Compartilhar via

Linha de base de segurança do Azure para Máquinas Virtuais – Máquinas Virtuais do Windows

Essa linha de base de segurança aplica diretrizes do parâmetro de comparação de segurança de nuvem da Microsoft versão 1.0 para Máquinas Virtuais – Máquinas Virtuais do Windows. O parâmetro de comparação de segurança na nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança na nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis às Máquinas Virtuais – Máquinas Virtuais do Windows.

Você pode monitorar essa linha de base de segurança e suas recomendações usando o Microsoft Defender para Nuvem. As definições do Azure Policy serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender para Nuvem.

Quando um recurso tem definições relevantes do Azure Policy, eles são listados nesta linha de base para ajudá-lo a medir a conformidade com as recomendações e controles de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano pago do Microsoft Defender para habilitar determinados cenários de segurança.

Nota

Recursos não aplicáveis a Máquinas Virtuais – Máquinas Virtuais do Windows foram excluídas. Para ver como as Máquinas Virtuais do Windows são completamente mapeadas para o padrão de segurança em nuvem da Microsoft, consulte o arquivo de mapeamento de linha de base de segurança de Máquinas Virtuais do Windows.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto das Máquinas Virtuais – Máquinas Virtuais do Windows, o que pode resultar em considerações de segurança maiores.

Atributo de Comportamento do Serviço Valor
Categoria do produto Calcular
O cliente pode acessar o HOST / SO Acesso Completo
O serviço pode ser implantado na rede virtual do cliente Verdadeiro
Armazena o conteúdo inativo do cliente Verdadeiro

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Características

Integração de rede virtual

Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual) privada do cliente. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Verdadeiro Microsoft

Diretrizes de Configuração: Nenhuma configuração adicional é necessária, pois isso já está habilitado em uma implantação padrão.

Referência: redes virtuais e máquinas virtuais no Azure

Suporte ao Grupo de Segurança de Rede

Descrição: O tráfego de rede de serviço respeita a atribuição de regra de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: use NSG (grupos de segurança de rede) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras NSG para restringir as portas abertas do serviço (como impedir que portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e do Azure Load Balancers.

Ao criar uma VM (máquina virtual) do Azure, você deve criar uma rede virtual ou usar uma rede virtual existente e configurar a VM com uma sub-rede. Verifique se todas as sub-redes implantadas têm um Grupo de Segurança de Rede aplicado com controles de acesso de rede específicos a portas e fontes confiáveis de seus aplicativos.

Referência: Grupos de segurança de rede

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.ClassicCompute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
Todas as portas de rede devem ser restritas em grupos de segurança de rede associados à sua máquina virtual A Central de Segurança do Azure identificou algumas das regras de entrada de seus grupos de segurança de rede como permissivas demais. As regras de entrada não devem permitir o acesso por meio de intervalos "Qualquer" ou "Internet". Isso pode potencialmente permitir que os invasores direcionem seus recursos. AuditIfNotExists, desabilitado 3.0.0

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
Recomendações de proteção de rede adaptável devem ser aplicadas em máquinas virtuais voltadas para a Internet A Central de Segurança do Azure analisa os padrões de tráfego de máquinas virtuais voltadas para a Internet e fornece recomendações de regra do Grupo de Segurança de Rede que reduzem a superfície de ataque potencial AuditIfNotExists, desabilitado 3.0.0

NS-2: Proteger serviços de nuvem com controles de rede

Características

Desabilitar o acesso à rede pública

Descrição: o serviço dá suporte à desabilitação do acesso à rede pública por meio do uso da regra de filtragem de ACL de IP no nível do serviço (não do NSG ou do Firewall do Azure) ou do uso de um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: use serviços no nível do sistema operacional, como o Windows Defender Firewall, para fornecer filtragem de rede para desabilitar o acesso público.

Gerenciamento de identidade

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar o sistema de autenticação e identidade centralizado

Características

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: o serviço dá suporte ao uso da autenticação do Azure AD para acesso ao plano de dados. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: use o Azure AD (Azure Active Directory) como o método de autenticação padrão para controlar o acesso ao plano de dados.

Referência: faça login em uma máquina virtual do Windows no Azure usando o Azure AD, incluindo sem usar senha

Métodos de autenticação local para acesso ao plano de dados

Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Verdadeiro Microsoft

Notas de recurso: uma conta de administrador local é criada por padrão durante a implantação inicial da máquina virtual. Evite o uso de métodos ou contas de autenticação local, elas devem ser desabilitadas sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.

Diretrizes de Configuração: Nenhuma configuração adicional é necessária, pois isso já está habilitado em uma implantação padrão.

IM-3: Gerenciar identidades de aplicativo com segurança e automaticamente

Características

Identidades Gerenciadas

Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas do recurso: a identidade gerenciada normalmente é aproveitada pela VM do Windows para autenticar em outros serviços. Se a VM do Windows der suporte à autenticação do Azure AD, poderá haver suporte para a identidade gerenciada.

Diretrizes de Configuração : sempre que possível, utilize identidades gerenciadas do Azure em vez de entidades de serviço, pois estas podem autenticar-se nos serviços e recursos do Azure que suportam a autenticação do Azure Active Directory (Azure AD). As credenciais de identidade gerenciada são totalmente gerenciadas, atualizadas regularmente e protegidas pela plataforma, evitando credenciais codificadas em código-fonte ou arquivos de configuração.

Entidades de serviço

Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas sobre funcionalidades: os principais de serviço podem ser usados por aplicativos em execução na VM do Windows.

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
A extensão de configuração de convidado das máquinas virtuais deve ser implantada com uma identidade gerenciada atribuída pelo sistema A extensão de Configuração de Convidado requer uma identidade gerenciada atribuída pelo sistema. As máquinas virtuais do Azure no escopo dessa política não estarão em conformidade quando tiverem a extensão de Configuração de Convidado instalada, mas não tiverem uma identidade gerenciada atribuída pelo sistema. Saiba mais em https://aka.ms/gcpol AuditIfNotExists, desabilitado 1.0.1

IM-7: Restringir o acesso a recursos com base em condições

Características

Acesso condicional para o plano de dados

Descrição: O acesso ao plano de dados pode ser controlado usando as Políticas de Acesso Condicional do Azure AD. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas de funcionalidades: use o Azure AD como uma plataforma de autenticação principal para RDP em Windows Server 2019 Datacenter Edition e posterior, ou Windows 10 versão 1809 e posterior. Em seguida, você pode controlar e impor centralmente o RBAC (controle de acesso baseado em função) do Azure e as políticas de Acesso Condicional que permitem ou negam acesso às VMs.

Diretrizes de Configuração : Defina as condições e os critérios aplicáveis para o acesso condicional do Azure Active Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear o comportamento de entrada arriscado ou exigir dispositivos gerenciados pela organização para aplicativos específicos.

Referência: faça login em uma máquina virtual do Windows no Azure usando o Azure AD, incluindo sem usar senha

IM-8: Restringir a exposição de credenciais e segredos

Características

Credenciais de serviço e segredos dão suporte à integração e armazenamento no Azure Key Vault

Descrição: o plano de dados dá suporte ao uso nativo do Azure Key Vault para armazenamento de credenciais e segredos. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas de recurso: dentro do plano de dados ou do sistema operacional, os serviços podem invocar o Azure Key Vault para obter credenciais ou segredos.

Diretrizes de configuração: verifique se os segredos e as credenciais estão armazenados em locais seguros, como o Azure Key Vault, em vez de inseri-los em arquivos de código ou de configuração.

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança na nuvem da Microsoft: acesso privilegiado.

PA-1: separar e limitar usuários altamente privilegiados/administrativos

Características

Contas de administrador local

Descrição: o serviço tem o conceito de uma conta administrativa local. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Verdadeiro Microsoft

Notas de recurso: Evite o uso de métodos ou contas de autenticação local, elas devem ser desabilitadas sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.

Diretrizes de Configuração: Nenhuma configuração adicional é necessária, pois isso já está habilitado em uma implantação padrão.

Referência: Início Rápido: Criar uma máquina virtual do Windows no portal do Azure

PA-7: Siga o princípio de administração suficiente (privilégio mínimo)

Características

RBAC do Azure para plano de dados

Descrição: o RBAC (Controle de Acesso do Azure Role-Based) do Azure pode ser usado para gerenciar o acesso às ações do plano de dados do serviço. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas de funcionalidades: use o Azure AD como uma plataforma de autenticação principal para RDP em Windows Server 2019 Datacenter Edition e posterior, ou Windows 10 versão 1809 e posterior. Em seguida, você pode controlar e impor centralmente o RBAC (controle de acesso baseado em função) do Azure e as políticas de Acesso Condicional que permitem ou negam acesso às VMs.

Diretrizes de configuração: com o RBAC, especifique quem pode fazer logon em uma VM como um usuário regular ou com privilégios de administrador. Quando os usuários ingressarem em sua equipe, você pode atualizar a política de RBAC do Azure para que a máquina virtual conceda acesso conforme apropriado. Quando os funcionários deixam sua organização e suas contas de usuário são desabilitadas ou removidas do Azure AD, eles não têm mais acesso aos seus recursos.

Referência: faça login em uma máquina virtual do Windows no Azure usando o Azure AD, incluindo sem usar senha

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Características

Sistema de Proteção de Dados do Cliente

Descrição: O Customer Lockbox pode ser usado para acesso de suporte da Microsoft. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Customer Lockbox para examinar e, em seguida, aprove ou rejeite cada uma das solicitações de acesso a dados da Microsoft.

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-1: descobrir, classificar e rotular dados confidenciais

Características

Descoberta e classificação de dados confidenciais

Descrição: ferramentas (como o Azure Purview ou a Proteção de Informações do Azure) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Falso Não aplicável Não aplicável

: Diretrizes de Configuração: esse recurso não é suportado para proteger este serviço.

DP-2: Monitorar anomalias e ameaças direcionadas a dados confidenciais

Características

Prevenção contra perda/vazamento de dados

Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Falso Não aplicável Não aplicável

: Diretrizes de Configuração: esse recurso não é suportado para proteger este serviço.

DP-3: Criptografar dados confidenciais em trânsito

Características

Dados em Criptografia de Trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas de recurso: determinados protocolos de comunicação, como o SSH, são criptografados por padrão. No entanto, outros serviços, como HTTP, devem ser configurados para usar o TLS para criptografia.

Diretrizes de configuração: Habilite a transferência segura em serviços que possuem um recurso nativo de criptografia de dados em trânsito. Imponha HTTPS em qualquer aplicativo Web e serviços e verifique se o TLS v1.2 ou posterior é usado. Versões herdadas, como SSL 3.0, TLS v1.0 devem ser desabilitadas. Para gerenciamento remoto de Máquinas Virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.

Referência: Criptografia de dados em trânsito em VMs

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
Os computadores Windows devem ser configurados para usar protocolos de comunicação seguros Para proteger a privacidade das informações comunicadas pela Internet, seus computadores devem usar a versão mais recente do protocolo criptográfico padrão do setor, TLS (Transport Layer Security). O TLS protege as comunicações em uma rede criptografando uma conexão entre computadores. AuditIfNotExists, desabilitado 4.1.1

DP-4: habilitar a criptografia de dados em repouso por padrão

Características

Criptografia de dados em repouso usando chaves de plataforma

Descrição: Há suporte para criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas da Microsoft. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Verdadeiro Microsoft

Notas de recurso: por padrão, os discos gerenciados usam chaves de criptografia gerenciadas pela plataforma. A partir de 10 de junho de 2017, todos os novos discos gerenciados, instantâneos, imagens e novos dados gravados em discos gerenciados existentes são criptografados automaticamente em repouso com chaves gerenciadas pela plataforma.

Diretrizes de Configuração: Nenhuma configuração adicional é necessária, pois isso já está habilitado em uma implantação padrão.

Referência: Criptografia do lado do servidor do Armazenamento de Disco do Azure – Chaves gerenciadas pela plataforma

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.ClassicCompute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
As máquinas virtuais devem criptografar discos temporários, caches e fluxos de dados entre recursos de computação e armazenamento Por padrão, o sistema operacional e os discos de dados de uma máquina virtual são criptografados em repouso usando chaves gerenciadas pela plataforma. Discos temporários, caches de dados e dados que fluem entre computação e armazenamento não são criptografados. Desconsidere esta recomendação se: 1. estiver usando a criptografia no host ou 2. A criptografia do lado do servidor em Discos Gerenciados atende aos seus requisitos de segurança. Saiba mais em: Criptografia do lado do servidor do Armazenamento de Disco do Azure: https://aka.ms/disksse, diferentes ofertas de criptografia de disco: https://aka.ms/diskencryptioncomparison AuditIfNotExists, desabilitado 2.0.3

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
[Versão prévia]: as máquinas virtuais do Linux devem habilitar a Criptografia de Disco do Azure ou EncryptionAtHost. Por padrão, o sistema operacional e os discos de dados de uma máquina virtual são criptografados em repouso usando chaves gerenciadas pela plataforma; Discos temporários e caches de dados não são criptografados e os dados não são criptografados ao fluir entre recursos de computação e armazenamento. Use a Criptografia de Disco do Azure ou EncryptionAtHost para criptografar todos esses dados. Visite https://aka.ms/diskencryptioncomparison para comparar as ofertas de criptografia. Essa política requer que dois pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. AuditIfNotExists, desabilitado 1.2.0-visualização

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados em repouso quando necessário

Características

Criptografia de dados em repouso usando o CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas de recurso: você pode optar por gerenciar a criptografia no nível de cada disco gerenciado, com suas próprias chaves. Quando você especifica uma chave gerenciada pelo cliente, essa chave é usada para proteger e controlar o acesso à chave que criptografa seus dados. As chaves gerenciadas pelo cliente oferecem maior flexibilidade para gerenciar controles de acesso.

Diretrizes de configuração: se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia que usa chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados em repouso usando a chave gerenciada pelo cliente para esses serviços.

Os discos virtuais em máquinas virtuais (VM) são criptografados em repouso usando criptografia do lado do servidor ou ADE (criptografia de disco do Azure). O Azure Disk Encryption aproveita o recurso BitLocker do Windows para criptografar discos gerenciados com chaves gerenciadas pelo cliente dentro da VM convidada. A criptografia do lado do servidor com chaves gerenciadas pelo cliente melhora no ADE, permitindo que você use qualquer tipo de sistema operacional e imagens para suas VMs criptografando dados no serviço de Armazenamento.

Referência: Criptografia no lado do servidor para Armazenamento de Disco do Azure

DP-6: Use um processo seguro de gerenciamento de chaves

Características

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração do Azure Key Vault para chaves, segredos ou certificados do cliente. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração de chaves, distribuição e armazenamento. Gire e revogue as chaves no Azure Key Vault e em seu serviço com base em um agendamento definido e quando houver uma desativação ou um comprometimento de chave. Quando houver a necessidade de usar a CMK (chave gerenciada pelo cliente) na carga de trabalho, no serviço ou no nível do aplicativo, verifique se você segue as práticas recomendadas para o gerenciamento de chaves: use uma hierarquia de chaves para gerar uma DEK (chave de criptografia de dados) separada com sua KEK (chave de criptografia de chave) no cofre de chaves. Verifique se as chaves estão registradas no Azure Key Vault e referenciadas por meio de IDs de chave do serviço ou aplicativo. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Azure Key Vault), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chave.

Referência: criar e configurar um cofre de chaves para o Azure Disk Encryption em uma VM do Windows

DP-7: usar um processo seguro de gerenciamento de certificados

Características

Gerenciamento de certificados no Azure Key Vault

Descrição: o serviço dá suporte à integração do Azure Key Vault para todos os certificados do cliente. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Falso Não aplicável Não aplicável

: Diretrizes de Configuração: esse recurso não é suportado para proteger este serviço.

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Características

Suporte do Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio do Azure Policy. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de Configuração : o Azure Policy pode ser usado para definir o comportamento desejado para as VMs Windows e VMs Linux da sua organização. Usando políticas, uma organização pode impor várias convenções e regras em toda a empresa e definir e implementar configurações de segurança padrão para máquinas virtuais do Azure. A imposição do comportamento desejado pode ajudar a reduzir o risco, contribuindo para o sucesso da organização.

Referência: definições internas padrão do Azure Policy para Azure Virtual Machines

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.ClassicCompute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
As máquinas virtuais devem ser migradas para novos recursos do Azure Resource Manager Use o novo Azure Resource Manager para suas máquinas virtuais para fornecer aprimoramentos de segurança, como: RBAC (controle de acesso mais forte), melhor auditoria, implantação e governança baseada no Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves para segredos, autenticação baseada no Azure AD e suporte para marcas e grupos de recursos para facilitar o gerenciamento de segurança Audit, Deny, desabilitado 1.0.0

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
As máquinas virtuais devem ser migradas para novos recursos do Azure Resource Manager Use o novo Azure Resource Manager para suas máquinas virtuais para fornecer aprimoramentos de segurança, como: RBAC (controle de acesso mais forte), melhor auditoria, implantação e governança baseada no Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves para segredos, autenticação baseada no Azure AD e suporte para marcas e grupos de recursos para facilitar o gerenciamento de segurança Audit, Deny, desabilitado 1.0.0

AM-5: usar somente aplicativos aprovados na máquina virtual

Características

Microsoft Defender para Nuvem – Controles de aplicativos adaptáveis

Descrição: o serviço pode limitar quais aplicativos clientes são executados na máquina virtual usando controles de aplicativo adaptáveis no Microsoft Defender para Nuvem. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de Configuração : Use os controles de aplicativo adaptáveis do Microsoft Defender para a Nuvem para descobrir aplicativos em execução em máquinas virtuais (VMs) e gerar uma lista de permissões de aplicativos para especificar quais aplicativos aprovados podem ser executados no ambiente da VM.

Referência: usar controles de aplicativo adaptáveis para reduzir as superfícies de ataque dos computadores

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.ClassicCompute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
Os controles de aplicativo adaptáveis para definir aplicativos seguros devem ser habilitados em seus computadores Habilite os controles de aplicativo para definir a lista de aplicativos conhecidos e seguros em execução em seus computadores e alertá-lo quando outros aplicativos forem executados. Isso ajuda a proteger seus computadores contra malware. Para simplificar o processo de configuração e manutenção de suas regras, a Central de Segurança usa o aprendizado de máquina para analisar os aplicativos em execução em cada computador e sugerir a lista de aplicativos conhecidos-seguros. AuditIfNotExists, desabilitado 3.0.0

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
Os controles de aplicativo adaptáveis para definir aplicativos seguros devem ser habilitados em seus computadores Habilite os controles de aplicativo para definir a lista de aplicativos conhecidos e seguros em execução em seus computadores e alertá-lo quando outros aplicativos forem executados. Isso ajuda a proteger seus computadores contra malware. Para simplificar o processo de configuração e manutenção de suas regras, a Central de Segurança usa o aprendizado de máquina para analisar os aplicativos em execução em cada computador e sugerir a lista de aplicativos conhecidos-seguros. AuditIfNotExists, desabilitado 3.0.0

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: registro em log e detecção de ameaças.

LT-1: habilitar recursos de detecção de ameaças

Características

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução específica do Microsoft Defender para monitorar e alertar sobre problemas de segurança. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: o Defender para Servidores estende a proteção aos computadores Windows e Linux em execução no Azure. O Defender para Servidores integra-se ao Microsoft Defender para Endpoint para fornecer detecção e resposta de endpoint (EDR) e também oferece uma variedade de recursos adicionais de proteção contra ameaças, como linhas de base de segurança e avaliações no nível do sistema operacional, verificação de avaliação de vulnerabilidades, controles adaptativos de aplicativos (AAC), monitoramento de integridade de arquivo (FIM) e muito mais.

Referência: Planejar a implantação do Defender para Servidores

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
O Windows Defender Exploit Guard deve estar habilitado em seus computadores O Windows Defender Exploit Guard usa o agente de Configuração de Hóspede do Azure Policy. O Exploit Guard tem quatro componentes projetados para bloquear dispositivos contra uma ampla variedade de vetores de ataque e comportamentos de bloqueio comumente usados em ataques de malware, permitindo que as empresas balanceiem seus requisitos de risco de segurança e produtividade (somente Windows). AuditIfNotExists, desabilitado 2.0.0

LT-4: habilitar o registro em log para investigação de segurança

Características

Logs de Recursos do Azure

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para o seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: o Azure Monitor começa a coletar automaticamente dados de métrica para seu host de máquina virtual quando você cria a VM. Para coletar logs e dados de desempenho do sistema operacional convidado da máquina virtual, no entanto, você deve instalar o agente do Azure Monitor. Você pode instalar o agente e configurar a coleta usando VM Insights ou criando uma regra de coleta de dados.

Referência: Visão geral do agente do Log Analytics

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
[Versão prévia]: o agente de coleta de dados de tráfego de rede deve ser instalado em máquinas virtuais do Linux A Central de Segurança usa o agente de Dependência da Microsoft para coletar dados de tráfego de rede de suas máquinas virtuais do Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas. AuditIfNotExists, desabilitado 1.0.2-visualização

Gerenciamento de posturas e vulnerabilidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de postura e vulnerabilidades.

PV-3: definir e estabelecer configurações seguras para recursos de computação

Características

Configuração de Estado de Automação do Azure

Descrição: a Configuração de Estado da Automação do Azure pode ser usada para manter a configuração de segurança do sistema operacional. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: use a Configuração de Estado da Automação do Azure para manter a configuração de segurança do sistema operacional.

Referência: configurar uma VM com a Configuração de Estado Desejado

Agente de configuração de convidado do Azure Policy

Descrição: o agente de configuração de convidado do Azure Policy pode ser instalado ou implantado como uma extensão para recursos de computação. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas sobre o recurso: a Configuração de Convidado do Azure Policy agora é chamada de Configuração do Computador de Gerenciamento Automatizado do Azure.

Diretrizes de configuração: use o agente de configuração de convidado do Microsoft Defender para Nuvem e do Azure Policy para avaliar e corrigir regularmente os desvios de configuração em seus recursos de computação do Azure, incluindo VMs, contêineres e outros.

Referência: Entender o recurso de configuração do computador do Azure Automanage

Imagens de VM personalizadas

Descrição: o serviço dá suporte ao uso de imagens de VM fornecidas pelo usuário ou imagens pré-criadas do marketplace com determinadas configurações de linha de base pré-aplicadas. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: use uma imagem protegida pré-configurada de um fornecedor confiável, como a Microsoft ou crie uma linha de base de configuração segura desejada no modelo de imagem da VM

Referência: Tutorial: Criar imagens de VM do Windows com o Azure PowerShell

PV-4: auditar e impor configurações seguras para recursos de computação

Características

Máquina Virtual de Inicialização Confiável

Descrição: o Lançamento Confiável protege contra técnicas de ataque avançadas e persistentes combinando tecnologias de infraestrutura, como inicialização segura, vTPM e monitoramento de integridade. Cada tecnologia fornece outra camada de defesa contra ameaças sofisticadas. A inicialização confiável permite a implantação segura de máquinas virtuais com carregadores de inicialização verificados, kernels do sistema operacional e drivers e protege com segurança chaves, certificados e segredos nas máquinas virtuais. O início confiável também fornece os insights e a confiança em relação à integridade de toda a cadeia de inicialização e garante que as tarefas sejam confiáveis e verificáveis. O início confiável é integrado ao Microsoft Defender para Nuvem para garantir que as VMs estejam configuradas corretamente, atestando remotamente que a VM é inicializada de maneira íntegra. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Observação do recurso: a inicialização confiável está disponível para VMs de geração 2. A inicialização confiável requer a criação de novas máquinas virtuais. Você não pode habilitar a inicialização confiável em máquinas virtuais existentes que foram criadas inicialmente sem ela.

Diretrizes de configuração: o início confiável pode ser habilitado durante a implantação da VM. Habilite todos os três – Inicialização Segura, vTPM e monitoramento de inicialização de integridade para garantir a melhor postura de segurança para a máquina virtual. Observe que há alguns pré-requisitos, incluindo a integração de sua assinatura ao Microsoft Defender para Nuvem, a atribuição de determinadas iniciativas do Azure Policy e a configuração de políticas de firewall.

Referência: implantar uma VM com inicialização confiável habilitada

PV-5: executar avaliações de vulnerabilidade

Características

Avaliação de vulnerabilidade usando o Microsoft Defender

Descrição: o serviço pode ser verificado para verificação de vulnerabilidade usando o Microsoft Defender para Nuvem ou outra funcionalidade de avaliação de vulnerabilidades inserida dos serviços do Microsoft Defender (incluindo Microsoft Defender para servidor, registro de contêiner, Serviço de Aplicativo, SQL e DNS). Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de Configuração: Siga as recomendações do Microsoft Defender para Cloud para executar avaliações de vulnerabilidade em suas máquinas virtuais do Azure.

Referência: Planejar a implantação do Defender para Servidores

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.ClassicCompute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
Uma solução de avaliação de vulnerabilidade deve ser habilitada em suas máquinas virtuais Audita máquinas virtuais para detectar se elas estão executando uma solução de avaliação de vulnerabilidade com suporte. Um componente principal de cada programa de segurança e risco cibernético é a identificação e análise de vulnerabilidades. O tipo de preço padrão da Central de Segurança do Azure inclui a verificação de vulnerabilidades para suas máquinas virtuais sem custo adicional. Além disso, a Central de Segurança pode implantar essa ferramenta automaticamente para você. AuditIfNotExists, desabilitado 3.0.0

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
Uma solução de avaliação de vulnerabilidade deve ser habilitada em suas máquinas virtuais Audita máquinas virtuais para detectar se elas estão executando uma solução de avaliação de vulnerabilidade com suporte. Um componente principal de cada programa de segurança e risco cibernético é a identificação e análise de vulnerabilidades. O tipo de preço padrão da Central de Segurança do Azure inclui a verificação de vulnerabilidades para suas máquinas virtuais sem custo adicional. Além disso, a Central de Segurança pode implantar essa ferramenta automaticamente para você. AuditIfNotExists, desabilitado 3.0.0

PV-6: corrigir vulnerabilidades de forma rápida e automática

Características

Gerenciador de Atualizações do Azure

Descrição: o serviço pode usar o Gerenciador de Atualizações do Azure para implantar patches e atualizações automaticamente. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Verdadeiro Cliente

Diretrizes de configuração: use o Gerenciador de Atualizações do Azure para garantir que as atualizações de segurança mais recentes sejam instaladas em suas VMs do Windows. Para VMs do Windows, verifique se o Windows Update foi habilitado e definido para ser atualizado automaticamente.

Referência: Gerenciar atualizações e patches para suas VMs

Serviço de Patching de Convidados do Azure

Descrição: o serviço pode usar a aplicação de patch de convidado do Azure para implantar patches e atualizações automaticamente. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: os serviços podem aproveitar os diferentes mecanismos de atualização, como atualizações de imagem do sistema operacional automático e aplicação de patch de convidado automático. Os recursos são recomendados para aplicar as atualizações críticas e de segurança mais recentes ao sistema operacional convidado da máquina virtual seguindo os Princípios de Implantação Segura.

A aplicação automática de patches para convidados permite que você avalie e atualize automaticamente as máquinas virtuais do Azure para manter a conformidade de segurança com as atualizações críticas e de segurança lançadas todos os meses. As atualizações são aplicadas fora dos horários de pico, incluindo as VMs dentro de um conjunto de disponibilidade. Esse recurso está disponível para a Orquestração Flexível VMSS, com suporte futuro no roteiro para Orquestração Uniforme.

Se você executar uma carga de trabalho sem estado, as atualizações de imagem do sistema operacional automáticas serão ideais para aplicar a atualização mais recente para o recurso Uniforme VMSS. Com a funcionalidade de reversão, essas atualizações são compatíveis com o Marketplace ou com imagens personalizadas. Suporte para a atualização contínua futura no roteiro para a Orquestração Flexível.

Referência: Aplicação automática de patch de convidado de VM para VMs do Azure

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.ClassicCompute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
As atualizações do sistema devem ser instaladas em seus computadores As atualizações ausentes do sistema de segurança em seus servidores serão monitoradas pela Central de Segurança do Azure como recomendações AuditIfNotExists, desabilitado 4.0.0

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
[Versão prévia]: as atualizações do sistema devem ser instaladas em seus computadores (alimentados pelo Centro de Atualizações) Seus computadores estão sem sistema, segurança e atualizações críticas. As atualizações de software geralmente incluem patches críticos para falhas de segurança. Esses buracos são frequentemente explorados em ataques de malware, portanto, é vital manter seu software atualizado. Para instalar todos os patches pendentes e proteger seus computadores, siga as etapas de correção. AuditIfNotExists, desabilitado 1.0.0-visualização

Segurança de Endpoints

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança do ponto de extremidade.

ES-1: usar EDR (Detecção e Resposta de Ponto de Extremidade)

Características

Solução EDR

Descrição: o recurso EDR (Detecção e Resposta de Ponto de Extremidade), como o Azure Defender para servidores, pode ser implantado no ponto de extremidade. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de Configuração: Azure Defender para Servidores (com Microsoft Defender para Ponto de Extremidade integrado) fornece capacidade de EDR para prevenir, detectar, investigar e responder a ameaças avançadas. Use o Microsoft Defender for Cloud para implantar o Azure Defender para servidores para seus endpoints e integrar os alertas à sua solução SIEM, como o Azure Sentinel.

Referência: Planejar a implantação do Defender para Servidores

ES-2: Usar software antimalware moderno

Características

Solução antimalware

Descrição: recursos antimalware, como o Microsoft Defender Antivírus e o Microsoft Defender for Endpoint, podem ser implantados no ponto de extremidade. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: para o Windows Server 2016 e superior, o Microsoft Defender para Antivírus é instalado por padrão. Para o Windows Server 2012 R2 e superior, os clientes podem instalar o SCEP (System Center Endpoint Protection). Como alternativa, os clientes também têm a opção de instalar produtos antimalware de terceiros.

Referência: Defender para Endpoint integração do Windows Server

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.ClassicCompute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
Problemas de proteção de endpoint devem ser resolvidos em seus computadores Resolva problemas de integridade da proteção de ponto de extremidade em suas máquinas virtuais para protegê-las contra ameaças e vulnerabilidades mais recentes. As soluções de proteção de ponto de extremidade compatíveis com a Central de Segurança do Azure estão documentadas aqui: https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. A avaliação da proteção de ponto de extremidade está documentada aqui: https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, desabilitado 1.0.0

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
Problemas de proteção de endpoint devem ser resolvidos em seus computadores Resolva problemas de integridade da proteção de ponto de extremidade em suas máquinas virtuais para protegê-las contra ameaças e vulnerabilidades mais recentes. As soluções de proteção de ponto de extremidade compatíveis com a Central de Segurança do Azure estão documentadas aqui: https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. A avaliação da proteção de ponto de extremidade está documentada aqui: https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, desabilitado 1.0.0

ES-3: garantir que o software antimalware e as assinaturas sejam atualizados

Características

Monitoramento da saúde da solução antimalware

Descrição: A solução antimalware fornece monitoramento do status de integridade da plataforma, do motor e executa atualizações automáticas de assinatura. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas de recursos: As atualizações de inteligência de segurança e de produtos se aplicam ao Defender for Endpoint, o qual pode ser instalado nas VMs do Windows.

Diretrizes de Configuração : configure sua solução antimalware para garantir que a plataforma, o mecanismo e as assinaturas sejam atualizadas de forma rápida e consistente e que seu status possa ser monitorado.

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.ClassicCompute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
Problemas de proteção de endpoint devem ser resolvidos em seus computadores Resolva problemas de integridade da proteção de ponto de extremidade em suas máquinas virtuais para protegê-las contra ameaças e vulnerabilidades mais recentes. As soluções de proteção de ponto de extremidade compatíveis com a Central de Segurança do Azure estão documentadas aqui: https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. A avaliação da proteção de ponto de extremidade está documentada aqui: https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, desabilitado 1.0.0

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
Problemas de proteção de endpoint devem ser resolvidos em seus computadores Resolva problemas de integridade da proteção de ponto de extremidade em suas máquinas virtuais para protegê-las contra ameaças e vulnerabilidades mais recentes. As soluções de proteção de ponto de extremidade compatíveis com a Central de Segurança do Azure estão documentadas aqui: https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. A avaliação da proteção de ponto de extremidade está documentada aqui: https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, desabilitado 1.0.0

Backup e recuperação

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Backup e recuperação.

BR-1: garantir backups automatizados regulares

Características

Serviço de Backup do Azure

Descrição: O serviço pode ter backup feito pelo serviço de Backup do Azure. Saiba mais.

Suportado Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: habilite o Backup do Azure e configure a fonte de backup (como Máquinas Virtuais do Azure, SQL Server, bancos de dados do HANA ou Compartilhamentos de Arquivos) em uma frequência desejada e com um período de retenção desejado. Para máquinas virtuais do Azure, você pode usar o Azure Policy para habilitar backups automáticos.

Referência: opções de backup e restauração para máquinas virtuais no Azure

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Compute:

Nome
(Portal do Azure)		 Descrição Efeito(s) Versão
(GitHub)
O Backup do Azure deve ser habilitado para Máquinas Virtuais Verifique a proteção das máquinas virtuais do Azure habilitando o Backup do Azure. O Backup do Azure é uma solução de proteção de dados segura e econômica para o Azure. AuditIfNotExists, desabilitado 3.0.0

Próximas etapas