Partilhar via

Linha de base de segurança do Azure para Resource Manager do Azure

  • Artigo

Esta linha de base de segurança aplica orientações da versão de referência de segurança da cloud da Microsoft 1.0 ao Azure Resource Manager. A referência de segurança da cloud da Microsoft fornece recomendações sobre como pode proteger as suas soluções na cloud no Azure. O conteúdo é agrupado pelos controlos de segurança definidos pela referência de segurança da cloud da Microsoft e pelas orientações relacionadas aplicáveis ao Azure Resource Manager.

Pode monitorizar esta linha de base de segurança e as respetivas recomendações com Microsoft Defender para a Cloud. Azure Policy definições serão listadas na secção Conformidade Regulamentar da página do portal do Microsoft Defender para a Cloud.

Quando uma funcionalidade tem definições de Azure Policy relevantes, estas são listadas nesta linha de base para o ajudar a medir a conformidade com os controlos e recomendações de referência de segurança na cloud da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para ativar determinados cenários de segurança.

Nota

As funcionalidades não aplicáveis ao Azure Resource Manager foram excluídas. Para ver como o Azure Resource Manager mapeia completamente para a referência de segurança da cloud da Microsoft, veja o ficheiro completo de mapeamento da linha de base de segurança do Azure Resource Manager.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do Azure Resource Manager, o que pode resultar em considerações de segurança acrescidas.

Atributo comportamento do serviço Valor
Product Category (Categoria de Produto) MGMT/Governação
O cliente pode aceder ao HOST/SO Sem Acesso
O serviço pode ser implementado na rede virtual do cliente Falso
Armazena o conteúdo do cliente inativo Falso

Segurança da rede

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Segurança de rede.

NS-2: Proteger os serviços cloud com controlos de rede

Funcionalidades

Descrição: capacidade de filtragem de IP nativo do serviço para filtrar o tráfego de rede (não confundir com o NSG ou Azure Firewall). Saiba mais.

Suportado Ativado por Predefinição Responsabilidade de Configuração
Verdadeiro Falso Cliente

Orientação de Configuração: implemente pontos finais privados para estabelecer um ponto de acesso privado para gerir os recursos no grupo de gestão de raiz (inquilino).

Nota: a Gestão de Recursos Private Link recursos podem ser ligados a um ponto final privado para ativar o acesso privado seguro para gerir recursos do Azure.

Referência: Criar uma ligação privada para gerir recursos do Azure

Desativar o Acesso à Rede Pública

Descrição: o serviço suporta a desativação do acesso à rede pública através da utilização da regra de filtragem da ACL de IP ao nível do serviço (não do NSG ou Azure Firewall) ou através de um botão de alternar "Desativar Acesso à Rede Pública". Saiba mais.

Suportado Ativado por Predefinição Responsabilidade de Configuração
Falso Não Aplicável Não Aplicável

Notas de funcionalidades: o Azure Resource Manager suporta a conectividade privada através de pontos finais privados do Azure e do recurso Ligações Privadas da Gestão de Recursos. No entanto, a capacidade de desativar o acesso à rede pública ainda não está disponível.

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

Acesso privilegiado

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Acesso privilegiado.

PA-8: Determinar o processo de acesso para o suporte do fornecedor de cloud

Funcionalidades

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser utilizado para o acesso ao suporte da Microsoft. Saiba mais.

Suportado Ativado por Predefinição Responsabilidade de Configuração
Falso Não Aplicável Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

Proteção de dados

Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Proteção de dados.

DP-3: Encriptar dados confidenciais em trânsito

Funcionalidades

Dados na Encriptação de Trânsito

Descrição: o serviço suporta a encriptação de dados em trânsito para o plano de dados. Saiba mais.

Suportado Ativado por Predefinição Responsabilidade de Configuração
Verdadeiro Verdadeiro Microsoft

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Migrar para o TLS 1.2 para o Azure Resource Manager

DP-4: Ativar a encriptação de dados inativos por predefinição

Funcionalidades

Encriptação de Dados Inativos Utilizando Chaves de Plataforma

Descrição: a encriptação inativa de dados através de chaves de plataforma é suportada, qualquer conteúdo de cliente inativo é encriptado com estas chaves geridas pela Microsoft. Saiba mais.

Suportado Ativado por Predefinição Responsabilidade de Configuração
Verdadeiro Verdadeiro Microsoft

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Gestão de ativos

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Gestão de ativos.

AM-2: Utilizar apenas serviços aprovados

Funcionalidades

Suporte do Azure Policy

Descrição: as configurações do serviço podem ser monitorizadas e impostas através de Azure Policy. Saiba mais.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
Verdadeiro Falso Cliente

Orientação de Configuração: não existem orientações atuais da Microsoft para esta configuração de funcionalidades. Reveja e determine se a sua organização quer configurar esta funcionalidade de segurança.

Referência: Azure Policy definições incorporadas para o Azure Resource Manager

Deteção de registo e de ameaça

Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Registo e deteção de ameaças.

LT-1: Ativar as capacidades de deteção de ameaças

Funcionalidades

Microsoft Defender de Serviço/Oferta de Produtos

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorizar e alertar sobre problemas de segurança. Saiba mais.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
Verdadeiro Falso Cliente

Orientação de Configuração: Microsoft Defender para Resource Manager monitoriza as operações de gestão de recursos na sua organização, quer sejam executadas através do portal do Azure, apIs REST do Azure, CLI do Azure ou outros clientes programáticos do Azure. O Defender para Cloud executa análises de segurança avançadas para detetar ameaças e alertas sobre atividades suspeitas.

Referência: Descrição geral do Microsoft Defender para Resource Manager

Microsoft Defender para monitorização da cloud

Azure Policy definições incorporadas – Microsoft.Resources:

Name
(portal do Azure)		 Description Efeito(s) Versão
(GitHub)
O Azure Defender para Serviço de Aplicações deve estar ativado O Azure Defender para Serviço de Aplicações tira partido da escala da cloud e da visibilidade que o Azure tem como fornecedor de cloud, para monitorizar ataques de aplicações Web comuns. AuditIfNotExists, Desativado 1.0.3

LT-4: Ativar o registo para investigação de segurança

Funcionalidades

Registos de Recursos do Azure

Descrição: o Serviço produz registos de recursos que podem fornecer métricas e registos específicos do serviço melhorados. O cliente pode configurar estes registos de recursos e enviá-los para o seu próprio sink de dados, como uma conta de armazenamento ou uma área de trabalho do Log Analytics. Saiba mais.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
Verdadeiro Falso Cliente

Orientação de Configuração: ative os registos de recursos do Azure Resource Manager. Quando cria e gere recursos no Azure, os seus pedidos são orquestrados através do plano de controlo do Azure, o Azure Resource Manager. Com o registo de recursos, pode monitorizar o volume e a latência dos pedidos do plano de controlo feitos ao Azure. Com estas métricas, pode observar o tráfego e a latência dos pedidos do plano de controlo em todas as suas subscrições. Por exemplo, agora pode descobrir quando os seus pedidos foram limitados ou falharam ao filtrar por códigos de estado específicos.

Referência: Métricas de Resource Manager do Azure no Azure Monitor

Cópia de segurança e recuperação

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Cópia de segurança e recuperação.

BR-1: Garantir cópias de segurança automatizadas regulares

Funcionalidades

Capacidade de Cópia de Segurança Nativa do Serviço

Descrição: o serviço suporta a sua própria capacidade de cópia de segurança nativa (se não estiver a utilizar Azure Backup). Saiba mais.

Suportado Ativado Por Predefinição Responsabilidade de Configuração
Falso Não Aplicável Não Aplicável

Notas de funcionalidades: a exportação de modelos Resource Manager do Azure não pode ser utilizada para capturar dados inativos. Para configurações de recursos, recomendamos que crie uma infraestrutura a partir de modelos de origem e que, quando necessário, volte a implementar a partir dessa origem de verdade. A Exportação de Modelos pode ajudar a iniciar esse processo, mas não é suficientemente robusto para ter em conta a recuperação após desastre.

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

Passos seguintes