Linha de base de segurança do Azure para os Aplicativos Lógicos

Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 aos Aplicativos Lógicos. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis aos Aplicativos Lógicos.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem definições de Azure Policy relevantes, eles são listados nesta linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetros de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.

Observação

Os recursos não aplicáveis aos Aplicativos Lógicos foram excluídos. Para ver como os Aplicativos Lógicos são mapeados completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, consulte o arquivo completo de mapeamento de linha de base de segurança dos Aplicativos Lógicos.

Perfil de segurança

O perfil de segurança resume comportamentos de alto impacto dos Aplicativos Lógicos, o que pode resultar em maiores considerações de segurança.

Atributo de comportamento do serviço	Valor
Categoria do Produto	Integração
O cliente pode acessar HOST/SO	Sem Acesso
O serviço pode ser implantado na rede virtual do cliente	Verdadeiro
Armazena o conteúdo do cliente em repouso	Verdadeiro

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas sobre o recurso: esse recurso tem suporte por meio dos Serviços de Aplicativos para a oferta padrão de Aplicativos Lógicos. Os clientes também podem usar o ASE V3 para implantar aplicativos Padrão dos Aplicativos Lógicos.

Diretrizes de configuração: implante o aplicativo Standard de Aplicativos Lógicos em qualquer um dos ASPs Standard de Fluxo de Trabalho ou ASPs baseados no ASE V3. Os clientes podem configurar a integração VNET e pontos de extremidade privados com ambas as opções sugeridas acima.

Referência: Integração Vnet de Aplicativos Lógicos

Suporte ao Grupo de Segurança de Rede

Descrição: o tráfego de rede de serviço respeita a atribuição de regra de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas sobre o recurso: para Os Aplicativos Lógicos Standard, há suporte para isso por meio dos Serviços de Aplicativos e Funções.

Diretrizes de configuração: use NSG (grupos de segurança de rede) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras de NSG para restringir as portas abertas do serviço (como impedir que portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e de Azure Load Balancers.

Observação: implante o aplicativo Standard de Aplicativos Lógicos em qualquer um dos ASPs Standard do Fluxo de Trabalho ou ASPs baseados no ASE V3. Os clientes podem configurar a integração VNET e pontos de extremidade privados com ambas as opções sugeridas acima. Depois disso, os clientes podem configurar as regras de NSG necessárias em suas sub-redes.

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Link Privado do Azure

Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não deve ser confundida com NSG ou Firewall do Azure). Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas sobre o recurso: para Os Aplicativos Lógicos Standard, isso tem suporte por meio dos Serviços de Aplicativos e Funções.

Diretrizes de configuração: implante o aplicativo Standard de Aplicativos Lógicos em qualquer um dos ASPs Standard de Fluxo de Trabalho ou ASPs baseados no ASE V3. Os clientes podem configurar a integração VNET e pontos de extremidade privados com ambas as opções sugeridas acima.

Referência: links privados dos Aplicativos Lógicos

Desabilitar o acesso à rede pública

Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas sobre o recurso: esse recurso tem suporte por meio dos Serviços Azure App para Aplicativos Lógicos Standard.

Diretrizes de configuração: desabilite o acesso à rede pública usando os Aplicativos Lógicos Standard no ASE v3 ou um plano de serviço de aplicativo Standard de fluxo de trabalho. Com o ASE v3, os clientes podem configurar para escolher um ASE V3 interno. Com um plano de serviço de aplicativo padrão de fluxo de trabalho regular, os clientes podem desabilitar o acesso à rede pública com pontos de extremidade privados habilitados.

Referência: usando pontos de extremidade privados para aplicativos Serviço de Aplicativo

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas sobre o recurso: o recurso é compatível com o Consumo de Aplicativos Lógicos e o Standard usando modelos diferentes, pois o modelo Standard dos Aplicativos Lógicos é executado sobre os Serviços de Aplicativos.

Para obter mais informações, visite: Consumo e Padrão.

Diretrizes de configuração: use o Azure Active Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de dados.

Referência: autenticação do AAD dos Aplicativos Lógicos do Azure

Métodos de autenticação local para acesso ao plano de dados

Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas sobre o recurso: esse recurso tem suporte por meio do Azure App Services and Functions for Logic Apps Standard. Evite o uso de métodos ou contas de autenticação local, eles devem ser desabilitados sempre que possível. Em vez disso, use Azure AD para autenticar sempre que possível.

Diretrizes de configuração: restrinja o uso de métodos de autenticação local para acesso ao plano de dados. EM vez disso, use o Azure AD (Azure Active Directory) como método de autenticação padrão para controlar o acesso ao plano de dados.

Referência: autenticação e autorização em Serviço de Aplicativo do Azure e Azure Functions

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Recursos

Identidades gerenciadas

Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas sobre o recurso: há suporte para a autenticação por meio de identidade gerenciada para Aplicativos Lógicos. Além disso, o serviço (consumo e Padrão) pode aproveitar a identidade gerenciada para autenticar em outros serviços.

Para obter mais informações, visite Autenticação de Aplicativos Lógicos usando Identidade Gerenciada.

Diretrizes de configuração: use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, que podem se autenticar nos serviços e recursos do Azure que dão suporte à autenticação do Azure Active Directory (Azure AD). As credenciais de identidades gerenciadas são completamente gerenciadas, giradas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou arquivos de configuração.

Referência: tipos de autenticação para conectores que dão suporte à autenticação

Entidades de Serviço

Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas sobre o recurso: o cliente pode usar a Autenticação Fácil dos Serviços de Aplicativos para configurar esse suporte na oferta Standard. Ou eles podem usar o suporte à Autenticação do AAD na oferta de Consumo.

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: Autenticação do AAD para gatilhos de solicitação de Aplicativos Lógicos

IM-8: restringir a exposição de credenciais e segredos

Recursos

Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault

Descrição: o plano de dados dá suporte ao uso nativo de Key Vault do Azure para armazenamento de credenciais e segredos. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas de recurso: a oferta de Aplicativos Lógicos Standard é o produto recomendado para os clientes usarem em todos os cenários de integração empresarial.

Nos Aplicativos Lógicos Standard, como se baseia nos Serviços de Aplicativos, os clientes podem consultar seus segredos em Key Vault usando configurações de aplicativo e, por sua vez, se referir às configurações do aplicativo em seus fluxos de trabalho.

Para obter mais informações, visite: Acessando programaticamente as Configurações do Aplicativo de Expressões de Aplicativos Lógicos.

Diretrizes de configuração: verifique se os segredos e as credenciais estão armazenados em locais seguros, como o Azure Key Vault, em vez de inseri-los em arquivos de código ou de configuração.

Referência: Configurações de Aplicativo Padrão dos Aplicativos Lógicos

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)

Recursos

RBAC do Azure para Plano de Dados

Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para acesso gerenciado às ações do plano de dados do serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Falso	Não Aplicável	Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Recursos

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Diretrizes de configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Sistema de Proteção de Dados do Cliente para revisar e, em seguida, aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.

Referência: sistema de bloqueio do cliente dos Aplicativos Lógicos

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais

Recursos

Prevenção contra perda/vazamento de dados

Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Falso	Não Aplicável	Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: proteger seus aplicativos lógicos

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Notas de recurso: para a oferta de Consumo, os dados para clientes são armazenados em contas de armazenamento gerenciadas da Microsoft e os dados são criptografados em repouso usando o recurso de criptografia de armazenamento em repouso.

Para a oferta Standard, os clientes gerenciam o armazenamento.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário

Recursos

Criptografia de dados inativos usando a CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas sobre o recurso: esse recurso tem suporte por meio dos Aplicativos Lógicos Standard. Na oferta Standard, os clientes podem configurar suas próprias contas de armazenamento para armazenar os dados de runtime. Como os clientes possuem o armazenamento, eles podem configurar as políticas de CMK conforme necessário em suas contas de armazenamento.

Diretrizes de configuração: se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia que usa chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados inativos usando a chave gerenciada pelo cliente para esses serviços.

DP-6: usar um processo de gerenciamento de chaves seguro

Recursos

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração de Key Vault do Azure para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas sobre o recurso: como o Padrão de Aplicativos Lógicos é executado sobre os Serviços de Aplicativos e Funções, esse recurso tem suporte por meio dos Serviços de Aplicativos.

Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Azure Key Vault e seu serviço com base em um agendamento definido ou quando houver uma desativação ou comprometimento importante. Quando houver a necessidade de usar a CMK (chave gerenciada pelo cliente) no nível da carga de trabalho, do serviço ou do aplicativo, siga as práticas recomendadas para o gerenciamento de chaves: use uma hierarquia de chaves para gerar uma DEK (chave de criptografia de dados) separada com sua KEK (chave de criptografia de chave) no cofre de chaves. Verifique se as chaves estão registradas no Azure Key Vault e referenciadas por meio de IDs de chave do serviço ou aplicativo. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Azure Key Vault), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chave.

DP-7: usar um processo seguro de gerenciamento de certificados

Recursos

Gerenciamento de certificados no Azure Key Vault

Descrição: o serviço dá suporte à integração de Key Vault do Azure para todos os certificados do cliente. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas sobre o recurso: nos Aplicativos Lógicos Standard, esse recurso tem suporte por meio do suporte dos Serviços de Aplicativos para referenciar certificados de Key Vault.

Para obter mais informações, visite: Importar um certificado de Key Vault.

Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida do certificado, incluindo criação, importação, rotação, revogação, armazenamento e limpeza do certificado. Verifique se a geração de certificados segue os padrões definidos sem usar nenhuma propriedade insegura, como: tamanho de chave insuficiente, período de validade excessivamente longo, criptografia insegura. Configure a rotação automática do certificado no Azure Key Vault e no serviço do Azure (se houver suporte) com base em um agendamento definido ou quando houver uma expiração do certificado. Se não houver suporte para rotação automática no aplicativo, verifique se eles ainda são girados usando métodos manuais no Azure Key Vault e no aplicativo.

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas de recursos: à medida que os Aplicativos Lógicos Standard são executados sobre os Serviços de Aplicativos, os clientes podem configurar políticas semelhantes a como podem configurar para serviços de aplicativos e funções. Junto com isso, também há políticas específicas dos Aplicativos Lógicos disponíveis.

Serviço de Aplicativo políticas internas

Diretrizes de configuração: use o Microsoft Defender for Cloud para configurar Azure Policy para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio da configuração detectado nos recursos. Use Azure Policy efeitos [negar] e [implantar se não existir] para impor a configuração segura entre os recursos do Azure.

Referência: Políticas internas dos Aplicativos Lógicos

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Notas sobre o recurso: esse recurso tem suporte por meio dos Serviços de Aplicativos para Aplicativos Lógicos Standard.

Diretrizes de configuração: use o Azure Active Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de gerenciamento. Quando você receber um alerta do Microsoft Defender para Key Vault, investigue e responda ao alerta.

Referência: Visão geral do Defender para Serviço de Aplicativo para proteger seus aplicativos Web e APIs do Serviço de Aplicativo do Azure

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Verdadeiro	Falso	Cliente

Diretrizes de configuração: habilite os logs de recursos para o serviço. Por exemplo, Key Vault dá suporte a logs de recursos adicionais para ações que obtêm um segredo de um cofre de chaves ou SQL do Azure tem logs de recursos que acompanham solicitações para um banco de dados. O conteúdo de logs de recursos varia de acordo com o tipo de recurso e serviço do Azure.

Referência: monitorar e coletar dados de diagnóstico para fluxos de trabalho nos Aplicativos Lógicos do Azure

Backup e recuperação

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.

BR-1: garantir backups automatizados regulares

Recursos

Serviço de Backup do Azure

Descrição: o serviço pode ser copiado em backup pelo serviço Backup do Azure. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Falso	Não Aplicável	Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Próximas etapas

• Confira a Visão geral do parâmetro de comparação de segurança de nuvem da Microsoft
• Saiba mais sobre a Linhas de base de segurança do Azure