
Usługa Azure Machine Edukacja Computes powinna mieć wyłączone lokalne metody uwierzytelniania	Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że usługa Machine Edukacja Computes wymaga tożsamości usługi Azure Active Directory wyłącznie na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: https://aka.ms/azure-ml-aad-policy.	Inspekcja, Odmowa, Wyłączone	2.1.0
Usługa Azure SQL Database powinna mieć włączone uwierzytelnianie tylko firmy Microsoft	Wymagaj, aby serwery logiczne Usługi Azure SQL używały uwierzytelniania tylko firmy Microsoft. Te zasady nie blokują tworzenia serwerów z włączonym uwierzytelnianiem lokalnym. Uniemożliwia ona włączenie uwierzytelniania lokalnego w zasobach po utworzeniu. Rozważ użycie inicjatywy "Uwierzytelnianie tylko firmy Microsoft", aby wymagać obu tych elementów. Dowiedz się więcej na stronie: https://aka.ms/adonlycreate.	Inspekcja, Odmowa, Wyłączone	1.0.0
Usługa Azure SQL Database powinna mieć włączone uwierzytelnianie tylko firmy Microsoft podczas tworzenia	Wymagaj utworzenia serwerów logicznych usługi Azure SQL przy użyciu uwierzytelniania tylko firmy Microsoft. Te zasady nie blokują ponownego włączania uwierzytelniania lokalnego w zasobach po utworzeniu. Rozważ użycie inicjatywy "Uwierzytelnianie tylko firmy Microsoft", aby wymagać obu tych elementów. Dowiedz się więcej na stronie: https://aka.ms/adonlycreate.	Inspekcja, Odmowa, Wyłączone	1.2.0
Usługa Azure SQL Managed Instance powinna mieć włączone uwierzytelnianie tylko firmy Microsoft	Wymagaj, aby usługa Azure SQL Managed Instance korzystała z uwierzytelniania tylko firmy Microsoft. Te zasady nie blokują tworzenia wystąpień zarządzanych usługi Azure SQL z włączonym uwierzytelnianiem lokalnym. Uniemożliwia ona włączenie uwierzytelniania lokalnego w zasobach po utworzeniu. Rozważ użycie inicjatywy "Uwierzytelnianie tylko firmy Microsoft", aby wymagać obu tych elementów. Dowiedz się więcej na stronie: https://aka.ms/adonlycreate.	Inspekcja, Odmowa, Wyłączone	1.0.0
Usługa Azure SQL Managed Instances powinna mieć włączone uwierzytelnianie tylko firmy Microsoft podczas tworzenia	Wymagaj utworzenia usługi Azure SQL Managed Instance przy użyciu uwierzytelniania tylko firmy Microsoft. Te zasady nie blokują ponownego włączania uwierzytelniania lokalnego w zasobach po utworzeniu. Rozważ użycie inicjatywy "Uwierzytelnianie tylko firmy Microsoft", aby wymagać obu tych elementów. Dowiedz się więcej na stronie: https://aka.ms/adonlycreate.	Inspekcja, Odmowa, Wyłączone	1.2.0
Konta bazy danych usługi Cosmos DB powinny mieć wyłączone lokalne metody uwierzytelniania	Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że konta bazy danych usługi Cosmos DB wymagają wyłącznie tożsamości usługi Azure Active Directory na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: https://docs.microsoft.com/azure/cosmos-db/how-to-setup-rbac#disable-local-auth.	Inspekcja, Odmowa, Wyłączone	1.1.0
Klastry usługi Service Fabric powinny używać tylko usługi Azure Active Directory do uwierzytelniania klienta	Inspekcja użycia uwierzytelniania klienta tylko za pośrednictwem usługi Azure Active Directory w usłudze Service Fabric	Inspekcja, Odmowa, Wyłączone	1.1.0
Konta magazynu powinny uniemożliwić dostęp do klucza współużytkowanego	Wymaganie inspekcji usługi Azure Active Directory (Azure AD) w celu autoryzowania żądań dla konta magazynu. Domyślnie żądania mogą być autoryzowane przy użyciu poświadczeń usługi Azure Active Directory lub przy użyciu klucza dostępu konta do autoryzacji klucza współdzielonego. Z tych dwóch typów autoryzacji to usługa Azure AD zapewnia większe bezpieczeństwo i jest ona łatwiejsza w użyciu niż klucz wspólny. Jest to także autoryzacja zalecana przez firmę Microsoft.	Inspekcja, Odmowa, Wyłączone	2.0.0
Obszary robocze usługi Synapse powinny mieć włączone uwierzytelnianie tylko w usłudze Microsoft Entra	Wymagaj, aby obszary robocze usługi Synapse używały uwierzytelniania tylko firmy Microsoft. Te zasady nie blokują tworzenia obszarów roboczych z włączonym uwierzytelnianiem lokalnym. Uniemożliwia ona włączenie uwierzytelniania lokalnego w zasobach po utworzeniu. Rozważ użycie inicjatywy "Uwierzytelnianie tylko firmy Microsoft", aby wymagać obu tych elementów. Dowiedz się więcej na stronie: https://aka.ms/Synapse.	Inspekcja, Odmowa, Wyłączone	1.0.0
Obszary robocze usługi Synapse powinny używać tylko tożsamości usługi Microsoft Entra do uwierzytelniania podczas tworzenia obszaru roboczego	Wymagaj utworzenia obszarów roboczych usługi Synapse przy użyciu uwierzytelniania tylko firmy Microsoft. Te zasady nie blokują ponownego włączania uwierzytelniania lokalnego w zasobach po utworzeniu. Rozważ użycie inicjatywy "Uwierzytelnianie tylko firmy Microsoft", aby wymagać obu tych elementów. Dowiedz się więcej na stronie: https://aka.ms/Synapse.	Inspekcja, Odmowa, Wyłączone	1.2.0
Bramy sieci VPN powinny używać tylko uwierzytelniania usługi Azure Active Directory (Azure AD) dla użytkowników punkt-lokacja	Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że bramy sieci VPN używają tylko tożsamości usługi Azure Active Directory do uwierzytelniania. Dowiedz się więcej o uwierzytelnianiu w usłudze Azure AD pod adresem https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant	Inspekcja, Odmowa, Wyłączone	1.0.0

Bezpieczne i automatyczne zarządzanie tożsamościami aplikacji

Identyfikator: Test porównawczy zabezpieczeń chmury firmy Microsoft: Własność wiadomości błyskawicznych 3: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Aplikacje usługi App Service powinny używać tożsamości zarządzanej	Używanie tożsamości zarządzanej na potrzeby zwiększonych zabezpieczeń uwierzytelniania	AuditIfNotExists, Disabled	3.0.0
Aplikacje funkcji powinny używać tożsamości zarządzanej	Używanie tożsamości zarządzanej na potrzeby zwiększonych zabezpieczeń uwierzytelniania	AuditIfNotExists, Disabled	3.0.0
Rozszerzenie Konfiguracji gościa maszyn wirtualnych powinno zostać wdrożone z tożsamością zarządzaną przypisaną przez system	Rozszerzenie Konfiguracja gościa wymaga przypisanej przez system tożsamości zarządzanej. Maszyny wirtualne platformy Azure w zakresie tych zasad będą niezgodne, gdy mają zainstalowane rozszerzenie Konfiguracja gościa, ale nie mają przypisanej przez system tożsamości zarządzanej. Dowiedz się więcej na stronie https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1

Uwierzytelnianie serwera i usług

Identyfikator: Test porównawczy zabezpieczeń chmury firmy Microsoft: Własność wiadomości błyskawicznej 4: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Punkty końcowe interfejsu API w usłudze Azure API Management powinny być uwierzytelniane	Punkty końcowe interfejsu API opublikowane w usłudze Azure API Management powinny wymuszać uwierzytelnianie, aby zminimalizować ryzyko bezpieczeństwa. Mechanizmy uwierzytelniania są czasami implementowane niepoprawnie lub brakuje. Dzięki temu osoby atakujące mogą wykorzystywać wady implementacji i uzyskiwać dostęp do danych. Dowiedz się więcej o zagrożeniu interfejsu API OWASP dla uszkodzonego uwierzytelniania użytkowników tutaj: https://learn.microsoft.com/azure/api-management/mitigate-owasp-api-threats#broken-user-authentication	AuditIfNotExists, Disabled	1.0.1
Wywołania usługi API Management do zapleczy interfejsu API powinny być uwierzytelniane	Wywołania z usługi API Management do zapleczy powinny używać jakiejś formy uwierzytelniania, niezależnie od tego, czy za pośrednictwem certyfikatów, czy poświadczeń. Nie dotyczy zapleczy usługi Service Fabric.	Inspekcja, Wyłączone, Odmowa	1.0.1
Wywołania usługi API Management do zapleczy interfejsu API nie powinny pomijać odcisku palca certyfikatu ani sprawdzania poprawności nazwy	Aby zwiększyć bezpieczeństwo interfejsu API, usługa API Management powinna zweryfikować certyfikat serwera zaplecza dla wszystkich wywołań interfejsu API. Włącz odcisk palca certyfikatu SSL i walidację nazwy.	Inspekcja, Wyłączone, Odmowa	1.0.2
Usługa Azure SQL Database powinna mieć uruchomiony protokół TLS w wersji 1.2 lub nowszej	Ustawienie protokołu TLS w wersji 1.2 lub nowszej zwiększa bezpieczeństwo, zapewniając, że usługa Azure SQL Database może być dostępna tylko od klientów przy użyciu protokołu TLS 1.2 lub nowszego. Używanie wersji protokołu TLS mniejszej niż 1.2 nie jest zalecane, ponieważ mają dobrze udokumentowane luki w zabezpieczeniach.	Inspekcja, Wyłączone, Odmowa	2.0.0

Używanie kontrolek silnego uwierzytelniania

Identyfikator: Test porównawczy zabezpieczeń chmury firmy Microsoft: Własność wiadomości błyskawicznej 6: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Konta z uprawnieniami właściciela do zasobów platformy Azure powinny być włączone uwierzytelnianie wieloskładnikowe	Usługa Multi-Factor Authentication (MFA) powinna być włączona dla wszystkich kont subskrypcji z uprawnieniami właściciela, aby zapobiec naruszeniu kont lub zasobów.	AuditIfNotExists, Disabled	1.0.0
Konta z uprawnieniami do odczytu w zasobach platformy Azure powinny być włączone uwierzytelnianie wieloskładnikowe	Usługa Multi-Factor Authentication (MFA) powinna być włączona dla wszystkich kont subskrypcji z uprawnieniami do odczytu, aby zapobiec naruszeniu kont lub zasobów.	AuditIfNotExists, Disabled	1.0.0
Konta z uprawnieniami do zapisu w zasobach platformy Azure powinny być włączone uwierzytelnianie wieloskładnikowe	Usługa Multi-Factor Authentication (MFA) powinna być włączona dla wszystkich kont subskrypcji z uprawnieniami do zapisu, aby zapobiec naruszeniu kont lub zasobów.	AuditIfNotExists, Disabled	1.0.0
Uwierzytelnianie na maszynach z systemem Linux powinno wymagać kluczy SSH	Mimo że sam protokół SSH zapewnia zaszyfrowane połączenie, użycie haseł za pomocą protokołu SSH nadal pozostawia maszynę wirtualną podatną na ataki siłowe. Najbezpieczniejszą opcją uwierzytelniania na maszynie wirtualnej z systemem Linux platformy Azure za pośrednictwem protokołu SSH jest para kluczy publiczny-prywatny, nazywana również kluczami SSH. Dowiedz się więcej: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed.	AuditIfNotExists, Disabled	3.2.0

Ograniczanie ujawnienia poświadczeń i wpisów tajnych

Identyfikator: Test porównawczy zabezpieczeń chmury firmy Microsoft: Własność wiadomości błyskawicznych 8: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Minimalna wersja interfejsu API usługi API Management powinna być ustawiona na 2019-12-01 lub nowszą	Aby uniemożliwić udostępnianie wpisów tajnych usługi użytkownikom tylko do odczytu, minimalna wersja interfejsu API powinna być ustawiona na 2019-12-01 lub nowszą.	Inspekcja, Odmowa, Wyłączone	1.0.1
Wpis tajny usługi API Management o nazwach wartości powinien być przechowywany w usłudze Azure Key Vault	Nazwane wartości to kolekcja par nazw i wartości w każdej usłudze API Management. Wartości wpisów tajnych mogą być przechowywane jako zaszyfrowany tekst w usłudze API Management (niestandardowe wpisy tajne) lub przez odwołanie się do wpisów tajnych w usłudze Azure Key Vault. Aby zwiększyć bezpieczeństwo usługi API Management i wpisów tajnych, odwołaj się do wpisów tajnych nazwanych wartości z usługi Azure Key Vault. Usługa Azure Key Vault obsługuje szczegółowe zarządzanie dostępem i zasady rotacji wpisów tajnych.	Inspekcja, Wyłączone, Odmowa	1.0.2
Maszyny powinny mieć rozpoznane wyniki wpisów tajnych	Przeprowadza inspekcję maszyn wirtualnych w celu wykrycia, czy zawierają tajne wyniki rozwiązań do skanowania wpisów tajnych na maszynach wirtualnych.	AuditIfNotExists, Disabled	1.0.2

Dostęp uprzywilejowany

Oddzielanie i ograniczanie wysoce uprzywilejowanych/administracyjnych użytkowników

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft PA-1 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Dla subskrypcji należy wyznaczyć maksymalnie 3 właścicieli	Zaleca się wyznaczenie maksymalnie 3 właścicieli subskrypcji w celu zmniejszenia potencjalnego naruszenia przez naruszonego właściciela.	AuditIfNotExists, Disabled	3.0.0
Zablokowane konta z uprawnieniami właściciela do zasobów platformy Azure powinny zostać usunięte	Przestarzałe konta z uprawnieniami właściciela powinny zostać usunięte z subskrypcji. Przestarzałe konta to konta, które zostały zablokowane podczas logowania.	AuditIfNotExists, Disabled	1.0.0
Konta gości z uprawnieniami właściciela do zasobów platformy Azure należy usunąć	Konta zewnętrzne z uprawnieniami właściciela powinny zostać usunięte z subskrypcji, aby zapobiec niemonitorowanemu dostępowi.	AuditIfNotExists, Disabled	1.0.0
Do subskrypcji powinien być przypisany więcej niż jeden właściciel	Zaleca się wyznaczenie więcej niż jednego właściciela subskrypcji w celu zapewnienia nadmiarowości dostępu administratora.	AuditIfNotExists, Disabled	3.0.0

Unikaj stałego dostępu dla kont i uprawnień

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft PA-2 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Porty zarządzania maszyn wirtualnych powinny być chronione za pomocą kontroli dostępu do sieci just in time	Możliwy dostęp just in time (JIT) do sieci będzie monitorowany przez usługę Azure Security Center zgodnie z zaleceniami	AuditIfNotExists, Disabled	3.0.0

Regularny przegląd i uzgadnianie dostępu użytkowników

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft PA-4 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Zablokowane konta z uprawnieniami właściciela do zasobów platformy Azure powinny zostać usunięte	Przestarzałe konta z uprawnieniami właściciela powinny zostać usunięte z subskrypcji. Przestarzałe konta to konta, które zostały zablokowane podczas logowania.	AuditIfNotExists, Disabled	1.0.0
Zablokowane konta z uprawnieniami do odczytu i zapisu w zasobach platformy Azure powinny zostać usunięte	Przestarzałe konta powinny zostać usunięte z subskrypcji. Przestarzałe konta to konta, które zostały zablokowane podczas logowania.	AuditIfNotExists, Disabled	1.0.0
Konta gości z uprawnieniami właściciela do zasobów platformy Azure należy usunąć	Konta zewnętrzne z uprawnieniami właściciela powinny zostać usunięte z subskrypcji, aby zapobiec niemonitorowanemu dostępowi.	AuditIfNotExists, Disabled	1.0.0
Konta gości z uprawnieniami do odczytu w zasobach platformy Azure powinny zostać usunięte	Konta zewnętrzne z uprawnieniami do odczytu powinny zostać usunięte z subskrypcji, aby zapobiec niemonitorowanemu dostępowi.	AuditIfNotExists, Disabled	1.0.0
Konta gości z uprawnieniami do zapisu w zasobach platformy Azure powinny zostać usunięte	Konta zewnętrzne z uprawnieniami do zapisu powinny zostać usunięte z subskrypcji, aby zapobiec niemonitorowanemu dostępowi.	AuditIfNotExists, Disabled	1.0.0

Przestrzeganie podejścia wystarczającego zakresu administracji (zasada stosowania najniższych uprawnień)

ID: Test porównawczy zabezpieczeń w chmurze firmy Microsoft PA-7 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Subskrypcje usługi API Management nie powinny być ograniczone do wszystkich interfejsów API	Subskrypcje usługi API Management powinny być ograniczone do produktu lub pojedynczego interfejsu API zamiast wszystkich interfejsów API, co może spowodować nadmierne narażenie na dane.	Inspekcja, Wyłączone, Odmowa	1.1.0
Inspekcja użycia niestandardowych ról RBAC	Przeprowadź inspekcję wbudowanych ról, takich jak "Właściciel, Współautor, Czytelnik" zamiast niestandardowych ról RBAC, które są podatne na błędy. Używanie ról niestandardowych jest traktowane jako wyjątek i wymaga rygorystycznego przeglądu i modelowania zagrożeń	Inspekcja, wyłączone	1.0.1
Kontrola dostępu oparta na rolach (RBAC) platformy Azure powinna być używana w usługach Kubernetes Services	Aby zapewnić szczegółowe filtrowanie akcji, które użytkownicy mogą wykonywać, użyj kontroli dostępu opartej na rolach (RBAC) platformy Azure, aby zarządzać uprawnieniami w klastrach usługi Kubernetes Service i konfigurować odpowiednie zasady autoryzacji.	Inspekcja, wyłączone	1.0.3

Ochrona danych

Odnajdywanie, klasyfikowanie i etykietowanie poufnych danych

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft DP-1 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Należy włączyć usługę Microsoft Defender dla interfejsów API	Usługa Microsoft Defender dla interfejsów API oferuje nowe funkcje odnajdywania, ochrony, wykrywania i reagowania w celu monitorowania typowych ataków opartych na interfejsie API i błędów konfiguracji zabezpieczeń.	AuditIfNotExists, Disabled	1.0.3

Monitorowanie anomalii i zagrożeń kierowania poufnych danych

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft DP-2 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Serwery usługi Azure Defender dla usługi Azure SQL Database powinny być włączone	Usługa Azure Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych.	AuditIfNotExists, Disabled	1.0.2
Usługa Azure Defender dla relacyjnych baz danych typu open source powinna być włączona	Usługa Azure Defender dla relacyjnych baz danych typu open source wykrywa nietypowe działania wskazujące na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. Dowiedz się więcej o możliwościach usługi Azure Defender dla relacyjnych baz danych typu open source pod adresem https://aka.ms/AzDforOpenSourceDBsDocu. Ważne: włączenie tego planu spowoduje naliczanie opłat za ochronę relacyjnych baz danych typu open source. Dowiedz się więcej o cenach na stronie cennika usługi Security Center: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Należy włączyć usługę Azure Defender dla serwerów SQL na maszynach	Usługa Azure Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych.	AuditIfNotExists, Disabled	1.0.2
Usługa Azure Defender for SQL powinna być włączona dla niechronionych wystąpień zarządzanych SQL	Przeprowadź inspekcję każdego wystąpienia zarządzanego SQL bez zaawansowanych zabezpieczeń danych.	AuditIfNotExists, Disabled	1.0.2
Należy włączyć usługę Microsoft Defender dla interfejsów API	Usługa Microsoft Defender dla interfejsów API oferuje nowe funkcje odnajdywania, ochrony, wykrywania i reagowania w celu monitorowania typowych ataków opartych na interfejsie API i błędów konfiguracji zabezpieczeń.	AuditIfNotExists, Disabled	1.0.3
Usługa Microsoft Defender for Storage powinna być włączona	Usługa Microsoft Defender for Storage wykrywa potencjalne zagrożenia dla kont magazynu. Pomaga to zapobiec trzem głównym wpływom na dane i obciążenie: złośliwe przekazywanie plików, eksfiltrację poufnych danych i uszkodzenie danych. Nowy plan usługi Defender for Storage obejmuje skanowanie złośliwego oprogramowania i wykrywanie zagrożeń poufnych danych. Ten plan zapewnia również przewidywalną strukturę cenową (na konto magazynu) na potrzeby kontroli nad pokryciem i kosztami.	AuditIfNotExists, Disabled	1.0.0

Szyfrowanie poufnych danych przesyłanych

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft DP-3 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
[Wersja zapoznawcza]: Sieć hostów i maszyn wirtualnych powinna być chroniona w systemach Azure Stack HCI	Ochrona danych w sieci hostów usługi Azure Stack HCI i połączeń sieciowych maszyn wirtualnych.	Inspekcja, wyłączone, AuditIfNotExists	1.0.0-preview
Interfejsy API usługi API Management powinny używać tylko zaszyfrowanych protokołów	Aby zapewnić bezpieczeństwo przesyłanych danych, interfejsy API powinny być dostępne tylko za pośrednictwem szyfrowanych protokołów, takich jak HTTPS lub WSS. Unikaj używania niezabezpieczonych protokołów, takich jak HTTP lub WS.	Inspekcja, Wyłączone, Odmowa	2.0.2
Aplikacje usługi App Service powinny być dostępne tylko za pośrednictwem protokołu HTTPS	Korzystanie z protokołu HTTPS zapewnia uwierzytelnianie serwera/usługi i chroni dane przesyłane przed atakami podsłuchiwania warstwy sieciowej.	Inspekcja, Wyłączone, Odmowa	4.0.0
Aplikacje usługi App Service powinny wymagać tylko protokołu FTPS	Włącz wymuszanie protokołu FTPS dla zwiększonych zabezpieczeń.	AuditIfNotExists, Disabled	3.0.0
Aplikacje usługi App Service powinny używać najnowszej wersji protokołu TLS	Okresowo nowsze wersje są wydawane dla protokołu TLS z powodu wad zabezpieczeń, obejmują dodatkowe funkcje i zwiększają szybkość. Uaktualnij do najnowszej wersji protokołu TLS dla aplikacji usługi App Service, aby skorzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji.	AuditIfNotExists, Disabled	2.0.1
Usługa Azure SQL Database powinna mieć uruchomiony protokół TLS w wersji 1.2 lub nowszej	Ustawienie protokołu TLS w wersji 1.2 lub nowszej zwiększa bezpieczeństwo, zapewniając, że usługa Azure SQL Database może być dostępna tylko od klientów przy użyciu protokołu TLS 1.2 lub nowszego. Używanie wersji protokołu TLS mniejszej niż 1.2 nie jest zalecane, ponieważ mają dobrze udokumentowane luki w zabezpieczeniach.	Inspekcja, Wyłączone, Odmowa	2.0.0
Wymuszanie połączenia SSL powinno być włączone dla serwerów baz danych MySQL	Usługa Azure Database for MySQL obsługuje łączenie serwera usługi Azure Database for MySQL z aplikacjami klienckimi przy użyciu protokołu SSL (Secure Sockets Layer). Wymuszanie połączeń SSL między serwerem bazy danych a aplikacjami klienckimi pomaga chronić przed atakami typu "człowiek w środku", szyfrując strumień danych między serwerem a aplikacją. Ta konfiguracja wymusza, że protokół SSL jest zawsze włączony do uzyskiwania dostępu do serwera bazy danych.	Inspekcja, wyłączone	1.0.1
Wymuszanie połączenia SSL powinno być włączone dla serwerów baz danych PostgreSQL	Usługa Azure Database for PostgreSQL obsługuje łączenie serwera usługi Azure Database for PostgreSQL z aplikacjami klienckimi przy użyciu protokołu SSL (Secure Sockets Layer). Wymuszanie połączeń SSL między serwerem bazy danych a aplikacjami klienckimi pomaga chronić przed atakami typu "człowiek w środku", szyfrując strumień danych między serwerem a aplikacją. Ta konfiguracja wymusza, że protokół SSL jest zawsze włączony do uzyskiwania dostępu do serwera bazy danych.	Inspekcja, wyłączone	1.0.1
Aplikacje funkcji powinny być dostępne tylko za pośrednictwem protokołu HTTPS	Korzystanie z protokołu HTTPS zapewnia uwierzytelnianie serwera/usługi i chroni dane przesyłane przed atakami podsłuchiwania warstwy sieciowej.	Inspekcja, Wyłączone, Odmowa	5.0.0
Aplikacje funkcji powinny wymagać tylko protokołu FTPS	Włącz wymuszanie protokołu FTPS dla zwiększonych zabezpieczeń.	AuditIfNotExists, Disabled	3.0.0
Aplikacje funkcji powinny używać najnowszej wersji protokołu TLS	Okresowo nowsze wersje są wydawane dla protokołu TLS z powodu wad zabezpieczeń, obejmują dodatkowe funkcje i zwiększają szybkość. Uaktualnij do najnowszej wersji protokołu TLS dla aplikacji funkcji, aby skorzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji.	AuditIfNotExists, Disabled	2.0.1
Klastry Kubernetes powinny być dostępne tylko za pośrednictwem protokołu HTTPS	Korzystanie z protokołu HTTPS zapewnia uwierzytelnianie i chroni dane podczas przesyłania przed atakami podsłuchiwania warstwy sieciowej. Ta funkcja jest obecnie ogólnie dostępna dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną usługą Azure Arc. Aby uzyskać więcej informacji, odwiedź stronę https://aka.ms/kubepolicydoc	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	8.1.0
Należy włączyć tylko bezpieczne połączenia z usługą Azure Cache for Redis	Inspekcja włączania tylko połączeń za pośrednictwem protokołu SSL do usługi Azure Cache for Redis. Korzystanie z bezpiecznych połączeń zapewnia uwierzytelnianie między serwerem a usługą i chroni dane przesyłane przed atakami warstwy sieciowej, takimi jak man-in-the-middle, podsłuchiwanie i przejęcie sesji	Inspekcja, Odmowa, Wyłączone	1.0.0
Bezpieczny transfer do kont magazynu powinien być włączony	Przeprowadź inspekcję wymagania bezpiecznego transferu na koncie magazynu. Bezpieczny transfer to opcja, która wymusza akceptowanie żądań tylko z bezpiecznych połączeń (HTTPS). Korzystanie z protokołu HTTPS zapewnia uwierzytelnianie między serwerem a usługą i chroni dane przesyłane przed atakami warstwy sieciowej, takimi jak man-in-the-middle, podsłuchiwanie i przejęcie sesji	Inspekcja, Odmowa, Wyłączone	2.0.0
Maszyny z systemem Windows należy skonfigurować do używania bezpiecznych protokołów komunikacyjnych	Aby chronić prywatność informacji przekazywanych przez Internet, maszyny powinny używać najnowszej wersji standardowego protokołu kryptograficznego Transport Layer Security (TLS). Protokół TLS zabezpiecza komunikację za pośrednictwem sieci przez szyfrowanie połączenia między maszynami.	AuditIfNotExists, Disabled	4.1.1

Włączanie szyfrowania danych magazynowanych domyślnie

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft DP-4 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Administrator firmy Microsoft Entra powinien być aprowizowany dla serwerów MySQL	Przeprowadź inspekcję aprowizacji administratora usługi Microsoft Entra dla serwera MySQL, aby włączyć uwierzytelnianie firmy Microsoft Entra. Uwierzytelnianie firmy Microsoft Entra umożliwia uproszczone zarządzanie uprawnieniami i scentralizowane zarządzanie tożsamościami użytkowników bazy danych i innych usługi firmy Microsoft	AuditIfNotExists, Disabled	1.1.1
Zmienne konta usługi Automation powinny być szyfrowane	Ważne jest włączenie szyfrowania zasobów zmiennych konta usługi Automation podczas przechowywania poufnych danych	Inspekcja, Odmowa, Wyłączone	1.1.0
Serwer elastyczny usługi Azure MySQL powinien mieć włączone uwierzytelnianie tylko w usłudze Microsoft Entra	Wyłączenie lokalnych metod uwierzytelniania i zezwolenie tylko na uwierzytelnianie Entra firmy Microsoft zwiększa bezpieczeństwo, zapewniając, że elastyczny serwer Azure MySQL może być dostępny wyłącznie przez tożsamości firmy Microsoft Entra.	AuditIfNotExists, Disabled	1.0.1
Maszyny wirtualne z systemem Linux powinny włączyć usługę Azure Disk Encryption lub EncryptionAtHost.	Mimo że dyski systemu operacyjnego i danych maszyny wirtualnej są domyślnie szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez platformę; dyski zasobów (dyski tymczasowe), pamięci podręczne danych i dane przepływające między zasobami obliczeniowymi i magazynowymi nie są szyfrowane. Korygowanie przy użyciu usługi Azure Disk Encryption lub EncryptionAtHost. Odwiedź stronę https://aka.ms/diskencryptioncomparison , aby porównać oferty szyfrowania. Te zasady wymagają wdrożenia dwóch wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.2.1
Klastry usługi Service Fabric powinny mieć właściwość ClusterProtectionLevel ustawioną na Wartość EncryptAndSign	Usługa Service Fabric zapewnia trzy poziomy ochrony (None, Sign and EncryptAndSign) na potrzeby komunikacji między węzłami przy użyciu certyfikatu podstawowego klastra. Ustaw poziom ochrony, aby upewnić się, że wszystkie komunikaty typu node-to-node są szyfrowane i podpisane cyfrowo	Inspekcja, Odmowa, Wyłączone	1.1.0
Należy włączyć funkcję Transparent Data Encryption w bazach danych SQL	Przezroczyste szyfrowanie danych powinno być włączone, aby chronić dane magazynowane i spełniać wymagania dotyczące zgodności	AuditIfNotExists, Disabled	2.0.0
Maszyny wirtualne i zestawy skalowania maszyn wirtualnych powinny mieć włączone szyfrowanie na hoście	Użyj szyfrowania na hoście, aby uzyskać kompleksowe szyfrowanie dla maszyny wirtualnej i danych zestawu skalowania maszyn wirtualnych. Szyfrowanie na hoście umożliwia szyfrowanie magazynowanych dysków tymczasowych i pamięci podręcznych dysku systemu operacyjnego/danych. Tymczasowe i efemeryczne dyski systemu operacyjnego są szyfrowane przy użyciu kluczy zarządzanych przez platformę, gdy szyfrowanie na hoście jest włączone. Pamięci podręczne dysku systemu operacyjnego/danych są szyfrowane w spoczynku przy użyciu klucza zarządzanego przez klienta lub zarządzanego przez platformę, w zależności od typu szyfrowania wybranego na dysku. Dowiedz się więcej na https://aka.ms/vm-hbe.	Inspekcja, Odmowa, Wyłączone	1.0.0
Maszyny wirtualne powinny szyfrować dyski tymczasowe, pamięci podręczne i przepływy danych między zasobami obliczeniowymi i magazynem	Domyślnie dyski systemu operacyjnego i danych maszyny wirtualnej są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez platformę. Dyski tymczasowe, pamięci podręczne danych i dane przepływające między obliczeniami i magazynem nie są szyfrowane. Zignoruj to zalecenie, jeśli: 1. przy użyciu szyfrowania na hoście lub 2. Szyfrowanie po stronie serwera Dyski zarządzane spełnia wymagania dotyczące zabezpieczeń. Dowiedz się więcej w temacie: Szyfrowanie po stronie serwera usługi Azure Disk Storage: https://aka.ms/disksse, Różne oferty szyfrowania dysków: https://aka.ms/diskencryptioncomparison	AuditIfNotExists, Disabled	2.0.3
Maszyny wirtualne z systemem Windows powinny włączyć usługę Azure Disk Encryption lub EncryptionAtHost.	Mimo że dyski systemu operacyjnego i danych maszyny wirtualnej są domyślnie szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez platformę; dyski zasobów (dyski tymczasowe), pamięci podręczne danych i dane przepływające między zasobami obliczeniowymi i magazynowymi nie są szyfrowane. Korygowanie przy użyciu usługi Azure Disk Encryption lub EncryptionAtHost. Odwiedź stronę https://aka.ms/diskencryptioncomparison , aby porównać oferty szyfrowania. Te zasady wymagają wdrożenia dwóch wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.1.1

Użyj opcji klucza zarządzanego przez klienta w przypadku szyfrowania danych magazynowanych, jeśli jest to wymagane

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft DP-5 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
[Wersja zapoznawcza]: systemy Azure Stack HCI powinny mieć zaszyfrowane woluminy	Funkcja BitLocker umożliwia szyfrowanie woluminów systemu operacyjnego i danych w systemach Azure Stack HCI.	Inspekcja, wyłączone, AuditIfNotExists	1.0.0-preview
Konta usługi Azure Cosmos DB powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych	Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem w spoczynku usługi Azure Cosmos DB. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych przy użyciu klucza usługi Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę i odpowiedzialność za cykl życia klucza, w tym rotację i zarządzanie. Dowiedz się więcej na https://aka.ms/cosmosdb-cmk.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	1.1.0
Obszary robocze usługi Azure Machine Edukacja powinny być szyfrowane przy użyciu klucza zarządzanego przez klienta	Zarządzanie szyfrowaniem magazynowanych danych obszaru roboczego usługi Azure Machine Edukacja przy użyciu kluczy zarządzanych przez klienta. Domyślnie dane klienta są szyfrowane przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych przy użyciu klucza usługi Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę i odpowiedzialność za cykl życia klucza, w tym rotację i zarządzanie. Dowiedz się więcej na https://aka.ms/azureml-workspaces-cmk.	Inspekcja, Odmowa, Wyłączone	1.0.3
Konta usług Cognitive Services powinny włączyć szyfrowanie danych przy użyciu klucza zarządzanego przez klienta	Klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych przechowywanych w usługach Cognitive Services za pomocą klucza usługi Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę i odpowiedzialność za cykl życia klucza, w tym rotację i zarządzanie. Dowiedz się więcej o kluczach zarządzanych przez klienta na stronie https://go.microsoft.com/fwlink/?linkid=2121321.	Inspekcja, Odmowa, Wyłączone	2.1.0
Rejestry kontenerów powinny być szyfrowane przy użyciu klucza zarządzanego przez klienta	Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem w pozostałej części zawartości rejestrów. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych przy użyciu klucza usługi Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę i odpowiedzialność za cykl życia klucza, w tym rotację i zarządzanie. Dowiedz się więcej na https://aka.ms/acr/CMK.	Inspekcja, Odmowa, Wyłączone	1.1.2
Serwery MySQL powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych	Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem magazynowanych serwerów MySQL. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych przy użyciu klucza usługi Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę i odpowiedzialność za cykl życia klucza, w tym rotację i zarządzanie.	AuditIfNotExists, Disabled	1.0.4
Serwery PostgreSQL powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych	Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem magazynowanych serwerów PostgreSQL. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych przy użyciu klucza usługi Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę i odpowiedzialność za cykl życia klucza, w tym rotację i zarządzanie.	AuditIfNotExists, Disabled	1.0.4
Wystąpienia zarządzane SQL powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych	Implementowanie funkcji Transparent Data Encryption (TDE) przy użyciu własnego klucza zapewnia większą przejrzystość i kontrolę nad funkcją ochrony TDE, zwiększone bezpieczeństwo dzięki usłudze zewnętrznej opartej na module HSM oraz podwyższeniu poziomu rozdzielenia obowiązków. To zalecenie dotyczy organizacji z powiązanym wymaganiem dotyczącym zgodności.	Inspekcja, Odmowa, Wyłączone	2.0.0
Serwery SQL powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych	Zaimplementowanie funkcji Transparent Data Encryption (TDE) przy użyciu własnego klucza zapewnia większą przejrzystość i kontrolę nad funkcją ochrony TDE, zwiększone bezpieczeństwo dzięki usłudze zewnętrznej opartej na module HSM oraz podwyższenie poziomu rozdzielenia obowiązków. To zalecenie dotyczy organizacji z powiązanym wymaganiem dotyczącym zgodności.	Inspekcja, Odmowa, Wyłączone	2.0.1
Konta magazynu powinny używać klucza zarządzanego przez klienta do szyfrowania	Zabezpieczanie konta obiektu blob i magazynu plików przy użyciu kluczy zarządzanych przez klienta. Gdy określisz klucz zarządzany przez klienta, ten klucz będzie używany w celu ochrony i kontroli dostępu do klucza szyfrującego dane. Użycie kluczy zarządzanych przez klienta zapewnia dodatkowe możliwości kontrolowania rotacji klucza szyfrowania klucza lub kryptograficznie wymazywania danych.	Inspekcja, wyłączone	1.0.3

Korzystanie z bezpiecznego procesu zarządzania kluczami

Identyfikator: Test porównawczy zabezpieczeń w chmurze firmy Microsoft DP-6 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Wpis tajny usługi API Management o nazwach wartości powinien być przechowywany w usłudze Azure Key Vault	Nazwane wartości to kolekcja par nazw i wartości w każdej usłudze API Management. Wartości wpisów tajnych mogą być przechowywane jako zaszyfrowany tekst w usłudze API Management (niestandardowe wpisy tajne) lub przez odwołanie się do wpisów tajnych w usłudze Azure Key Vault. Aby zwiększyć bezpieczeństwo usługi API Management i wpisów tajnych, odwołaj się do wpisów tajnych nazwanych wartości z usługi Azure Key Vault. Usługa Azure Key Vault obsługuje szczegółowe zarządzanie dostępem i zasady rotacji wpisów tajnych.	Inspekcja, Wyłączone, Odmowa	1.0.2
Klucze usługi Key Vault powinny mieć datę wygaśnięcia	Klucze kryptograficzne powinny mieć zdefiniowaną datę wygaśnięcia i nie być trwałe. Klucze, które są ważne na zawsze, zapewniają potencjalnemu atakującemu więcej czasu na naruszenie klucza. Zalecaną praktyką w zakresie zabezpieczeń jest ustawianie dat wygaśnięcia kluczy kryptograficznych.	Inspekcja, Odmowa, Wyłączone	1.0.2
Wpisy tajne usługi Key Vault powinny mieć datę wygaśnięcia	Wpisy tajne powinny mieć zdefiniowaną datę wygaśnięcia i nie być trwałe. Wpisy tajne, które są ważne na zawsze, zapewniają potencjalnemu atakującemu więcej czasu na ich naruszenie. Zalecanym rozwiązaniem w zakresie zabezpieczeń jest ustawienie dat wygaśnięcia wpisów tajnych.	Inspekcja, Odmowa, Wyłączone	1.0.2

Korzystanie z bezpiecznego procesu zarządzania certyfikatami

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft DP-7 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Certyfikaty powinny mieć określony maksymalny okres ważności	Zarządzaj wymaganiami dotyczącymi zgodności organizacji, określając maksymalny czas ważności certyfikatu w magazynie kluczy.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	2.2.1

Zapewnianie bezpieczeństwa klucza i repozytorium certyfikatów

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft DP-8 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Usługa Azure Defender dla usługi Key Vault powinna być włączona	Usługa Azure Defender for Key Vault zapewnia dodatkową warstwę ochrony i analizy zabezpieczeń przez wykrywanie nietypowych i potencjalnie szkodliwych prób uzyskania dostępu do kont magazynu kluczy lub wykorzystania ich.	AuditIfNotExists, Disabled	1.0.3
Usługa Azure Key Vault powinna mieć włączoną zaporę	Włącz zaporę magazynu kluczy, aby magazyn kluczy był domyślnie niedostępny dla żadnych publicznych adresów IP. Opcjonalnie można skonfigurować określone zakresy adresów IP, aby ograniczyć dostęp do tych sieci. Dowiedz się więcej na stronie: https://docs.microsoft.com/azure/key-vault/general/network-security	Inspekcja, Odmowa, Wyłączone	3.2.1
Usługa Azure Key Vault powinna używać łącza prywatnego	Usługa Azure Private Link umożliwia łączenie sieci wirtualnych z usługami platformy Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej platformy Azure. Mapując prywatne punkty końcowe na magazyn kluczy, można zmniejszyć ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych pod adresem: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Magazyny kluczy powinny mieć włączoną ochronę usuwania	Złośliwe usunięcie magazynu kluczy może prowadzić do trwałej utraty danych. Można zapobiec trwałej utracie danych, włączając ochronę przed przeczyszczeniem i usuwaniem nietrwałym. Ochrona przed przeczyszczeniem chroni przed atakami poufnymi przez wymuszanie obowiązkowego okresu przechowywania dla nietrwałych magazynów kluczy usuniętych. Nikt w twojej organizacji lub firmie Microsoft nie będzie mógł przeczyścić magazynów kluczy w okresie przechowywania usuwania nietrwałego. Pamiętaj, że magazyny kluczy utworzone po 1 września 2019 r. mają domyślnie włączone usuwanie nietrwałe.	Inspekcja, Odmowa, Wyłączone	2.1.0
Magazyny kluczy powinny mieć włączone usuwanie nietrwałe	Usunięcie magazynu kluczy bez włączonego usuwania nietrwałego powoduje trwałe usunięcie wszystkich wpisów tajnych, kluczy i certyfikatów przechowywanych w magazynie kluczy. Przypadkowe usunięcie magazynu kluczy może prowadzić do trwałej utraty danych. Usuwanie nietrwałe umożliwia odzyskanie przypadkowo usuniętego magazynu kluczy dla konfigurowalnego okresu przechowywania.	Inspekcja, Odmowa, Wyłączone	3.0.0
Dzienniki zasobów w usłudze Key Vault powinny być włączone	Inspekcja włączania dzienników zasobów. Dzięki temu można ponownie utworzyć ślady aktywności do celów badania w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci	AuditIfNotExists, Disabled	5.0.0

Zarządzanie zasobami

Używanie tylko zatwierdzonych usług

ID: Test porównawczy zabezpieczeń w chmurze firmy Microsoft AM-2 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Wersja platformy Azure API Management powinna być następująca: stv2	Wersja platformy obliczeniowej stv1 usługi Azure API Management zostanie wycofana z dnia 31 sierpnia 2024 r., a te wystąpienia powinny zostać zmigrowane na platformę obliczeniową stv2 w celu zapewnienia dalszej obsługi. Dowiedz się więcej na stronie https://learn.microsoft.com/azure/api-management/breaking-changes/stv1-platform-retirement-august-2024	Inspekcja, Odmowa, Wyłączone	1.0.0
Konta magazynu należy migrować do nowych zasobów usługi Azure Resource Manager	Użyj nowego usługi Azure Resource Manager dla kont magazynu, aby zapewnić ulepszenia zabezpieczeń, takie jak: silniejsza kontrola dostępu (RBAC), lepsza inspekcja, wdrażanie i zarządzanie oparte na usłudze Azure Resource Manager, dostęp do tożsamości zarządzanych, dostęp do magazynu kluczy dla wpisów tajnych, uwierzytelnianie oparte na usłudze Azure AD i obsługa tagów i grup zasobów w celu łatwiejszego zarządzania zabezpieczeniami	Inspekcja, Odmowa, Wyłączone	1.0.0
Maszyny wirtualne powinny być migrowane do nowych zasobów usługi Azure Resource Manager	Użyj nowego usługi Azure Resource Manager dla maszyn wirtualnych, aby zapewnić ulepszenia zabezpieczeń, takie jak: silniejsza kontrola dostępu (RBAC), lepsza inspekcja, wdrażanie i zarządzanie oparte na usłudze Azure Resource Manager, dostęp do tożsamości zarządzanych, dostęp do magazynu kluczy dla wpisów tajnych, uwierzytelnianie oparte na usłudze Azure AD i obsługa tagów i grup zasobów w celu łatwiejszego zarządzania zabezpieczeniami	Inspekcja, Odmowa, Wyłączone	1.0.0

zapewnienie bezpieczeństwa zarządzania cyklem życia zasobów

ID: Test porównawczy zabezpieczeń w chmurze firmy Microsoft AM-3 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Nieużywane punkty końcowe interfejsu API powinny zostać wyłączone i usunięte z usługi Azure API Management	Najlepszym rozwiązaniem w zakresie zabezpieczeń punkty końcowe interfejsu API, które nie otrzymały ruchu przez 30 dni, są uznawane za nieużywane i powinny zostać usunięte z usługi Azure API Management. Utrzymywanie nieużywanych punktów końcowych interfejsu API może stanowić zagrożenie bezpieczeństwa dla organizacji. Mogą to być interfejsy API, które powinny być przestarzałe z usługi Azure API Management, ale mogły zostać przypadkowo pozostawione aktywne. Takie interfejsy API zwykle nie otrzymują najbardziej aktualnego pokrycia zabezpieczeń.	AuditIfNotExists, Disabled	1.0.1

Używanie tylko zatwierdzonych aplikacji na maszynie wirtualnej

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft AM-5 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Funkcje adaptacyjnego sterowania aplikacjami do definiowania bezpiecznych aplikacji powinny być włączone na maszynach	Włącz kontrolki aplikacji, aby zdefiniować listę znanych bezpiecznych aplikacji działających na maszynach i otrzymywać alerty po uruchomieniu innych aplikacji. Pomaga to chronić maszyny przed złośliwym oprogramowaniem. Aby uprościć proces konfigurowania i utrzymywania reguł, usługa Security Center używa uczenia maszynowego do analizowania aplikacji uruchomionych na poszczególnych maszynach i sugerowania listy znanych aplikacji bezpiecznych.	AuditIfNotExists, Disabled	3.0.0
Reguły listy dozwolonych w zasadach adaptacyjnej kontroli aplikacji powinny zostać zaktualizowane	Monitoruj zmiany zachowania grup maszyn skonfigurowanych do inspekcji przez adaptacyjne mechanizmy kontroli aplikacji usługi Azure Security Center. Usługa Security Center używa uczenia maszynowego do analizowania uruchomionych procesów na maszynach i sugerowania listy znanych aplikacji bezpiecznych. Są one prezentowane jako zalecane aplikacje umożliwiające stosowanie zasad adaptacyjnego sterowania aplikacjami.	AuditIfNotExists, Disabled	3.0.0

Rejestrowanie i wykrywanie zagrożeń

Włączanie możliwości wykrywania zagrożeń

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft LT-1 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
[Wersja zapoznawcza]: zainstalowane powinny być klastry Kubernetes z obsługą usługi Azure Arc Microsoft Defender dla Chmury	rozszerzenie Microsoft Defender dla Chmury dla usługi Azure Arc zapewnia ochronę przed zagrożeniami dla klastrów Kubernetes z obsługą usługi Arc. Rozszerzenie zbiera dane ze wszystkich węzłów w klastrze i wysyła je do zaplecza usługi Azure Defender for Kubernetes w chmurze w celu dalszej analizy. Dowiedz się więcej w temacie https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	Wersja zapoznawcza 6.0.0
Usługa Azure Defender for App Service powinna być włączona	Usługa Azure Defender for App Service wykorzystuje skalę chmury i widoczność, którą platforma Azure ma jako dostawcę usług w chmurze, do monitorowania typowych ataków aplikacji internetowych.	AuditIfNotExists, Disabled	1.0.3
Serwery usługi Azure Defender dla usługi Azure SQL Database powinny być włączone	Usługa Azure Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych.	AuditIfNotExists, Disabled	1.0.2
Usługa Azure Defender dla usługi Key Vault powinna być włączona	Usługa Azure Defender for Key Vault zapewnia dodatkową warstwę ochrony i analizy zabezpieczeń przez wykrywanie nietypowych i potencjalnie szkodliwych prób uzyskania dostępu do kont magazynu kluczy lub wykorzystania ich.	AuditIfNotExists, Disabled	1.0.3
Usługa Azure Defender dla relacyjnych baz danych typu open source powinna być włączona	Usługa Azure Defender dla relacyjnych baz danych typu open source wykrywa nietypowe działania wskazujące na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. Dowiedz się więcej o możliwościach usługi Azure Defender dla relacyjnych baz danych typu open source pod adresem https://aka.ms/AzDforOpenSourceDBsDocu. Ważne: włączenie tego planu spowoduje naliczanie opłat za ochronę relacyjnych baz danych typu open source. Dowiedz się więcej o cenach na stronie cennika usługi Security Center: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Usługa Azure Defender dla usługi Resource Manager powinna być włączona	Usługa Azure Defender dla usługi Resource Manager automatycznie monitoruje operacje zarządzania zasobami w organizacji. Usługa Azure Defender wykrywa zagrożenia i ostrzega o podejrzanych działaniach. Dowiedz się więcej o możliwościach usługi Azure Defender dla usługi Resource Manager pod adresem https://aka.ms/defender-for-resource-manager . Włączenie tego planu usługi Azure Defender powoduje naliczanie opłat. Dowiedz się więcej o szczegółach cennika dla regionu na stronie cennika usługi Security Center: https://aka.ms/pricing-security-center .	AuditIfNotExists, Disabled	1.0.0
Usługa Azure Defender dla serwerów powinna być włączona	Usługa Azure Defender dla serwerów zapewnia ochronę przed zagrożeniami w czasie rzeczywistym dla obciążeń serwera i generuje zalecenia dotyczące wzmacniania zabezpieczeń, a także alerty dotyczące podejrzanych działań.	AuditIfNotExists, Disabled	1.0.3
Należy włączyć usługę Azure Defender dla serwerów SQL na maszynach	Usługa Azure Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych.	AuditIfNotExists, Disabled	1.0.2
Usługa Azure Defender for SQL powinna być włączona dla niechronionych serwerów Azure SQL	Przeprowadzanie inspekcji serwerów SQL bez usługi Advanced Data Security	AuditIfNotExists, Disabled	2.0.1
Usługa Azure Defender for SQL powinna być włączona dla niechronionych serwerów elastycznych PostgreSQL	Inspekcja serwerów elastycznych PostgreSQL bez usługi Advanced Data Security	AuditIfNotExists, Disabled	1.0.0
Usługa Azure Defender for SQL powinna być włączona dla niechronionych wystąpień zarządzanych SQL	Przeprowadź inspekcję każdego wystąpienia zarządzanego SQL bez zaawansowanych zabezpieczeń danych.	AuditIfNotExists, Disabled	1.0.2
Klastry usługi Azure Kubernetes Service powinny mieć włączony profil usługi Defender	Usługa Microsoft Defender for Containers zapewnia natywne dla chmury funkcje zabezpieczeń platformy Kubernetes, w tym zabezpieczenia środowiska, ochronę obciążeń i ochronę w czasie wykonywania. Po włączeniu elementu SecurityProfile.AzureDefender w klastrze usługi Azure Kubernetes Service agent zostanie wdrożony w klastrze w celu zbierania danych zdarzeń zabezpieczeń. Dowiedz się więcej o usłudze Microsoft Defender for Containers w usłudze https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks	Inspekcja, wyłączone	2.0.1
Należy włączyć usługę Microsoft CSPM w usłudze Defender	Zarządzanie stanem zabezpieczeń w chmurze (CSPM) w usłudze Defender zapewnia ulepszone możliwości stanu oraz nowy inteligentny wykres zabezpieczeń w chmurze, który ułatwia identyfikowanie, określanie priorytetów i zmniejszanie ryzyka. CSPM w usłudze Defender jest dostępna oprócz bezpłatnych podstawowych funkcji stanu zabezpieczeń, które są domyślnie włączone w Defender dla Chmury.	AuditIfNotExists, Disabled	1.0.0
Należy włączyć usługę Microsoft Defender dla interfejsów API	Usługa Microsoft Defender dla interfejsów API oferuje nowe funkcje odnajdywania, ochrony, wykrywania i reagowania w celu monitorowania typowych ataków opartych na interfejsie API i błędów konfiguracji zabezpieczeń.	AuditIfNotExists, Disabled	1.0.3
Należy włączyć usługę Microsoft Defender for Containers	Usługa Microsoft Defender for Containers zapewnia ochronę przed zabezpieczeniami, ocenę luk w zabezpieczeniach i ochronę w czasie wykonywania dla środowisk Platformy Azure, hybrydowej i wielochmurowej platformy Kubernetes.	AuditIfNotExists, Disabled	1.0.0
Usługa Microsoft Defender for SQL powinna być włączona dla niechronionych obszarów roboczych usługi Synapse	Włącz usługę Defender for SQL, aby chronić obszary robocze usługi Synapse. Usługa Defender for SQL monitoruje usługę Synapse SQL w celu wykrywania nietypowych działań wskazujących na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich.	AuditIfNotExists, Disabled	1.0.0
Stan usługi Microsoft Defender for SQL powinien być chroniony dla serwerów SQL z obsługą usługi Arc	Usługa Microsoft Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać na zagrożenia dla baz danych SQL, odnajdywanie i klasyfikowanie poufnych danych. Po włączeniu stan ochrony wskazuje, że zasób jest aktywnie monitorowany. Nawet jeśli usługa Defender jest włączona, należy zweryfikować wiele ustawień konfiguracji na agencie, komputerze, obszarze roboczym i serwerze SQL, aby zapewnić aktywną ochronę.	Inspekcja, wyłączone	1.0.1
Usługa Microsoft Defender for Storage powinna być włączona	Usługa Microsoft Defender for Storage wykrywa potencjalne zagrożenia dla kont magazynu. Pomaga to zapobiec trzem głównym wpływom na dane i obciążenie: złośliwe przekazywanie plików, eksfiltrację poufnych danych i uszkodzenie danych. Nowy plan usługi Defender for Storage obejmuje skanowanie złośliwego oprogramowania i wykrywanie zagrożeń poufnych danych. Ten plan zapewnia również przewidywalną strukturę cenową (na konto magazynu) na potrzeby kontroli nad pokryciem i kosztami.	AuditIfNotExists, Disabled	1.0.0
Automatyczne aprowizowanie programu SQL Server powinno być włączone dla serwerów SQL w planie maszyn	Aby upewnić się, że maszyny wirtualne SQL i serwery SQL z obsługą usługi Arc są chronione, upewnij się, że docelowy agent monitorowania sql jest skonfigurowany do automatycznego wdrażania. Jest to również konieczne, jeśli wcześniej skonfigurowano automatyczne aprowizowanie programu Microsoft Monitoring Agent, ponieważ ten składnik jest przestarzały. Dowiedz się więcej: https://aka.ms/SQLAMAMigration	AuditIfNotExists, Disabled	1.0.0
Funkcja Windows Defender Exploit Guard powinna być włączona na maszynach	Program Windows Defender Exploit Guard używa agenta konfiguracji gościa usługi Azure Policy. Funkcja Exploit Guard ma cztery składniki, które są przeznaczone do blokowania urządzeń przed szeroką gamą wektorów ataków i blokowania zachowań często używanych w atakach związanych ze złośliwym oprogramowaniem, umożliwiając przedsiębiorstwom zrównoważenie wymagań dotyczących ryzyka zabezpieczeń i produktywności (tylko system Windows).	AuditIfNotExists, Disabled	2.0.0

Włączanie wykrywania zagrożeń na potrzeby zarządzania tożsamościami i dostępem

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft LT-2 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
[Wersja zapoznawcza]: zainstalowane powinny być klastry Kubernetes z obsługą usługi Azure Arc Microsoft Defender dla Chmury	rozszerzenie Microsoft Defender dla Chmury dla usługi Azure Arc zapewnia ochronę przed zagrożeniami dla klastrów Kubernetes z obsługą usługi Arc. Rozszerzenie zbiera dane ze wszystkich węzłów w klastrze i wysyła je do zaplecza usługi Azure Defender for Kubernetes w chmurze w celu dalszej analizy. Dowiedz się więcej w temacie https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	Wersja zapoznawcza 6.0.0
Usługa Azure Defender for App Service powinna być włączona	Usługa Azure Defender for App Service wykorzystuje skalę chmury i widoczność, którą platforma Azure ma jako dostawcę usług w chmurze, do monitorowania typowych ataków aplikacji internetowych.	AuditIfNotExists, Disabled	1.0.3
Serwery usługi Azure Defender dla usługi Azure SQL Database powinny być włączone	Usługa Azure Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych.	AuditIfNotExists, Disabled	1.0.2
Usługa Azure Defender dla usługi Key Vault powinna być włączona	Usługa Azure Defender for Key Vault zapewnia dodatkową warstwę ochrony i analizy zabezpieczeń przez wykrywanie nietypowych i potencjalnie szkodliwych prób uzyskania dostępu do kont magazynu kluczy lub wykorzystania ich.	AuditIfNotExists, Disabled	1.0.3
Usługa Azure Defender dla relacyjnych baz danych typu open source powinna być włączona	Usługa Azure Defender dla relacyjnych baz danych typu open source wykrywa nietypowe działania wskazujące na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. Dowiedz się więcej o możliwościach usługi Azure Defender dla relacyjnych baz danych typu open source pod adresem https://aka.ms/AzDforOpenSourceDBsDocu. Ważne: włączenie tego planu spowoduje naliczanie opłat za ochronę relacyjnych baz danych typu open source. Dowiedz się więcej o cenach na stronie cennika usługi Security Center: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Usługa Azure Defender dla usługi Resource Manager powinna być włączona	Usługa Azure Defender dla usługi Resource Manager automatycznie monitoruje operacje zarządzania zasobami w organizacji. Usługa Azure Defender wykrywa zagrożenia i ostrzega o podejrzanych działaniach. Dowiedz się więcej o możliwościach usługi Azure Defender dla usługi Resource Manager pod adresem https://aka.ms/defender-for-resource-manager . Włączenie tego planu usługi Azure Defender powoduje naliczanie opłat. Dowiedz się więcej o szczegółach cennika dla regionu na stronie cennika usługi Security Center: https://aka.ms/pricing-security-center .	AuditIfNotExists, Disabled	1.0.0
Usługa Azure Defender dla serwerów powinna być włączona	Usługa Azure Defender dla serwerów zapewnia ochronę przed zagrożeniami w czasie rzeczywistym dla obciążeń serwera i generuje zalecenia dotyczące wzmacniania zabezpieczeń, a także alerty dotyczące podejrzanych działań.	AuditIfNotExists, Disabled	1.0.3
Należy włączyć usługę Azure Defender dla serwerów SQL na maszynach	Usługa Azure Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych.	AuditIfNotExists, Disabled	1.0.2
Usługa Azure Defender for SQL powinna być włączona dla niechronionych serwerów Azure SQL	Przeprowadzanie inspekcji serwerów SQL bez usługi Advanced Data Security	AuditIfNotExists, Disabled	2.0.1
Usługa Azure Defender for SQL powinna być włączona dla niechronionych serwerów elastycznych PostgreSQL	Inspekcja serwerów elastycznych PostgreSQL bez usługi Advanced Data Security	AuditIfNotExists, Disabled	1.0.0
Usługa Azure Defender for SQL powinna być włączona dla niechronionych wystąpień zarządzanych SQL	Przeprowadź inspekcję każdego wystąpienia zarządzanego SQL bez zaawansowanych zabezpieczeń danych.	AuditIfNotExists, Disabled	1.0.2
Klastry usługi Azure Kubernetes Service powinny mieć włączony profil usługi Defender	Usługa Microsoft Defender for Containers zapewnia natywne dla chmury funkcje zabezpieczeń platformy Kubernetes, w tym zabezpieczenia środowiska, ochronę obciążeń i ochronę w czasie wykonywania. Po włączeniu elementu SecurityProfile.AzureDefender w klastrze usługi Azure Kubernetes Service agent zostanie wdrożony w klastrze w celu zbierania danych zdarzeń zabezpieczeń. Dowiedz się więcej o usłudze Microsoft Defender for Containers w usłudze https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks	Inspekcja, wyłączone	2.0.1
Należy włączyć usługę Microsoft CSPM w usłudze Defender	Zarządzanie stanem zabezpieczeń w chmurze (CSPM) w usłudze Defender zapewnia ulepszone możliwości stanu oraz nowy inteligentny wykres zabezpieczeń w chmurze, który ułatwia identyfikowanie, określanie priorytetów i zmniejszanie ryzyka. CSPM w usłudze Defender jest dostępna oprócz bezpłatnych podstawowych funkcji stanu zabezpieczeń, które są domyślnie włączone w Defender dla Chmury.	AuditIfNotExists, Disabled	1.0.0
Należy włączyć usługę Microsoft Defender for Containers	Usługa Microsoft Defender for Containers zapewnia ochronę przed zabezpieczeniami, ocenę luk w zabezpieczeniach i ochronę w czasie wykonywania dla środowisk Platformy Azure, hybrydowej i wielochmurowej platformy Kubernetes.	AuditIfNotExists, Disabled	1.0.0
Usługa Microsoft Defender for SQL powinna być włączona dla niechronionych obszarów roboczych usługi Synapse	Włącz usługę Defender for SQL, aby chronić obszary robocze usługi Synapse. Usługa Defender for SQL monitoruje usługę Synapse SQL w celu wykrywania nietypowych działań wskazujących na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich.	AuditIfNotExists, Disabled	1.0.0
Stan usługi Microsoft Defender for SQL powinien być chroniony dla serwerów SQL z obsługą usługi Arc	Usługa Microsoft Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać na zagrożenia dla baz danych SQL, odnajdywanie i klasyfikowanie poufnych danych. Po włączeniu stan ochrony wskazuje, że zasób jest aktywnie monitorowany. Nawet jeśli usługa Defender jest włączona, należy zweryfikować wiele ustawień konfiguracji na agencie, komputerze, obszarze roboczym i serwerze SQL, aby zapewnić aktywną ochronę.	Inspekcja, wyłączone	1.0.1
Usługa Microsoft Defender for Storage powinna być włączona	Usługa Microsoft Defender for Storage wykrywa potencjalne zagrożenia dla kont magazynu. Pomaga to zapobiec trzem głównym wpływom na dane i obciążenie: złośliwe przekazywanie plików, eksfiltrację poufnych danych i uszkodzenie danych. Nowy plan usługi Defender for Storage obejmuje skanowanie złośliwego oprogramowania i wykrywanie zagrożeń poufnych danych. Ten plan zapewnia również przewidywalną strukturę cenową (na konto magazynu) na potrzeby kontroli nad pokryciem i kosztami.	AuditIfNotExists, Disabled	1.0.0
Automatyczne aprowizowanie programu SQL Server powinno być włączone dla serwerów SQL w planie maszyn	Aby upewnić się, że maszyny wirtualne SQL i serwery SQL z obsługą usługi Arc są chronione, upewnij się, że docelowy agent monitorowania sql jest skonfigurowany do automatycznego wdrażania. Jest to również konieczne, jeśli wcześniej skonfigurowano automatyczne aprowizowanie programu Microsoft Monitoring Agent, ponieważ ten składnik jest przestarzały. Dowiedz się więcej: https://aka.ms/SQLAMAMigration	AuditIfNotExists, Disabled	1.0.0
Funkcja Windows Defender Exploit Guard powinna być włączona na maszynach	Program Windows Defender Exploit Guard używa agenta konfiguracji gościa usługi Azure Policy. Funkcja Exploit Guard ma cztery składniki, które są przeznaczone do blokowania urządzeń przed szeroką gamą wektorów ataków i blokowania zachowań często używanych w atakach związanych ze złośliwym oprogramowaniem, umożliwiając przedsiębiorstwom zrównoważenie wymagań dotyczących ryzyka zabezpieczeń i produktywności (tylko system Windows).	AuditIfNotExists, Disabled	2.0.0

Włączanie rejestrowania na potrzeby badania zabezpieczeń

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft LT-3 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Aplikacje usługi App Service powinny mieć włączone dzienniki zasobów	Inspekcja włączania dzienników zasobów w aplikacji. Dzięki temu można ponownie utworzyć ślady aktywności na potrzeby badania, jeśli wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona.	AuditIfNotExists, Disabled	2.0.1
Inspekcja na serwerze SQL powinna być włączona	Inspekcja programu SQL Server powinna być włączona w celu śledzenia działań bazy danych we wszystkich bazach danych na serwerze i zapisywania ich w dzienniku inspekcji.	AuditIfNotExists, Disabled	2.0.0
Dzienniki zasobów w usłudze Azure Data Lake Store powinny być włączone	Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci	AuditIfNotExists, Disabled	5.0.0
Dzienniki zasobów w obszarach roboczych usługi Azure Databricks powinny być włączone	Dzienniki zasobów umożliwiają ponowne tworzenie śladów aktywności do celów badania w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci.	AuditIfNotExists, Disabled	1.0.1
Dzienniki zasobów w usłudze Azure Kubernetes Service powinny być włączone	Dzienniki zasobów usługi Azure Kubernetes Service mogą pomóc w ponownym utworzeniu śladów aktywności podczas badania zdarzeń zabezpieczeń. Włącz tę funkcję, aby upewnić się, że dzienniki będą istnieć w razie potrzeby	AuditIfNotExists, Disabled	1.0.0
Dzienniki zasobów w obszarze roboczym usługi Azure Machine Edukacja powinny być włączone	Dzienniki zasobów umożliwiają ponowne tworzenie śladów aktywności do celów badania w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci.	AuditIfNotExists, Disabled	1.0.1
Dzienniki zasobów w usłudze Azure Stream Analytics powinny być włączone	Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci	AuditIfNotExists, Disabled	5.0.0
Dzienniki zasobów na kontach usługi Batch powinny być włączone	Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci	AuditIfNotExists, Disabled	5.0.0
Dzienniki zasobów w usłudze Data Lake Analytics powinny być włączone	Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci	AuditIfNotExists, Disabled	5.0.0
Dzienniki zasobów w centrum zdarzeń powinny być włączone	Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci	AuditIfNotExists, Disabled	5.0.0
Dzienniki zasobów w usłudze IoT Hub powinny być włączone	Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci	AuditIfNotExists, Disabled	3.1.0
Dzienniki zasobów w usłudze Key Vault powinny być włączone	Inspekcja włączania dzienników zasobów. Dzięki temu można ponownie utworzyć ślady aktywności do celów badania w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci	AuditIfNotExists, Disabled	5.0.0
Dzienniki zasobów w usłudze Logic Apps powinny być włączone	Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci	AuditIfNotExists, Disabled	5.1.0
Dzienniki zasobów w usługa wyszukiwania powinny być włączone	Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci	AuditIfNotExists, Disabled	5.0.0
Dzienniki zasobów w usłudze Service Bus powinny być włączone	Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci	AuditIfNotExists, Disabled	5.0.0

Włączanie rejestrowania sieci na potrzeby badania zabezpieczeń

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft LT-4 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
[Wersja zapoznawcza]: Agent zbierania danych ruchu sieciowego powinien być zainstalowany na maszynach wirtualnych z systemem Linux	Usługa Security Center używa agenta zależności firmy Microsoft do zbierania danych ruchu sieciowego z maszyn wirtualnych platformy Azure w celu włączenia zaawansowanych funkcji ochrony sieci, takich jak wizualizacja ruchu na mapie sieci, rekomendacje dotyczące wzmacniania zabezpieczeń sieci i określone zagrożenia sieciowe.	AuditIfNotExists, Disabled	1.0.2—wersja zapoznawcza
[Wersja zapoznawcza]: Agent zbierania danych ruchu sieciowego powinien być zainstalowany na maszynach wirtualnych z systemem Windows	Usługa Security Center używa agenta zależności firmy Microsoft do zbierania danych ruchu sieciowego z maszyn wirtualnych platformy Azure w celu włączenia zaawansowanych funkcji ochrony sieci, takich jak wizualizacja ruchu na mapie sieci, rekomendacje dotyczące wzmacniania zabezpieczeń sieci i określone zagrożenia sieciowe.	AuditIfNotExists, Disabled	1.0.2—wersja zapoznawcza

Scentralizowane zarządzanie dziennikami zabezpieczeń i analiza

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft LT-5 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
[Wersja zapoznawcza]: Rozszerzenie usługi Log Analytics powinno być zainstalowane na maszynach z usługą Azure Arc z systemem Linux	Te zasady przeprowadzają inspekcję maszyn usługi Azure Arc z systemem Linux, jeśli rozszerzenie usługi Log Analytics nie jest zainstalowane.	AuditIfNotExists, Disabled	1.0.1—wersja zapoznawcza
[Wersja zapoznawcza]: rozszerzenie usługi Log Analytics powinno być zainstalowane na maszynach z systemem Windows Azure Arc	Te zasady przeprowadzają inspekcję maszyn z systemem Windows Azure Arc, jeśli rozszerzenie usługi Log Analytics nie jest zainstalowane.	AuditIfNotExists, Disabled	1.0.1—wersja zapoznawcza
Automatyczna aprowizacja agenta usługi Log Analytics powinna być włączona w ramach subskrypcji	Aby monitorować luki w zabezpieczeniach i zagrożenia, usługa Azure Security Center zbiera dane z maszyn wirtualnych platformy Azure. Dane są zbierane przez agenta usługi Log Analytics, wcześniej znanego jako program Microsoft Monitoring Agent (MMA), który odczytuje różne konfiguracje i dzienniki zdarzeń związane z zabezpieczeniami z maszyny i kopiuje dane do obszaru roboczego usługi Log Analytics na potrzeby analizy. Zalecamy włączenie automatycznej aprowizacji w celu automatycznego wdrożenia agenta na wszystkich obsługiwanych maszynach wirtualnych platformy Azure i wszystkich nowych utworzonych maszynach wirtualnych platformy Azure.	AuditIfNotExists, Disabled	1.0.1
Maszyny z systemem Linux powinny mieć zainstalowanego agenta usługi Log Analytics w usłudze Azure Arc	Maszyny są niezgodne, jeśli agent usługi Log Analytics nie jest zainstalowany na serwerze z systemem Linux z obsługą usługi Azure Arc.	AuditIfNotExists, Disabled	1.1.0
Agent usługi Log Analytics powinien być zainstalowany na maszynie wirtualnej na potrzeby monitorowania usługi Azure Security Center	Te zasady przeprowadzają inspekcję wszystkich maszyn wirtualnych z systemem Windows/Linux, jeśli agent usługi Log Analytics nie jest zainstalowany, którego usługa Security Center używa do monitorowania luk w zabezpieczeniach i zagrożeń	AuditIfNotExists, Disabled	1.0.0
Agent usługi Log Analytics powinien być zainstalowany na zestawach skalowania maszyn wirtualnych na potrzeby monitorowania usługi Azure Security Center	Usługa Security Center zbiera dane z maszyn wirtualnych platformy Azure w celu monitorowania luk w zabezpieczeniach i zagrożeń.	AuditIfNotExists, Disabled	1.0.0
Maszyny z systemem Windows powinny mieć zainstalowanego agenta usługi Log Analytics w usłudze Azure Arc	Maszyny są niezgodne, jeśli agent usługi Log Analytics nie jest zainstalowany na serwerze z systemem Windows z obsługą usługi Azure Arc.	AuditIfNotExists, Disabled	2.0.0

Konfigurowanie przechowywania magazynu dzienników

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft LT-6 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Serwery SQL z inspekcją miejsca docelowego konta magazynu powinny być skonfigurowane z 90-dniowym przechowywaniem lub wyższym	W celach badania zdarzeń zalecamy ustawienie przechowywania danych dla inspekcji programu SQL Server na koncie magazynu na co najmniej 90 dni. Upewnij się, że spełniasz niezbędne reguły przechowywania dla regionów, w których działasz. Czasami jest to wymagane w celu zachowania zgodności ze standardami prawnymi.	AuditIfNotExists, Disabled	3.0.0

Reagowania na incydenty

Przygotowanie — powiadomienie o zdarzeniu konfiguracji

IDENTYFIKATOR: Własność środowiska IR-2 testu porównawczego zabezpieczeń w chmurze firmy Microsoft: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Powiadomienia e-mail dotyczące alertów o wysokiej ważności powinny być włączone	Aby upewnić się, że odpowiednie osoby w organizacji są powiadamiane o potencjalnym naruszeniu zabezpieczeń w jednej z Twoich subskrypcji, włącz powiadomienia e-mail dla alertów o wysokiej ważności w usłudze Security Center.	AuditIfNotExists, Disabled	1.1.0
Należy włączyć powiadomienie e-mail właściciela subskrypcji dla alertów o wysokiej ważności	Aby upewnić się, że właściciele subskrypcji są powiadamiani o potencjalnym naruszeniu zabezpieczeń w ramach subskrypcji, ustaw powiadomienia e-mail właścicielom subskrypcji na potrzeby alertów o wysokiej ważności w usłudze Security Center.	AuditIfNotExists, Disabled	2.1.0
Subskrypcje powinny mieć kontaktowy adres e-mail w przypadku problemów z zabezpieczeniami	Aby upewnić się, że odpowiednie osoby w organizacji są powiadamiane o potencjalnym naruszeniu zabezpieczeń w jednej z Twoich subskrypcji, ustaw kontakt zabezpieczeń, aby otrzymywać powiadomienia e-mail z usługi Security Center.	AuditIfNotExists, Disabled	1.0.1

Wykrywanie i analiza — tworzenie zdarzeń na podstawie alertów wysokiej jakości

Identyfikator: Test porównawczy zabezpieczeń chmury firmy Microsoft ir-3 : współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Usługa Azure Defender for App Service powinna być włączona	Usługa Azure Defender for App Service wykorzystuje skalę chmury i widoczność, którą platforma Azure ma jako dostawcę usług w chmurze, do monitorowania typowych ataków aplikacji internetowych.	AuditIfNotExists, Disabled	1.0.3
Serwery usługi Azure Defender dla usługi Azure SQL Database powinny być włączone	Usługa Azure Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych.	AuditIfNotExists, Disabled	1.0.2
Usługa Azure Defender dla usługi Key Vault powinna być włączona	Usługa Azure Defender for Key Vault zapewnia dodatkową warstwę ochrony i analizy zabezpieczeń przez wykrywanie nietypowych i potencjalnie szkodliwych prób uzyskania dostępu do kont magazynu kluczy lub wykorzystania ich.	AuditIfNotExists, Disabled	1.0.3
Usługa Azure Defender dla relacyjnych baz danych typu open source powinna być włączona	Usługa Azure Defender dla relacyjnych baz danych typu open source wykrywa nietypowe działania wskazujące na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. Dowiedz się więcej o możliwościach usługi Azure Defender dla relacyjnych baz danych typu open source pod adresem https://aka.ms/AzDforOpenSourceDBsDocu. Ważne: włączenie tego planu spowoduje naliczanie opłat za ochronę relacyjnych baz danych typu open source. Dowiedz się więcej o cenach na stronie cennika usługi Security Center: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Usługa Azure Defender dla usługi Resource Manager powinna być włączona	Usługa Azure Defender dla usługi Resource Manager automatycznie monitoruje operacje zarządzania zasobami w organizacji. Usługa Azure Defender wykrywa zagrożenia i ostrzega o podejrzanych działaniach. Dowiedz się więcej o możliwościach usługi Azure Defender dla usługi Resource Manager pod adresem https://aka.ms/defender-for-resource-manager . Włączenie tego planu usługi Azure Defender powoduje naliczanie opłat. Dowiedz się więcej o szczegółach cennika dla regionu na stronie cennika usługi Security Center: https://aka.ms/pricing-security-center .	AuditIfNotExists, Disabled	1.0.0
Usługa Azure Defender dla serwerów powinna być włączona	Usługa Azure Defender dla serwerów zapewnia ochronę przed zagrożeniami w czasie rzeczywistym dla obciążeń serwera i generuje zalecenia dotyczące wzmacniania zabezpieczeń, a także alerty dotyczące podejrzanych działań.	AuditIfNotExists, Disabled	1.0.3
Należy włączyć usługę Azure Defender dla serwerów SQL na maszynach	Usługa Azure Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych.	AuditIfNotExists, Disabled	1.0.2
Usługa Azure Defender for SQL powinna być włączona dla niechronionych serwerów Azure SQL	Przeprowadzanie inspekcji serwerów SQL bez usługi Advanced Data Security	AuditIfNotExists, Disabled	2.0.1
Usługa Azure Defender for SQL powinna być włączona dla niechronionych serwerów elastycznych PostgreSQL	Inspekcja serwerów elastycznych PostgreSQL bez usługi Advanced Data Security	AuditIfNotExists, Disabled	1.0.0
Usługa Azure Defender for SQL powinna być włączona dla niechronionych wystąpień zarządzanych SQL	Przeprowadź inspekcję każdego wystąpienia zarządzanego SQL bez zaawansowanych zabezpieczeń danych.	AuditIfNotExists, Disabled	1.0.2
Należy włączyć usługę Microsoft CSPM w usłudze Defender	Zarządzanie stanem zabezpieczeń w chmurze (CSPM) w usłudze Defender zapewnia ulepszone możliwości stanu oraz nowy inteligentny wykres zabezpieczeń w chmurze, który ułatwia identyfikowanie, określanie priorytetów i zmniejszanie ryzyka. CSPM w usłudze Defender jest dostępna oprócz bezpłatnych podstawowych funkcji stanu zabezpieczeń, które są domyślnie włączone w Defender dla Chmury.	AuditIfNotExists, Disabled	1.0.0
Należy włączyć usługę Microsoft Defender dla interfejsów API	Usługa Microsoft Defender dla interfejsów API oferuje nowe funkcje odnajdywania, ochrony, wykrywania i reagowania w celu monitorowania typowych ataków opartych na interfejsie API i błędów konfiguracji zabezpieczeń.	AuditIfNotExists, Disabled	1.0.3
Należy włączyć usługę Microsoft Defender for Containers	Usługa Microsoft Defender for Containers zapewnia ochronę przed zabezpieczeniami, ocenę luk w zabezpieczeniach i ochronę w czasie wykonywania dla środowisk Platformy Azure, hybrydowej i wielochmurowej platformy Kubernetes.	AuditIfNotExists, Disabled	1.0.0
Usługa Microsoft Defender for SQL powinna być włączona dla niechronionych obszarów roboczych usługi Synapse	Włącz usługę Defender for SQL, aby chronić obszary robocze usługi Synapse. Usługa Defender for SQL monitoruje usługę Synapse SQL w celu wykrywania nietypowych działań wskazujących na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich.	AuditIfNotExists, Disabled	1.0.0
Stan usługi Microsoft Defender for SQL powinien być chroniony dla serwerów SQL z obsługą usługi Arc	Usługa Microsoft Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać na zagrożenia dla baz danych SQL, odnajdywanie i klasyfikowanie poufnych danych. Po włączeniu stan ochrony wskazuje, że zasób jest aktywnie monitorowany. Nawet jeśli usługa Defender jest włączona, należy zweryfikować wiele ustawień konfiguracji na agencie, komputerze, obszarze roboczym i serwerze SQL, aby zapewnić aktywną ochronę.	Inspekcja, wyłączone	1.0.1
Usługa Microsoft Defender for Storage powinna być włączona	Usługa Microsoft Defender for Storage wykrywa potencjalne zagrożenia dla kont magazynu. Pomaga to zapobiec trzem głównym wpływom na dane i obciążenie: złośliwe przekazywanie plików, eksfiltrację poufnych danych i uszkodzenie danych. Nowy plan usługi Defender for Storage obejmuje skanowanie złośliwego oprogramowania i wykrywanie zagrożeń poufnych danych. Ten plan zapewnia również przewidywalną strukturę cenową (na konto magazynu) na potrzeby kontroli nad pokryciem i kosztami.	AuditIfNotExists, Disabled	1.0.0
Automatyczne aprowizowanie programu SQL Server powinno być włączone dla serwerów SQL w planie maszyn	Aby upewnić się, że maszyny wirtualne SQL i serwery SQL z obsługą usługi Arc są chronione, upewnij się, że docelowy agent monitorowania sql jest skonfigurowany do automatycznego wdrażania. Jest to również konieczne, jeśli wcześniej skonfigurowano automatyczne aprowizowanie programu Microsoft Monitoring Agent, ponieważ ten składnik jest przestarzały. Dowiedz się więcej: https://aka.ms/SQLAMAMigration	AuditIfNotExists, Disabled	1.0.0

Wykrywanie i analiza — badanie zdarzenia

IDENTYFIKATOR: Test porównawczy zabezpieczeń chmury firmy Microsoft ir-4 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Usługa Network Watcher powinna być włączona	Network Watcher to usługa regionalna, która umożliwia monitorowanie i diagnozowanie warunków na poziomie scenariusza sieci w systemach, do i z platformy Azure. Monitorowanie na poziomie scenariusza umożliwia diagnozowanie problemów na koniec widoku poziomu sieci. Wymagane jest utworzenie grupy zasobów usługi Network Watcher w każdym regionie, w którym znajduje się sieć wirtualna. Alert jest włączony, jeśli grupa zasobów usługi Network Watcher nie jest dostępna w określonym regionie.	AuditIfNotExists, Disabled	3.0.0

Wykrywanie i analiza — określanie priorytetów zdarzeń

Identyfikator: Test porównawczy zabezpieczeń chmury firmy AMicrosoft IR-5 : Współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Usługa Azure Defender for App Service powinna być włączona	Usługa Azure Defender for App Service wykorzystuje skalę chmury i widoczność, którą platforma Azure ma jako dostawcę usług w chmurze, do monitorowania typowych ataków aplikacji internetowych.	AuditIfNotExists, Disabled	1.0.3
Serwery usługi Azure Defender dla usługi Azure SQL Database powinny być włączone	Usługa Azure Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych.	AuditIfNotExists, Disabled	1.0.2
Usługa Azure Defender dla usługi Key Vault powinna być włączona	Usługa Azure Defender for Key Vault zapewnia dodatkową warstwę ochrony i analizy zabezpieczeń przez wykrywanie nietypowych i potencjalnie szkodliwych prób uzyskania dostępu do kont magazynu kluczy lub wykorzystania ich.	AuditIfNotExists, Disabled	1.0.3
Usługa Azure Defender dla relacyjnych baz danych typu open source powinna być włączona	Usługa Azure Defender dla relacyjnych baz danych typu open source wykrywa nietypowe działania wskazujące na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. Dowiedz się więcej o możliwościach usługi Azure Defender dla relacyjnych baz danych typu open source pod adresem https://aka.ms/AzDforOpenSourceDBsDocu. Ważne: włączenie tego planu spowoduje naliczanie opłat za ochronę relacyjnych baz danych typu open source. Dowiedz się więcej o cenach na stronie cennika usługi Security Center: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Usługa Azure Defender dla usługi Resource Manager powinna być włączona	Usługa Azure Defender dla usługi Resource Manager automatycznie monitoruje operacje zarządzania zasobami w organizacji. Usługa Azure Defender wykrywa zagrożenia i ostrzega o podejrzanych działaniach. Dowiedz się więcej o możliwościach usługi Azure Defender dla usługi Resource Manager pod adresem https://aka.ms/defender-for-resource-manager . Włączenie tego planu usługi Azure Defender powoduje naliczanie opłat. Dowiedz się więcej o szczegółach cennika dla regionu na stronie cennika usługi Security Center: https://aka.ms/pricing-security-center .	AuditIfNotExists, Disabled	1.0.0
Usługa Azure Defender dla serwerów powinna być włączona	Usługa Azure Defender dla serwerów zapewnia ochronę przed zagrożeniami w czasie rzeczywistym dla obciążeń serwera i generuje zalecenia dotyczące wzmacniania zabezpieczeń, a także alerty dotyczące podejrzanych działań.	AuditIfNotExists, Disabled	1.0.3
Należy włączyć usługę Azure Defender dla serwerów SQL na maszynach	Usługa Azure Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych.	AuditIfNotExists, Disabled	1.0.2
Usługa Azure Defender for SQL powinna być włączona dla niechronionych serwerów Azure SQL	Przeprowadzanie inspekcji serwerów SQL bez usługi Advanced Data Security	AuditIfNotExists, Disabled	2.0.1
Usługa Azure Defender for SQL powinna być włączona dla niechronionych serwerów elastycznych PostgreSQL	Inspekcja serwerów elastycznych PostgreSQL bez usługi Advanced Data Security	AuditIfNotExists, Disabled	1.0.0
Usługa Azure Defender for SQL powinna być włączona dla niechronionych wystąpień zarządzanych SQL	Przeprowadź inspekcję każdego wystąpienia zarządzanego SQL bez zaawansowanych zabezpieczeń danych.	AuditIfNotExists, Disabled	1.0.2
Należy włączyć usługę Microsoft CSPM w usłudze Defender	Zarządzanie stanem zabezpieczeń w chmurze (CSPM) w usłudze Defender zapewnia ulepszone możliwości stanu oraz nowy inteligentny wykres zabezpieczeń w chmurze, który ułatwia identyfikowanie, określanie priorytetów i zmniejszanie ryzyka. CSPM w usłudze Defender jest dostępna oprócz bezpłatnych podstawowych funkcji stanu zabezpieczeń, które są domyślnie włączone w Defender dla Chmury.	AuditIfNotExists, Disabled	1.0.0
Należy włączyć usługę Microsoft Defender dla interfejsów API	Usługa Microsoft Defender dla interfejsów API oferuje nowe funkcje odnajdywania, ochrony, wykrywania i reagowania w celu monitorowania typowych ataków opartych na interfejsie API i błędów konfiguracji zabezpieczeń.	AuditIfNotExists, Disabled	1.0.3
Należy włączyć usługę Microsoft Defender for Containers	Usługa Microsoft Defender for Containers zapewnia ochronę przed zabezpieczeniami, ocenę luk w zabezpieczeniach i ochronę w czasie wykonywania dla środowisk Platformy Azure, hybrydowej i wielochmurowej platformy Kubernetes.	AuditIfNotExists, Disabled	1.0.0
Usługa Microsoft Defender for SQL powinna być włączona dla niechronionych obszarów roboczych usługi Synapse	Włącz usługę Defender for SQL, aby chronić obszary robocze usługi Synapse. Usługa Defender for SQL monitoruje usługę Synapse SQL w celu wykrywania nietypowych działań wskazujących na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich.	AuditIfNotExists, Disabled	1.0.0
Stan usługi Microsoft Defender for SQL powinien być chroniony dla serwerów SQL z obsługą usługi Arc	Usługa Microsoft Defender for SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać na zagrożenia dla baz danych SQL, odnajdywanie i klasyfikowanie poufnych danych. Po włączeniu stan ochrony wskazuje, że zasób jest aktywnie monitorowany. Nawet jeśli usługa Defender jest włączona, należy zweryfikować wiele ustawień konfiguracji na agencie, komputerze, obszarze roboczym i serwerze SQL, aby zapewnić aktywną ochronę.	Inspekcja, wyłączone	1.0.1
Usługa Microsoft Defender for Storage powinna być włączona	Usługa Microsoft Defender for Storage wykrywa potencjalne zagrożenia dla kont magazynu. Pomaga to zapobiec trzem głównym wpływom na dane i obciążenie: złośliwe przekazywanie plików, eksfiltrację poufnych danych i uszkodzenie danych. Nowy plan usługi Defender for Storage obejmuje skanowanie złośliwego oprogramowania i wykrywanie zagrożeń poufnych danych. Ten plan zapewnia również przewidywalną strukturę cenową (na konto magazynu) na potrzeby kontroli nad pokryciem i kosztami.	AuditIfNotExists, Disabled	1.0.0
Automatyczne aprowizowanie programu SQL Server powinno być włączone dla serwerów SQL w planie maszyn	Aby upewnić się, że maszyny wirtualne SQL i serwery SQL z obsługą usługi Arc są chronione, upewnij się, że docelowy agent monitorowania sql jest skonfigurowany do automatycznego wdrażania. Jest to również konieczne, jeśli wcześniej skonfigurowano automatyczne aprowizowanie programu Microsoft Monitoring Agent, ponieważ ten składnik jest przestarzały. Dowiedz się więcej: https://aka.ms/SQLAMAMigration	AuditIfNotExists, Disabled	1.0.0

Zarządzanie lukami w zabezpieczeniach i stanem

Przeprowadzanie inspekcji i wymuszanie bezpiecznych konfiguracji

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft PV-2 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
[Przestarzałe]: Aplikacje funkcji powinny mieć włączoną opcję "Certyfikaty klienta (przychodzące certyfikaty klienta)"	Certyfikaty klienta umożliwiają aplikacji żądanie certyfikatu dla żądań przychodzących. Tylko klienci z prawidłowymi certyfikatami będą mogli uzyskać dostęp do aplikacji. Te zasady zostały zastąpione przez nowe zasady o tej samej nazwie, ponieważ protokół Http 2.0 nie obsługuje certyfikatów klienta.	Inspekcja, wyłączone	3.1.0 — przestarzałe
Nie należy włączać bezpośredniego punktu końcowego zarządzania usługą API Management	Bezpośredni interfejs API REST zarządzania w usłudze Azure API Management pomija mechanizmy kontroli dostępu, autoryzacji i ograniczania dostępu opartej na rolach usługi Azure Resource Manager, co zwiększa lukę w zabezpieczeniach usługi.	Inspekcja, Wyłączone, Odmowa	1.0.2
Minimalna wersja interfejsu API usługi API Management powinna być ustawiona na 2019-12-01 lub nowszą	Aby uniemożliwić udostępnianie wpisów tajnych usługi użytkownikom tylko do odczytu, minimalna wersja interfejsu API powinna być ustawiona na 2019-12-01 lub nowszą.	Inspekcja, Odmowa, Wyłączone	1.0.1
Aplikacje usługi App Service powinny mieć włączone certyfikaty klienta (przychodzące certyfikaty klienta)	Certyfikaty klienta umożliwiają aplikacji żądanie certyfikatu dla żądań przychodzących. Tylko klienci z prawidłowym certyfikatem będą mogli uzyskać dostęp do aplikacji. Te zasady dotyczą aplikacji z ustawioną wersją http na 1.1.	AuditIfNotExists, Disabled	1.0.0
Aplikacje usługi App Service powinny mieć wyłączone zdalne debugowanie	Zdalne debugowanie wymaga otwarcia portów przychodzących w aplikacji usługi App Service. Zdalne debugowanie powinno być wyłączone.	AuditIfNotExists, Disabled	2.0.0
Aplikacje usługi App Service nie powinny mieć skonfigurowanego mechanizmu CORS, aby umożliwić każdemu zasobowi dostęp do aplikacji	Udostępnianie zasobów między źródłami (CORS) nie powinno zezwalać wszystkim domenom na dostęp do aplikacji. Zezwalaj tylko na interakcję z aplikacją tylko wymaganych domen.	AuditIfNotExists, Disabled	2.0.0
Wersja platformy Azure API Management powinna być następująca: stv2	Wersja platformy obliczeniowej stv1 usługi Azure API Management zostanie wycofana z dnia 31 sierpnia 2024 r., a te wystąpienia powinny zostać zmigrowane na platformę obliczeniową stv2 w celu zapewnienia dalszej obsługi. Dowiedz się więcej na stronie https://learn.microsoft.com/azure/api-management/breaking-changes/stv1-platform-retirement-august-2024	Inspekcja, Odmowa, Wyłączone	1.0.0
Klastry Kubernetes z włączoną usługą Azure Arc powinny mieć zainstalowane rozszerzenie usługi Azure Policy	Rozszerzenie usługi Azure Policy dla usługi Azure Arc zapewnia wymuszanie na dużą skalę i zabezpieczenia w klastrach Kubernetes z obsługą usługi Arc w sposób scentralizowany i spójny. Dowiedz się więcej na https://aka.ms/akspolicydoc.	AuditIfNotExists, Disabled	1.1.0
Aby uzyskać najnowsze aktualizacje oprogramowania, należy ponownie utworzyć wystąpienia obliczeniowe usługi Azure Machine Edukacja	Upewnij się, że usługa Azure Machine Edukacja wystąpienia obliczeniowe działają w najnowszym dostępnym systemie operacyjnym. Zabezpieczenia są ulepszane i ograniczane przez uruchomienie najnowszych poprawek zabezpieczeń. Aby uzyskać więcej informacji, zobacz https://aka.ms/azureml-ci-updates/.	[parameters('effects')]	1.0.3
Dodatek usługi Azure Policy dla usługi Kubernetes Service (AKS) powinien być zainstalowany i włączony w klastrach	Dodatek usługi Azure Policy dla usługi Kubernetes Service (AKS) rozszerza usługę Gatekeeper w wersji 3, element webhook kontrolera dostępu dla agenta open policy (OPA), aby zastosować wymuszania i zabezpieczenia na dużą skalę w klastrach w sposób scentralizowany i spójny.	Inspekcja, wyłączone	1.0.2
Aplikacje funkcji powinny mieć wyłączone zdalne debugowanie	Debugowanie zdalne wymaga otwarcia portów przychodzących w aplikacjach funkcji. Zdalne debugowanie powinno być wyłączone.	AuditIfNotExists, Disabled	2.0.0
Aplikacje funkcji nie powinny mieć skonfigurowanego mechanizmu CORS, aby umożliwić każdemu zasobowi dostęp do aplikacji	Udostępnianie zasobów między źródłami (CORS) nie powinno zezwalać wszystkim domenom na dostęp do aplikacji funkcji. Zezwalaj tylko domenom wymaganym na interakcję z aplikacją funkcji.	AuditIfNotExists, Disabled	2.0.0
Limity zasobów procesora CPU i pamięci kontenerów klastra Kubernetes nie powinny przekraczać określonych limitów	Wymuszanie limitów zasobów procesora CPU i pamięci kontenera w celu zapobiegania atakom wyczerpania zasobów w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z obsługą usługi Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	9.2.0
Kontenery klastra Kubernetes nie powinny udostępniać identyfikatora procesu hosta ani przestrzeni nazw IPC hosta	Blokuj udostępnianie przestrzeni nazw identyfikatora procesu hosta i przestrzeni nazw IPC hosta w klastrze Kubernetes. To zalecenie jest częścią ciS 5.2.2 i CIS 5.2.3, które mają na celu poprawę bezpieczeństwa środowisk Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z obsługą usługi Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	5.1.0
Kontenery klastra Kubernetes powinny używać tylko dozwolonych profilów AppArmor	Kontenery powinny używać tylko dozwolonych profilów AppArmor w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z obsługą usługi Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	6.1.1
Kontenery klastra Kubernetes powinny używać tylko dozwolonych funkcji	Ogranicz możliwości zmniejszenia obszaru ataków kontenerów w klastrze Kubernetes. To zalecenie jest częścią ciS 5.2.8 i CIS 5.2.9, które mają na celu poprawę bezpieczeństwa środowisk Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z obsługą usługi Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	6.1.0
Kontenery klastra Kubernetes powinny używać tylko dozwolonych obrazów	Użyj obrazów z zaufanych rejestrów, aby zmniejszyć ryzyko narażenia klastra Kubernetes na nieznane luki w zabezpieczeniach, problemy z zabezpieczeniami i złośliwe obrazy. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	9.2.0
Kontenery klastra Kubernetes powinny działać z głównym systemem plików tylko do odczytu	Uruchamiaj kontenery z głównym systemem plików tylko do odczytu, aby chronić przed zmianami w czasie wykonywania, a złośliwe pliki binarne są dodawane do ścieżki w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z obsługą usługi Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	6.2.0
Woluminy hostpath zasobników klastra Kubernetes powinny używać tylko dozwolonych ścieżek hostów	Ogranicz instalację woluminu HostPath zasobnika do dozwolonych ścieżek hostów w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i platformy Kubernetes z obsługą usługi Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	6.1.1
Zasobniki klastra Kubernetes i kontenery powinny być uruchamiane tylko z zatwierdzonymi identyfikatorami użytkowników i grup	Kontroluj identyfikatory użytkowników, grup podstawowych, grup uzupełniających i grup plików, których zasobniki i kontenery mogą używać do uruchamiania w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z obsługą usługi Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	6.1.1
Zasobniki klastra Kubernetes powinny używać tylko zatwierdzonej sieci hosta i zakresu portów	Ogranicz dostęp zasobnika do sieci hostów i dozwolony zakres portów hosta w klastrze Kubernetes. To zalecenie jest częścią modelu CIS 5.2.4, który ma na celu poprawę bezpieczeństwa środowisk Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z obsługą usługi Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	6.1.0
Usługi klastra Kubernetes powinny nasłuchiwać tylko na dozwolonych portach	Ogranicz usługi do nasłuchiwania tylko na dozwolonych portach, aby zabezpieczyć dostęp do klastra Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z obsługą usługi Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	8.1.0
Klaster Kubernetes nie powinien zezwalać na uprzywilejowane kontenery	Nie zezwalaj na tworzenie uprzywilejowanych kontenerów w klastrze Kubernetes. To zalecenie jest częścią modelu CIS 5.2.1, który ma na celu poprawę bezpieczeństwa środowisk Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z obsługą usługi Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	9.1.0
Klastry Kubernetes powinny wyłączyć automatyczne instalowanie poświadczeń interfejsu API	Wyłącz automatyczne instalowanie poświadczeń interfejsu API, aby zapobiec potencjalnie naruszonemu zasobowi zasobnika uruchamiania poleceń interfejsu API w klastrach Kubernetes. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	4.1.0
Klastry Kubernetes nie powinny zezwalać na eskalację uprawnień kontenera	Nie zezwalaj kontenerom na uruchamianie z eskalacją uprawnień do katalogu głównego w klastrze Kubernetes. To zalecenie jest częścią modelu CIS 5.2.5, który ma na celu poprawę bezpieczeństwa środowisk Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z obsługą usługi Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	7.1.0
Klastry Kubernetes nie powinny udzielać CAP_SYS_ADMIN możliwości zabezpieczeń	Aby zmniejszyć obszar ataków kontenerów, ogranicz CAP_SYS_ADMIN możliwości systemu Linux. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	5.1.0
Klastry Kubernetes nie powinny używać domyślnej przestrzeni nazw	Zapobiegaj użyciu domyślnej przestrzeni nazw w klastrach Kubernetes, aby chronić przed nieautoryzowanym dostępem dla typów zasobów ConfigMap, Pod, Secret, Service i ServiceAccount. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc.	inspekcja, inspekcja, odmowa, odmowa, wyłączone, wyłączone	4.1.0

Przeprowadzanie inspekcji i wymuszanie bezpiecznych konfiguracji dla zasobów obliczeniowych

Identyfikator: Test porównawczy zabezpieczeń chmury firmy Microsoft PV-4 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
[Wersja zapoznawcza]: Serwery usługi Azure Stack HCI powinny mieć spójnie wymuszane zasady kontroli aplikacji	Zastosuj co najmniej podstawowe zasady programu Microsoft WDAC w trybie wymuszanym na wszystkich serwerach usługi Azure Stack HCI. Zastosowane zasady kontroli aplikacji usługi Windows Defender (WDAC) muszą być spójne między serwerami w tym samym klastrze.	Inspekcja, wyłączone, AuditIfNotExists	1.0.0-preview
[Wersja zapoznawcza]: Serwery rozwiązania Azure Stack HCI powinny spełniać wymagania zabezpieczonego rdzenia	Upewnij się, że wszystkie serwery azure Stack HCI spełniają wymagania zabezpieczonego rdzenia. Aby włączyć wymagania serwera zabezpieczonego rdzenia: 1. Na stronie Klastry rozwiązania Azure Stack HCI przejdź do witryny Windows Administracja Center i wybierz pozycję Połączenie. 2. Przejdź do rozszerzenia Zabezpieczenia i wybierz pozycję Zabezpieczone-core. 3. Wybierz dowolne ustawienie, które nie jest włączone, a następnie kliknij przycisk Włącz.	Inspekcja, wyłączone, AuditIfNotExists	1.0.0-preview
[Wersja zapoznawcza]: Rozszerzenie zaświadczania gościa powinno być zainstalowane na obsługiwanych maszynach wirtualnych z systemem Linux	Zainstaluj rozszerzenie zaświadczania gościa na obsługiwanych maszynach wirtualnych z systemem Linux, aby umożliwić usłudze Azure Security Center aktywne potwierdzanie i monitorowanie integralności rozruchu. Po zainstalowaniu integralność rozruchu zostanie zaświadczona za pośrednictwem zaświadczania zdalnego. Ta ocena dotyczy zaufanych maszyn wirtualnych z systemem Linux i zaufanych.	AuditIfNotExists, Disabled	Wersja zapoznawcza 6.0.0
[Wersja zapoznawcza]: Rozszerzenie zaświadczania gościa powinno być zainstalowane w obsługiwanych zestawach skalowania maszyn wirtualnych z systemem Linux	Zainstaluj rozszerzenie zaświadczania gościa na obsługiwanych zestawach skalowania maszyn wirtualnych z systemem Linux, aby umożliwić usłudze Azure Security Center proaktywne potwierdzanie i monitorowanie integralności rozruchu. Po zainstalowaniu integralność rozruchu zostanie zaświadczona za pośrednictwem zaświadczania zdalnego. Ta ocena dotyczy zaufanych zestawów skalowania maszyn wirtualnych z systemem Linux i zaufanych uruchomiń.	AuditIfNotExists, Disabled	Wersja zapoznawcza 5.1.0
[Wersja zapoznawcza]: Rozszerzenie zaświadczania gościa powinno być zainstalowane na obsługiwanych maszynach wirtualnych z systemem Windows	Zainstaluj rozszerzenie zaświadczania gościa na obsługiwanych maszynach wirtualnych, aby umożliwić usłudze Azure Security Center proaktywne potwierdzanie i monitorowanie integralności rozruchu. Po zainstalowaniu integralność rozruchu zostanie zaświadczona za pośrednictwem zaświadczania zdalnego. Ta ocena dotyczy zaufanych maszyn wirtualnych z systemem Windows i zaufanych.	AuditIfNotExists, Disabled	4.0.0-preview
[Wersja zapoznawcza]: Rozszerzenie zaświadczania gościa powinno być zainstalowane w obsługiwanych zestawach skalowania maszyn wirtualnych z systemem Windows	Zainstaluj rozszerzenie zaświadczania gościa na obsługiwanych zestawach skalowania maszyn wirtualnych, aby umożliwić usłudze Azure Security Center proaktywne potwierdzanie i monitorowanie integralności rozruchu. Po zainstalowaniu integralność rozruchu zostanie zaświadczona za pośrednictwem zaświadczania zdalnego. Ta ocena dotyczy zaufanych zestawów skalowania maszyn wirtualnych z systemem Windows i zaufanych.	AuditIfNotExists, Disabled	3.1.0-preview
[Wersja zapoznawcza]: Maszyny wirtualne z systemem Linux powinny używać tylko podpisanych i zaufanych składników rozruchu	Wszystkie składniki rozruchu systemu operacyjnego (moduł ładujący rozruchu, jądro, sterowniki jądra) muszą być podpisane przez zaufanych wydawców. Defender dla Chmury zidentyfikował niezaufane składniki rozruchu systemu operacyjnego na co najmniej jednej maszynie z systemem Linux. Aby chronić maszyny przed potencjalnie złośliwymi składnikami, dodaj je do listy dozwolonych lub usuń zidentyfikowane składniki.	AuditIfNotExists, Disabled	1.0.0-preview
[Wersja zapoznawcza]: Bezpieczny rozruch powinien być włączony na obsługiwanych maszynach wirtualnych z systemem Windows	Włącz bezpieczny rozruch na obsługiwanych maszynach wirtualnych z systemem Windows, aby ograniczyć ryzyko złośliwych i nieautoryzowanych zmian w łańcuchu rozruchu. Po włączeniu będzie można uruchamiać tylko zaufane moduły ładujących, jądra i sterowniki jądra. Ta ocena dotyczy zaufanych maszyn wirtualnych z systemem Windows i zaufanych.	Inspekcja, wyłączone	4.0.0-preview
[Wersja zapoznawcza]: maszyna wirtualna vTPM powinna być włączona na obsługiwanych maszynach wirtualnych	Włącz wirtualne urządzenie TPM na obsługiwanych maszynach wirtualnych, aby ułatwić mierzony rozruch i inne funkcje zabezpieczeń systemu operacyjnego, które wymagają modułu TPM. Po włączeniu maszyny vTPM mogą służyć do potwierdzania integralności rozruchu. Ta ocena dotyczy tylko zaufanych maszyn wirtualnych z obsługą uruchamiania.	Inspekcja, wyłączone	2.0.0-preview
Rozszerzenie konfiguracji gościa powinno być zainstalowane na maszynach	Aby zapewnić bezpieczeństwo konfiguracji ustawień gościa maszyny, zainstaluj rozszerzenie Konfiguracja gościa. Ustawienia gościa monitorowane przez rozszerzenie obejmują konfigurację systemu operacyjnego, konfigurację aplikacji lub obecność oraz ustawienia środowiska. Po zainstalowaniu zasady w gościu będą dostępne, takie jak "Funkcja Windows Exploit Guard powinna być włączona". Dowiedz się więcej na https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.3
Maszyny z systemem Linux powinny spełniać wymagania dotyczące punktu odniesienia zabezpieczeń obliczeń platformy Azure	Wymaga wdrożenia wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. Maszyny są niezgodne, jeśli maszyna nie jest poprawnie skonfigurowana dla jednego z zaleceń w punkcie odniesienia zabezpieczeń obliczeniowych platformy Azure.	AuditIfNotExists, Disabled	2.2.0
Rozszerzenie Konfiguracji gościa maszyn wirtualnych powinno zostać wdrożone z tożsamością zarządzaną przypisaną przez system	Rozszerzenie Konfiguracja gościa wymaga przypisanej przez system tożsamości zarządzanej. Maszyny wirtualne platformy Azure w zakresie tych zasad będą niezgodne, gdy mają zainstalowane rozszerzenie Konfiguracja gościa, ale nie mają przypisanej przez system tożsamości zarządzanej. Dowiedz się więcej na stronie https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1
Maszyny z systemem Windows powinny spełniać wymagania punktu odniesienia zabezpieczeń obliczeń platformy Azure	Wymaga wdrożenia wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. Maszyny są niezgodne, jeśli maszyna nie jest poprawnie skonfigurowana dla jednego z zaleceń w punkcie odniesienia zabezpieczeń obliczeniowych platformy Azure.	AuditIfNotExists, Disabled	2.0.0

Przeprowadzanie ocen luk w zabezpieczeniach

IDENTYFIKATOR: Test porównawczy zabezpieczeń chmury firmy Microsoft PV-5 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Rozwiązanie do oceny luk w zabezpieczeniach powinno być włączone na maszynach wirtualnych	Przeprowadza inspekcję maszyn wirtualnych w celu wykrycia, czy są one uruchamiane obsługiwane rozwiązanie do oceny luk w zabezpieczeniach. Podstawowym składnikiem każdego programu cyberbezpieczeństwa i bezpieczeństwa jest identyfikacja i analiza luk w zabezpieczeniach. Standardowa warstwa cenowa usługi Azure Security Center obejmuje skanowanie w poszukiwaniu luk w zabezpieczeniach dla maszyn wirtualnych bez dodatkowych kosztów. Ponadto usługa Security Center może automatycznie wdrożyć to narzędzie.	AuditIfNotExists, Disabled	3.0.0
Maszyny powinny mieć rozpoznane wyniki wpisów tajnych	Przeprowadza inspekcję maszyn wirtualnych w celu wykrycia, czy zawierają tajne wyniki rozwiązań do skanowania wpisów tajnych na maszynach wirtualnych.	AuditIfNotExists, Disabled	1.0.2
Ocena luk w zabezpieczeniach powinna być włączona w usłudze SQL Managed Instance	Przeprowadź inspekcję każdego wystąpienia zarządzanego SQL, które nie ma włączonych cyklicznych skanów oceny luk w zabezpieczeniach. Ocena luk w zabezpieczeniach może wykrywać, śledzić i pomagać w korygowaniu potencjalnych luk w zabezpieczeniach bazy danych.	AuditIfNotExists, Disabled	1.0.1
Ocena luk w zabezpieczeniach powinna być włączona na serwerach SQL	Przeprowadź inspekcję serwerów Azure SQL, które nie mają prawidłowo skonfigurowanej oceny luk w zabezpieczeniach. Ocena luk w zabezpieczeniach może wykrywać, śledzić i pomagać w korygowaniu potencjalnych luk w zabezpieczeniach bazy danych.	AuditIfNotExists, Disabled	3.0.0

Szybkie i automatyczne korygowanie luk w zabezpieczeniach

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft PV-6 Własność: współdzielona

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
[Wersja zapoznawcza]: Aktualizacje systemu powinny być instalowane na maszynach (obsługiwane przez Centrum aktualizacji)	Na maszynach brakuje systemu, zabezpieczeń i aktualizacji krytycznych. Aktualizacje oprogramowania często obejmują krytyczne poprawki do luk w zabezpieczeniach. Takie dziury są często wykorzystywane w atakach złośliwego oprogramowania, dlatego ważne jest, aby oprogramowanie było aktualizowane. Aby zainstalować wszystkie zaległe poprawki i zabezpieczyć maszyny, wykonaj kroki korygowania.	AuditIfNotExists, Disabled	1.0.0-preview
Obrazy kontenerów usługi Azure Registry powinny mieć rozwiązane luki w zabezpieczeniach (obsługiwane przez Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender)	Ocena luk w zabezpieczeniach obrazu kontenera skanuje rejestr pod kątem powszechnie znanych luk w zabezpieczeniach (CVE) i udostępnia szczegółowy raport luk w zabezpieczeniach dla każdego obrazu. Rozwiązywanie luk w zabezpieczeniach może znacznie poprawić stan zabezpieczeń, zapewniając bezpieczeństwo obrazów przed wdrożeniem.	AuditIfNotExists, Disabled	1.0.1
Platforma Azure z uruchomionymi obrazami kontenerów powinna mieć rozwiązane luki w zabezpieczeniach (obsługiwane przez Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender)	Ocena luk w zabezpieczeniach obrazu kontenera skanuje rejestr pod kątem powszechnie znanych luk w zabezpieczeniach (CVE) i udostępnia szczegółowy raport luk w zabezpieczeniach dla każdego obrazu. To zalecenie zapewnia widoczność narażonych obrazów aktualnie uruchomionych w klastrach Kubernetes. Korygowanie luk w zabezpieczeniach obrazów kontenerów, które są aktualnie uruchomione, ma kluczowe znaczenie dla poprawy stanu zabezpieczeń, co znacznie zmniejsza obszar ataków dla konteneryzowanych obciążeń.	AuditIfNotExists, Disabled	1.0.1
Maszyny należy skonfigurować do okresowego sprawdzania brakujących aktualizacji systemu	Aby zapewnić automatyczne wyzwalanie okresowych ocen brakujących aktualizacji systemu co 24 godziny, właściwość AssessmentMode powinna być ustawiona na wartość "AutomaticByPlatform". Dowiedz się więcej o właściwości AssessmentMode dla systemu Windows: https://aka.ms/computevm-windowspatchassessmentmode, dla systemu Linux: https://aka.ms/computevm-linuxpatchassessmentmode.	Inspekcja, Odmowa, Wyłączone	3.7.0
Bazy danych SQL powinny mieć rozwiązane problemy z lukami w zabezpieczeniach	Monitoruj wyniki skanowania oceny luk w zabezpieczeniach i zalecenia dotyczące sposobu korygowania luk w zabezpieczeniach bazy danych.	AuditIfNotExists, Disabled	4.1.0
Serwery SQL na maszynach powinny mieć rozwiązane problemy z lukami w zabezpieczeniach	Ocena luk w zabezpieczeniach SQL skanuje bazę danych pod kątem luk w zabezpieczeniach i ujawnia wszelkie odchylenia od najlepszych rozwiązań, takich jak błędy konfiguracji, nadmierne uprawnienia i niechronione poufne dane. Rozwiązanie znalezionych luk w zabezpieczeniach może znacznie poprawić stan zabezpieczeń bazy danych.	AuditIfNotExists, Disabled	1.0.0
Należy zainstalować aktualizacje systemu w zestawach skalowania maszyn wirtualnych	Przeprowadź inspekcję sprawdzającą, czy nie brakuje żadnych aktualizacji zabezpieczeń systemu i aktualizacji krytycznych, które powinny być zainstalowane, aby zapewnić bezpieczeństwo zestawów skalowania maszyn wirtualnych z systemami Windows i Linux.	AuditIfNotExists, Disabled	3.0.0
Aktualizacje systemu powinny być instalowane na maszynach	Brakujące aktualizacje systemu zabezpieczeń na serwerach będą monitorowane przez usługę Azure Security Center jako zalecenia	AuditIfNotExists, Disabled	4.0.0
Należy skorygować luki w zabezpieczeniach w konfiguracjach zabezpieczeń kontenera	Przeprowadź inspekcję luk w zabezpieczeniach w konfiguracji zabezpieczeń na maszynach z zainstalowaną platformą Docker i wyświetl ją jako zalecenia w usłudze Azure Security Center.	AuditIfNotExists, Disabled	3.0.0
Należy skorygować luki w zabezpieczeniach w konfiguracji zabezpieczeń na maszynach	Serwery, które nie spełniają skonfigurowanych punktów odniesienia, będą monitorowane przez usługę Azure Security Center jako zalecenia	AuditIfNotExists, Disabled	3.1.0
Należy skorygować luki w zabezpieczeniach w konfiguracji zabezpieczeń w zestawach skalowania maszyn wirtualnych	Przeprowadź inspekcję luk w zabezpieczeniach systemu operacyjnego w zestawach skalowania maszyn wirtualnych, aby chronić je przed atakami.	AuditIfNotExists, Disabled	3.0.0

Zabezpieczenia punktu końcowego

Korzystanie z wykrywania i reagowania punktu końcowego (EDR)

ID: Test porównawczy zabezpieczeń w chmurze firmy Microsoft ES-1 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Usługa Azure Defender dla serwerów powinna być włączona	Usługa Azure Defender dla serwerów zapewnia ochronę przed zagrożeniami w czasie rzeczywistym dla obciążeń serwera i generuje zalecenia dotyczące wzmacniania zabezpieczeń, a także alerty dotyczące podejrzanych działań.	AuditIfNotExists, Disabled	1.0.3

Korzystanie z nowoczesnego oprogramowania chroniącego przed złośliwym oprogramowaniem

ID: Test porównawczy zabezpieczeń w chmurze firmy Microsoft ES-2 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Problemy z kondycją programu Endpoint Protection należy rozwiązać na maszynach	Rozwiąż problemy z kondycją ochrony punktu końcowego na maszynach wirtualnych, aby chronić je przed najnowszymi zagrożeniami i lukami w zabezpieczeniach. Obsługiwane rozwiązania ochrony punktu końcowego w usłudze Azure Security Center zostały opisane tutaj — https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Ocena programu Endpoint Protection jest udokumentowana tutaj — https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection.	AuditIfNotExists, Disabled	1.0.0
Program Endpoint Protection powinien być zainstalowany na maszynach	Aby chronić maszyny przed zagrożeniami i lukami w zabezpieczeniach, zainstaluj obsługiwane rozwiązanie ochrony punktu końcowego.	AuditIfNotExists, Disabled	1.0.0
Rozwiązanie Endpoint Protection powinno być zainstalowane w zestawach skalowania maszyn wirtualnych	Przeprowadź inspekcję istnienia i kondycji rozwiązania ochrony punktu końcowego w zestawach skalowania maszyn wirtualnych, aby chronić je przed zagrożeniami i lukami w zabezpieczeniach.	AuditIfNotExists, Disabled	3.0.0
Monitorowanie braku programu Endpoint Protection w usłudze Azure Security Center	Serwery bez zainstalowanego agenta programu Endpoint Protection będą monitorowane przez usługę Azure Security Center jako zalecenia	AuditIfNotExists, Disabled	3.0.0
Funkcja Windows Defender Exploit Guard powinna być włączona na maszynach	Program Windows Defender Exploit Guard używa agenta konfiguracji gościa usługi Azure Policy. Funkcja Exploit Guard ma cztery składniki, które są przeznaczone do blokowania urządzeń przed szeroką gamą wektorów ataków i blokowania zachowań często używanych w atakach związanych ze złośliwym oprogramowaniem, umożliwiając przedsiębiorstwom zrównoważenie wymagań dotyczących ryzyka zabezpieczeń i produktywności (tylko system Windows).	AuditIfNotExists, Disabled	2.0.0

Upewnij się, że oprogramowanie i podpisy chroniące przed złośliwym oprogramowaniem są aktualizowane

ID: Test porównawczy zabezpieczeń w chmurze firmy Microsoft ES-3 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Problemy z kondycją programu Endpoint Protection należy rozwiązać na maszynach	Rozwiąż problemy z kondycją ochrony punktu końcowego na maszynach wirtualnych, aby chronić je przed najnowszymi zagrożeniami i lukami w zabezpieczeniach. Obsługiwane rozwiązania ochrony punktu końcowego w usłudze Azure Security Center zostały opisane tutaj — https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Ocena programu Endpoint Protection jest udokumentowana tutaj — https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection.	AuditIfNotExists, Disabled	1.0.0

Kopia zapasowa i odzyskiwanie

Zapewnianie regularnych automatycznych kopii zapasowych

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft BR-1 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Usługa Azure Backup powinna być włączona dla maszyn wirtualnych	Zapewnij ochronę maszyn wirtualnych platformy Azure, włączając usługę Azure Backup. Azure Backup to bezpieczne i ekonomiczne rozwiązanie do ochrony danych dla platformy Azure.	AuditIfNotExists, Disabled	3.0.0
Geograficznie nadmiarowa kopia zapasowa powinna być włączona dla usługi Azure Database for MariaDB	Usługa Azure Database for MariaDB umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarowy magazyn kopii zapasowych, w którym dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu w celu zapewnienia opcji odzyskiwania w przypadku awarii regionu. Konfigurowanie geograficznie nadmiarowego magazynu dla kopii zapasowej jest dozwolone tylko podczas tworzenia serwera.	Inspekcja, wyłączone	1.0.1
Należy włączyć geograficznie nadmiarową kopię zapasową dla usługi Azure Database for MySQL	Usługa Azure Database for MySQL umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarowy magazyn kopii zapasowych, w którym dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu w celu zapewnienia opcji odzyskiwania w przypadku awarii regionu. Konfigurowanie geograficznie nadmiarowego magazynu dla kopii zapasowej jest dozwolone tylko podczas tworzenia serwera.	Inspekcja, wyłączone	1.0.1
Należy włączyć geograficznie nadmiarową kopię zapasową dla usługi Azure Database for PostgreSQL	Usługa Azure Database for PostgreSQL umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarowy magazyn kopii zapasowych, w którym dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu w celu zapewnienia opcji odzyskiwania w przypadku awarii regionu. Konfigurowanie geograficznie nadmiarowego magazynu dla kopii zapasowej jest dozwolone tylko podczas tworzenia serwera.	Inspekcja, wyłączone	1.0.1

Ochrona danych kopii zapasowej i odzyskiwania

IDENTYFIKATOR: Test porównawczy zabezpieczeń chmury firmy Microsoft BR-2 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Usługa Azure Backup powinna być włączona dla maszyn wirtualnych	Zapewnij ochronę maszyn wirtualnych platformy Azure, włączając usługę Azure Backup. Azure Backup to bezpieczne i ekonomiczne rozwiązanie do ochrony danych dla platformy Azure.	AuditIfNotExists, Disabled	3.0.0
Geograficznie nadmiarowa kopia zapasowa powinna być włączona dla usługi Azure Database for MariaDB	Usługa Azure Database for MariaDB umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarowy magazyn kopii zapasowych, w którym dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu w celu zapewnienia opcji odzyskiwania w przypadku awarii regionu. Konfigurowanie geograficznie nadmiarowego magazynu dla kopii zapasowej jest dozwolone tylko podczas tworzenia serwera.	Inspekcja, wyłączone	1.0.1
Należy włączyć geograficznie nadmiarową kopię zapasową dla usługi Azure Database for MySQL	Usługa Azure Database for MySQL umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarowy magazyn kopii zapasowych, w którym dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu w celu zapewnienia opcji odzyskiwania w przypadku awarii regionu. Konfigurowanie geograficznie nadmiarowego magazynu dla kopii zapasowej jest dozwolone tylko podczas tworzenia serwera.	Inspekcja, wyłączone	1.0.1
Należy włączyć geograficznie nadmiarową kopię zapasową dla usługi Azure Database for PostgreSQL	Usługa Azure Database for PostgreSQL umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarowy magazyn kopii zapasowych, w którym dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu w celu zapewnienia opcji odzyskiwania w przypadku awarii regionu. Konfigurowanie geograficznie nadmiarowego magazynu dla kopii zapasowej jest dozwolone tylko podczas tworzenia serwera.	Inspekcja, wyłączone	1.0.1

Zabezpieczenia metodyki DevOps

Wymuszanie zabezpieczeń obciążenia w całym cyklu życia metodyki DevOps

IDENTYFIKATOR: Test porównawczy zabezpieczeń w chmurze firmy Microsoft DS-6 Własność: współużytkowany

Nazwisko (Azure Portal)	opis	Efekty	Wersja (GitHub)
Obrazy kontenerów usługi Azure Registry powinny mieć rozwiązane luki w zabezpieczeniach (obsługiwane przez Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender)	Ocena luk w zabezpieczeniach obrazu kontenera skanuje rejestr pod kątem powszechnie znanych luk w zabezpieczeniach (CVE) i udostępnia szczegółowy raport luk w zabezpieczeniach dla każdego obrazu. Rozwiązywanie luk w zabezpieczeniach może znacznie poprawić stan zabezpieczeń, zapewniając bezpieczeństwo obrazów przed wdrożeniem.	AuditIfNotExists, Disabled	1.0.1
Platforma Azure z uruchomionymi obrazami kontenerów powinna mieć rozwiązane luki w zabezpieczeniach (obsługiwane przez Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender)	Ocena luk w zabezpieczeniach obrazu kontenera skanuje rejestr pod kątem powszechnie znanych luk w zabezpieczeniach (CVE) i udostępnia szczegółowy raport luk w zabezpieczeniach dla każdego obrazu. To zalecenie zapewnia widoczność narażonych obrazów aktualnie uruchomionych w klastrach Kubernetes. Korygowanie luk w zabezpieczeniach obrazów kontenerów, które są aktualnie uruchomione, ma kluczowe znaczenie dla poprawy stanu zabezpieczeń, co znacznie zmniejsza obszar ataków dla konteneryzowanych obciążeń.	AuditIfNotExists, Disabled	1.0.1
Należy skorygować luki w zabezpieczeniach w konfiguracjach zabezpieczeń kontenera	Przeprowadź inspekcję luk w zabezpieczeniach w konfiguracji zabezpieczeń na maszynach z zainstalowaną platformą Docker i wyświetl ją jako zalecenia w usłudze Azure Security Center.	AuditIfNotExists, Disabled	3.0.0

Następne kroki

Dodatkowe artykuły dotyczące usługi Azure Policy:

• Omówienie zgodności z przepisami .
• Zobacz strukturę definicji inicjatywy.
• Zapoznaj się z innymi przykładami w przykładach usługi Azure Policy.
• Przejrzyj wyjaśnienie działania zasad.
• Dowiedz się, jak korygować niezgodne zasoby.