Linha de base de segurança do Azure para SERVIÇO DE KUBERNETES DO AZURE (AKS)
Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 ao AKS (Serviço de Kubernetes do Azure). O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança na nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao AKS (Serviço de Kubernetes do Azure).
Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.
Quando um recurso tem definições de Azure Policy relevantes, elas são listadas nessa linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.
Observação
Recursos não aplicáveis a Serviço de Kubernetes do Azure (AKS) foram excluídos. Para ver como o AKS (Serviço de Kubernetes do Azure) é mapeado completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, consulte o arquivo completo de mapeamento de linha de base de segurança do AKS (Serviço de Kubernetes do Azure).
Perfil de segurança
O perfil de segurança resume os comportamentos de alto impacto do AKS (Serviço de Kubernetes do Azure), o que pode resultar em considerações de segurança maiores.
Atributo de comportamento do serviço | Valor |
---|---|
Categoria do Produto | Contêineres |
O cliente pode acessar HOST/SO | Sem Acesso |
O serviço pode ser implantado na rede virtual do cliente | True |
Armazena o conteúdo do cliente em repouso | True |
Segurança de rede
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.
NS-1: estabelecer limites de segmentação de rede
Recursos
Integração de rede virtual
Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | True | Microsoft |
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.
Referência: usar a rede kubenet com seus próprios intervalos de endereços IP no AKS (Serviço de Kubernetes do Azure)
Suporte ao Grupo de Segurança de Rede
Descrição: o tráfego de rede de serviço respeita a atribuição de regra de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | True | Microsoft |
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.
Referência: grupos de segurança de rede
NS-2: proteger serviços de nuvem com controles de rede
Recursos
Link Privado do Azure
Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não deve ser confundida com NSG ou Firewall do Azure). Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: implante pontos de extremidade privados para todos os recursos do Azure que dão suporte ao recurso Link Privado, para estabelecer um ponto de acesso privado para os recursos.
Referência: criar um cluster de Serviço de Kubernetes do Azure privado
Desabilitar o acesso à rede pública
Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: use a CLI do Azure para desabilitar o FQDN público em um cluster de Serviço de Kubernetes do Azure privado.
Referência: criar um cluster de Serviço de Kubernetes do Azure privado
Monitoramento do Microsoft Defender para Nuvem
Definições internas do Azure Policy: Microsoft.ContainerService:
Nome (Portal do Azure) |
Descrição | Efeito(s) | Versão (GitHub) |
---|---|---|---|
Os intervalos de IP autorizados devem ser definidos nos Serviços do Kubernetes | Restrinja o acesso à API de Gerenciamento de Serviços do Kubernetes permitindo acesso à API somente aos endereços IP em intervalos específicos. Recomendamos limitar o acesso aos intervalos de IP autorizados para garantir que somente os aplicativos de redes permitidas possam acessar o cluster. | Audit, desabilitado | 2.0.1 |
Gerenciamento de identidades
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.
IM-1: usar um sistema centralizado de identidade e autenticação
Recursos
Autenticação do Azure AD necessária para acesso ao plano de dados
Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: use o Azure Active Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de dados.
Referência: Integração do Azure Active Directory gerenciada pelo AKS
Métodos de autenticação local para acesso ao plano de dados
Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Notas de recurso: evite o uso de métodos ou contas de autenticação local, elas devem ser desabilitadas sempre que possível. Em vez disso, use Azure AD para autenticar sempre que possível.
Diretrizes de Configuração: você pode autenticar, autorizar, proteger e controlar o acesso a clusters do Kubernetes usando o RBAC (controle de acesso baseado em função) do Kubernetes ou usando o Azure Active Directory e o RBAC do Azure.
Referência: Opções de acesso e identidade para Serviço de Kubernetes do Azure (AKS)
IM-3: gerenciar identidades de aplicativos de maneira segura e automática
Recursos
Identidades gerenciadas
Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | True | Microsoft |
Notas de recurso: por padrão, quando você cria um cluster do AKS, uma identidade gerenciada atribuída pelo sistema é criada automaticamente. Se você não estiver usando a CLI do Azure para implantação, mas usando sua própria VNet, disco do Azure anexado, endereço IP estático, tabela de rotas ou identidade kubelet atribuída pelo usuário que estão fora do grupo de recursos do nó de trabalho, é recomendável usar a identidade do painel de controle atribuído pelo usuário.
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.
Referência: usar uma identidade gerenciada no Serviço de Kubernetes do Azure
Entidades de Serviço
Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recursos. Examine e determine se sua organização deseja configurar esse recurso de segurança.
Referência: Criar uma entidade de serviço
IM-7: restringir o acesso aos recursos com base nas condições
Recursos
Acesso condicional para o plano de dados
Descrição: o acesso ao plano de dados pode ser controlado usando Azure AD Políticas de Acesso Condicional. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de Configuração: defina as condições e os critérios aplicáveis para o acesso condicional do Azure Active Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear comportamentos de entrada arriscados ou exigir dispositivos gerenciados pela organização para aplicativos específicos.
Referência: Usar o Acesso Condicional com Azure AD e AKS
IM-8: restringir a exposição de credenciais e segredos
Recursos
Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault
Descrição: o plano de dados dá suporte ao uso nativo de Key Vault do Azure para armazenamento de credenciais e segredos. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: verifique se os segredos e as credenciais são armazenados em locais seguros, como Key Vault do Azure, em vez de inseri-los em arquivos de código ou de configuração.
Referência: Repositório de Segredos csi
Acesso privilegiado
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.
PA-1: separar e limitar usuários administrativos/altamente privilegiados
Recursos
Contas de Administração local
Descrição: o serviço tem o conceito de uma conta administrativa local. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Notas de recurso: evite o uso de métodos ou contas de autenticação local, elas devem ser desabilitadas sempre que possível. Em vez disso, use Azure AD para autenticar sempre que possível.
Diretrizes de Configuração: você pode autenticar, autorizar, proteger e controlar o acesso a clusters do Kubernetes usando o RBAC (controle de acesso baseado em função) do Kubernetes ou usando o Azure Active Directory e o RBAC do Azure.
Se não for necessário para operações administrativas de rotina, desabilite ou restrinja contas de administrador local apenas para uso emergencial.
Referência: Opções de acesso e identidade para Serviço de Kubernetes do Azure (AKS)
PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)
Recursos
RBAC do Azure para Plano de Dados
Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para obter acesso gerenciado às ações do plano de dados do serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: use o RBAC do Azure (controle de acesso baseado em função) do Azure para gerenciar o acesso a recursos do Azure por meio de atribuições de função internas. As funções RBAC do Azure podem ser atribuídas a usuários, grupos, entidades de serviço e identidades gerenciadas.
Referência: usar o RBAC do Azure para autorização do Kubernetes
Monitoramento do Microsoft Defender para Nuvem
Definições internas do Azure Policy: Microsoft.ContainerService:
Nome (Portal do Azure) |
Descrição | Efeito(s) | Versão (GitHub) |
---|---|---|---|
O Controle de acesso baseado em função do Azure (RBAC) deve ser usado nos serviços Kubernetes | Para fornecer filtragem granular sobre as ações que os usuários podem executar, utilize o Controle de acesso baseado em função do Azure (RBAC) para gerir permissões em clusters de serviço Kubernetes e configurar políticas de autorização relevantes. | Audit, desabilitado | 1.0.3 |
PA-8: determinar o processo de acesso para suporte ao provedor de nuvem
Recursos
Sistema de Proteção de Dados do Cliente
Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Sistema de Proteção de Dados do Cliente para revisar e, em seguida, aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.
Referência: Sistema de Proteção de Dados do Cliente para Microsoft Azure
Proteção de dados
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.
DP-1: Descobrir, classificar e rotular dados confidenciais
Recursos
Descoberta e classificação de dados confidenciais
Descrição: ferramentas (como o Azure Purview ou o Azure Proteção de Informações) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais
Recursos
Prevenção contra perda/vazamento de dados
Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: se necessário para a conformidade da DLP (prevenção contra perda de dados), você pode usar uma solução DLP baseada em host de Azure Marketplace ou uma solução DLP do Microsoft 365 para impor controles de detecção e/ou prevenção para evitar a exfiltração de dados.
Referência: habilitar Microsoft Defender para contêineres
DP-3: criptografar dados confidenciais ativos
Recursos
Criptografia de dados em trânsito
Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: habilite a transferência segura em serviços em que há um recurso de criptografia de dados nativos em trânsito interno. Imponha HTTPS em qualquer aplicativo Web e serviços e verifique se o TLS v1.2 ou posterior é usado. Versões herdadas como SSL 3.0, TLS v1.0 devem ser desabilitadas. Para gerenciamento remoto de Máquinas Virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.
Referência: usar o TLS com um controlador de entrada no AKS (Serviço de Kubernetes do Azure)
Monitoramento do Microsoft Defender para Nuvem
Definições internas do Azure Policy: Microsoft.ContainerService:
Nome (Portal do Azure) |
Descrição | Efeito(s) | Versão (GitHub) |
---|---|---|---|
Os clusters do Kubernetes devem ser acessíveis somente via HTTPS | O uso do HTTPS garante a autenticação e protege os dados em trânsito de ataques de interceptação de camada de rede. Atualmente, essa funcionalidade está em disponibilidade geral para o AKS (Serviço do Kubernetes) e em versão prévia para o Kubernetes habilitado para Azure Arc. Para obter mais informações, visite https://aka.ms/kubepolicydoc | auditar, Auditar, negar, Negar, desabilitado, Desabilitado | 8.1.0 |
DP-4: habilitar a criptografia de dados inativos por padrão
Recursos
Criptografia de dados em repouso usando chaves de plataforma
Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Notas de recurso: a criptografia baseada em host é diferente da SSE (criptografia do lado do servidor), que é usada pelo Armazenamento do Azure. Os discos gerenciados pelo Azure usam o Armazenamento do Microsoft Azure para criptografar dados inativos automaticamente ao salvar dados. A criptografia baseada em host usa o host da VM para lidar com a criptografia antes de os dados fluirem por meio do Armazenamento do Microsoft Azure.
Diretrizes de configuração: habilite a criptografia de dados inativos usando chaves gerenciadas pela plataforma (gerenciadas pela Microsoft) em que não são configuradas automaticamente pelo serviço.
Referência: criptografia baseada em host no AKS (Serviço de Kubernetes do Azure)
DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário
Recursos
Criptografia de dados inativos usando a CMK
Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados inativos usando a chave gerenciada pelo cliente para esses serviços.
Referência: criptografia baseada em host em Serviço de Kubernetes do Azure (AKS)
DP-6: usar um processo de gerenciamento de chaves seguro
Recursos
Gerenciamento de chaves no Azure Key Vault
Descrição: o serviço dá suporte à integração de Key Vault do Azure para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Azure Key Vault e seu serviço com base em um agendamento definido ou quando houver uma desativação ou comprometimento importante. Quando houver a necessidade de usar a CMK (chave gerenciada pelo cliente) na carga de trabalho, no serviço ou no nível do aplicativo, verifique se você segue as práticas recomendadas para o gerenciamento de chaves: use uma hierarquia de chaves para gerar uma DEK (chave de criptografia de dados) separada com a KEK (chave de criptografia de chave) no cofre de chaves. Verifique se as chaves estão registradas no Key Vault do Azure e referenciadas por meio de IDs de chave do serviço ou aplicativo. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Azure Key Vault), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chave.
Referência: criptografia baseada em host em Serviço de Kubernetes do Azure (AKS)
DP-7: usar um processo seguro de gerenciamento de certificados
Recursos
Gerenciamento de certificados no Azure Key Vault
Descrição: o serviço dá suporte à integração de Key Vault do Azure para todos os certificados de cliente. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida do certificado, incluindo criação, importação, rotação, revogação, armazenamento e limpeza do certificado. Verifique se a geração de certificado segue os padrões definidos sem usar nenhuma propriedade insegura, como: tamanho de chave insuficiente, período de validade excessivamente longo, criptografia insegura. Configure a rotação automática do certificado no Azure Key Vault e no serviço do Azure (se houver suporte) com base em um agendamento definido ou quando houver uma expiração do certificado. Se não houver suporte para rotação automática no aplicativo, verifique se eles ainda são girados usando métodos manuais no Azure Key Vault e no aplicativo.
Referência: usar o TLS com seus próprios certificados com o Driver CSI do Repositório de Segredos
Gerenciamento de ativos
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Gerenciamento de ativos.
AM-2: usar apenas serviços aprovados
Recursos
Suporte ao Azure Policy
Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: use Microsoft Defender para Nuvem para configurar Azure Policy para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio da configuração detectado nos recursos. Use Azure Policy efeitos [negar] e [implantar se não existir] para impor a configuração segura entre os recursos do Azure.
Referência: Azure Policy internas do AKS
Registro em log e detecção de ameaças
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Registro em log e detecção de ameaças.
LT-1: habilitar funcionalidades de detecção de ameaças
Recursos
Microsoft Defender para oferta de serviço/produto
Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: Microsoft Defender para Contêineres é a solução nativa de nuvem usada para proteger seus contêineres para que você possa melhorar, monitorar e manter a segurança de seus clusters, contêineres e seus aplicativos.
Referência: habilitar Microsoft Defender para contêineres
Monitoramento do Microsoft Defender para Nuvem
Definições internas do Azure Policy: Microsoft.ContainerService:
Nome (Portal do Azure) |
Descrição | Efeito(s) | Versão (GitHub) |
---|---|---|---|
Os clusters de Serviço de Kubernetes do Azure devem ter o perfil do Defender habilitado | O Microsoft Defender para Contêineres fornece recursos de segurança para Kubernetes nativos de nuvem incluindo proteção de ambiente, proteção de cargas de trabalho e de tempo de execução. Quando você habilita o SecurityProfile.AzureDefender em seu cluster do Serviço de Kubernetes do Azure, um agente é implantado no cluster para coletar dados de eventos de segurança. Saiba mais sobre o Microsoft Defender para Contêineres em https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks | Audit, desabilitado | 2.0.1 |
LT-4: habilitar o registro em log para investigação de segurança
Recursos
Azure Resource Logs
Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: habilite os logs de recursos para o serviço. Por exemplo, Key Vault dá suporte a logs de recursos adicionais para ações que obtêm um segredo de um cofre de chaves ou SQL do Azure tem logs de recursos que acompanham solicitações para um banco de dados. O conteúdo de logs de recursos varia de acordo com o tipo de recurso e serviço do Azure.
Referência: Coletar logs de recursos
Gerenciamento de vulnerabilidades e postura
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Gerenciamento de postura e vulnerabilidades.
PV-3: Estabelecer configurações seguras para recursos de computação
Recursos
Imagens de contêiner personalizadas
Desripção: o serviço dá suporte ao uso de imagens de contêiner fornecidas pelo usuário ou imagens pré-criadas do marketplace com determinadas configurações de linha de base pré-aplicadas. Saiba mais
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: ao usar Registro de Contêiner do Azure (ACR) com Serviço de Kubernetes do Azure (AKS), você precisa estabelecer um mecanismo de autenticação. A configuração das permissões necessárias entre o ACR e o AKS pode ser realizada usando a CLI do Azure, o Azure PowerShell e o portal do Azure. A integração do AKS ao ACR atribui a função AcrPull à identidade gerenciada do Azure AD (Azure Active Directory) associada ao pool de agentes do cluster do AKS.
Referência: Integrar Registro de Contêiner do Azure com Serviço de Kubernetes do Azure – Serviço de Kubernetes do Azure
PV-5: realizar avaliações de vulnerabilidade
Recursos
Avaliação de vulnerabilidade usando Microsoft Defender
Desripção: o serviço pode ser verificado para verificação de vulnerabilidade usando Microsoft Defender para Nuvem ou outra funcionalidade de avaliação de vulnerabilidade inserida dos serviços de Microsoft Defender (incluindo Microsoft Defender para servidor, registro de contêiner, Serviço de Aplicativo, SQL e DNS). Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: por padrão, ao habilitar o plano por meio do portal do Azure, o Microsoft Defender para Contêineres é configurado para instalar automaticamente os componentes necessários para fornecer as proteções oferecidas pelo plano, incluindo a atribuição de um workspace padrão.
Referência: Gerenciamento de vulnerabilidades para Serviço de Kubernetes do Azure – Serviço de Kubernetes do Azure
Backup e recuperação
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.
BR-1: garantir backups automatizados regulares
Recursos
Serviço de Backup do Azure
Descrição: o serviço pode ser feito com backup pelo serviço Backup do Azure. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: habilite Backup do Azure e configure a fonte de backup (como a Máquinas Virtuais do Azure, SQL Server, bancos de dados HANA ou Compartilhamentos de Arquivos) em uma frequência desejada e com um período de retenção desejado. Para o Azure Máquinas Virtuais, você pode usar Azure Policy para habilitar backups automáticos.
Referência: fazer backup Serviço de Kubernetes do Azure usando Backup do Azure
Funcionalidade de backup nativo de serviço
Descrição: o serviço dá suporte à sua própria funcionalidade de backup nativo (se não estiver usando Backup do Azure). Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
Próximas etapas
- Confira a visão geral do parâmetro de comparação de segurança de nuvem da Microsoft
- Saiba mais sobre a Linhas de base de segurança do Azure