Linha de base de segurança do Azure para Aplicativos de Contêiner do Azure
Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 aos Aplicativos de Contêiner do Azure. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança na nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis aos Aplicativos de Contêiner do Azure.
Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.
Quando um recurso tem definições de Azure Policy relevantes, elas são listadas nessa linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.
Observação
Recursos não aplicáveis aos Aplicativos de Contêiner do Azure foram excluídos. Para ver como os Aplicativos de Contêiner do Azure são mapeados completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, consulte o arquivo completo de mapeamento de linha de base de segurança dos Aplicativos de Contêiner do Azure.
Perfil de segurança
O perfil de segurança resume os comportamentos de alto impacto dos Aplicativos de Contêiner do Azure, o que pode resultar em considerações de segurança maiores.
Atributo de comportamento do serviço | Valor |
---|---|
Categoria do Produto | Contêineres |
O cliente pode acessar HOST/SO | Sem Acesso |
O serviço pode ser implantado na rede virtual do cliente | True |
Armazena o conteúdo do cliente em repouso | True |
Segurança de rede
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.
NS-1: estabelecer limites de segmentação de rede
Recursos
Integração de rede virtual
Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: implante o serviço em uma rede virtual. Atribua IPs privados ao recurso (quando aplicável), a menos que haja um motivo forte para atribuir IPs públicos diretamente ao recurso.
Referência: Integração de Rede Virtual dos Aplicativos de Contêiner do Azure
Suporte ao Grupo de Segurança de Rede
Descrição: o tráfego de rede de serviço respeita a atribuição de regra de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: use NSG (grupos de segurança de rede) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras de NSG para restringir as portas abertas do serviço (como impedir que portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e de Azure Load Balancers.
Referência: protegendo uma VNET personalizada nos Aplicativos de Contêiner do Azure
NS-2: proteger serviços de nuvem com controles de rede
Recursos
Desabilitar o acesso à rede pública
Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: desabilite o acesso à rede pública implantando uma configuração de ambiente de aplicativos de contêiner somente interno.
Referência: fornecer uma rede virtual para um ambiente interno dos Aplicativos de Contêiner do Azure
Gerenciamento de identidades
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.
IM-1: usar um sistema centralizado de identidade e autenticação
Recursos
Autenticação do Azure AD necessária para acesso ao plano de dados
Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: use o Azure Active Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de dados.
Referência: habilitar a autenticação e a autorização nos Aplicativos de Contêiner do Azure com o Azure Active Directory
Métodos de autenticação local para acesso ao plano de dados
Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
IM-3: gerenciar identidades de aplicativos de maneira segura e automática
Recursos
Identidades gerenciadas
Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Notas sobre o recurso: a Identidade Gerenciada tem suporte para aplicativos de contêiner e componentes do Dapr, mas ainda não para regras de escala em um aplicativo de contêiner
Diretrizes de configuração: use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, que podem se autenticar em serviços e recursos do Azure que dão suporte à autenticação do Azure Active Directory (Azure AD). As credenciais de identidades gerenciadas são completamente gerenciadas, giradas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou arquivos de configuração.
Referência: usando a identidade gerenciada nos Aplicativos de Contêiner do Azure
Entidades de Serviço
Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recursos. Examine e determine se sua organização deseja configurar esse recurso de segurança.
IM-7: restringir o acesso aos recursos com base nas condições
Recursos
Acesso condicional para o plano de dados
Descrição: o acesso ao plano de dados pode ser controlado usando Azure AD Políticas de Acesso Condicional. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
IM-8: restringir a exposição de credenciais e segredos
Recursos
Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault
Descrição: o plano de dados dá suporte ao uso nativo de Key Vault do Azure para armazenamento de credenciais e segredos. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Aplicável | Aplicável |
Notas de recursos: para Aplicativos de Contêiner habilitados para Dapr, os clientes podem aproveitar o Key Vault do Azure para referências secretas.
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
Acesso privilegiado
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.
PA-1: separar e limitar usuários administrativos/altamente privilegiados
Recursos
Contas de Administração local
Descrição: o serviço tem o conceito de uma conta administrativa local. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)
Recursos
RBAC do Azure para Plano de Dados
Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para obter acesso gerenciado às ações do plano de dados do serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
PA-8: determinar o processo de acesso para suporte ao provedor de nuvem
Recursos
Sistema de Proteção de Dados do Cliente
Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
Proteção de dados
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.
DP-1: Descobrir, classificar e rotular dados confidenciais
Recursos
Descoberta e Classificação de Dados Confidenciais
Descrição: ferramentas (como o Azure Purview ou o Azure Proteção de Informações) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais
Recursos
Prevenção contra perda/vazamento de dados
Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
DP-3: criptografar dados confidenciais ativos
Recursos
Criptografia de dados em trânsito
Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: habilite a transferência segura em serviços em que há um recurso de criptografia de dados nativos em trânsito interno. Imponha HTTPS em qualquer aplicativo Web e serviços e verifique se o TLS v1.2 ou posterior é usado. Versões herdadas como SSL 3.0, TLS v1.0 devem ser desabilitadas. Para gerenciamento remoto de Máquinas Virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.
Referência: configurar a entrada HTTPS ou TCP nos Aplicativos de Contêiner do Azure
DP-4: habilitar a criptografia de dados inativos por padrão
Recursos
Criptografia de dados em repouso usando chaves de plataforma
Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | True | Microsoft |
Notas sobre o recurso: os Aplicativos de Contêiner do Azure aproveitam a criptografia padrão da Microsoft para dados inativos.
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.
Referência: criptografia dupla
DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário
Recursos
Criptografia de dados inativos usando a CMK
Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
DP-6: usar um processo de gerenciamento de chaves seguro
Recursos
Gerenciamento de chaves no Azure Key Vault
Descrição: o serviço dá suporte à integração de Key Vault do Azure para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
DP-7: usar um processo seguro de gerenciamento de certificados
Recursos
Gerenciamento de certificados no Azure Key Vault
Descrição: o serviço dá suporte à integração de Key Vault do Azure para todos os certificados do cliente. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
Gerenciamento de ativos
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de ativos.
AM-2: usar apenas serviços aprovados
Recursos
Suporte ao Azure Policy
Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: use o Microsoft Defender for Cloud para configurar Azure Policy para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio da configuração detectado nos recursos. Use Azure Policy efeitos [negar] e [implantar se não existir] para impor a configuração segura entre os recursos do Azure.
Referência: Azure Policy definições internas para Aplicativos de Contêiner do Azure
Registro em log e detecção de ameaças
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: registro em log e detecção de ameaças.
LT-1: habilitar funcionalidades de detecção de ameaças
Recursos
Microsoft Defender para oferta de serviço/produto
Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
LT-4: habilitar o registro em log para investigação de segurança
Recursos
Azure Resource Logs
Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | True | Microsoft |
Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.
Referência: Opções de armazenamento e monitoramento de log nos Aplicativos de Contêiner do Azure
Gerenciamento de postura e vulnerabilidades
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Gerenciamento de postura e vulnerabilidades.
PV-3: Estabelecer configurações seguras para recursos de computação
Recursos
Imagens de contêineres personalizados
Descrição: o serviço dá suporte ao uso de imagens de contêiner fornecidas pelo usuário ou imagens pré-criadas do marketplace com determinadas configurações de linha de base pré-aplicadas. Saiba mais
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
True | Falso | Cliente |
Diretrizes de configuração: você pode extrair imagens de repositórios privados na Microsoft Registro de Contêiner do Azure usando identidades gerenciadas para autenticação para evitar o uso de credenciais administrativas. Você pode usar uma identidade gerenciada atribuída pelo sistema ou atribuída pelo usuário para autenticar com Registro de Contêiner do Azure.
Referência: pull de imagem dos Aplicativos de Contêiner do Azure com identidade gerenciada
PV-5: realizar avaliações de vulnerabilidade
Recursos
Avaliação de vulnerabilidade usando Microsoft Defender
Descrição: o serviço pode ser verificado para verificação de vulnerabilidade usando Microsoft Defender para Nuvem ou outra funcionalidade de avaliação de vulnerabilidades inserida dos serviços de Microsoft Defender (incluindo Microsoft Defender para servidor, registro de contêiner Serviço de Aplicativo, SQL e DNS). Saiba mais
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não aplicável | Não aplicável |
Diretrizes de configuração: embora os Aplicativos de Contêiner não ofereçam suporte à avaliação de vulnerabilidade executada pelo Defender para Contêineres, o Registro de Contêiner do Azure que pode ser integrado aos Aplicativos de Contêiner dá suporte à avaliação de vulnerabilidade.
Backup e recuperação
Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.
BR-1: garantir backups automatizados regulares
Recursos
Serviço de Backup do Azure
Descrição: o serviço pode ser feito com backup pelo serviço Backup do Azure. Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
Funcionalidade de backup nativo de serviço
Descrição: o serviço dá suporte à sua própria funcionalidade de backup nativo (se não estiver usando Backup do Azure). Saiba mais.
Com suporte | Habilitado por padrão | Responsabilidade de configuração |
---|---|---|
Falso | Não Aplicável | Não Aplicável |
Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.
Próximas etapas
- Confira a visão geral do parâmetro de comparação de segurança de nuvem da Microsoft
- Saiba mais sobre a Linhas de base de segurança do Azure