Базовые показатели безопасности Azure для резервного копирования

Этот базовый уровень безопасности применяет рекомендации из Microsoft Cloud Security Benchmark версии 1.0 к Backup. Тест безопасности облака Майкрософт предоставляет рекомендации по защите облачных решений в Azure. Содержимое сгруппировано элементами управления безопасностью, определенными тестом безопасности Microsoft Cloud Security, и соответствующим руководством, применимым к резервному копированию.

Вы можете отслеживать эти базовые показатели безопасности и их рекомендации с помощью Microsoft Defender для облака. Определения политики Azure будут перечислены в разделе "Соответствие нормативным требованиям" на странице портала Microsoft Defender для облака.

Если функция имеет соответствующие определения политики Azure, они перечислены в этом базовом плане, чтобы помочь вам оценить соответствие требованиям средств управления и рекомендаций microsoft cloud security benchmark. Для некоторых рекомендаций может потребоваться платный план Microsoft Defender для включения определенных сценариев безопасности.

Замечание

Функции , неприменимые к резервному копированию, были исключены. Чтобы узнать, как резервное копирование полностью сопоставляется с эталонным показателем безопасности в облаке Майкрософт, см. полный файл сопоставления базовых показателей безопасности резервного копирования.

Профиль безопасности

Профиль безопасности резюмирует воздействия резервного копирования, которые могут привести к увеличению рисков безопасности.

Атрибут поведения службы	Ценность
Категория продукта	MGMT/Governance
Клиент может получить доступ к HOST / OS	Нет доступа
Служба может быть развернута в виртуальной сети клиента	Неправда
Сохраняет содержимое данных клиента в состоянии покоя	Неправда

Сетевая безопасность

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: сетевая безопасность.

NS-2. Защита облачных служб с помощью сетевых элементов управления

Функции

Приватный канал Azure

описание: возможность фильтрации собственных IP-адресов службы для фильтрации сетевого трафика (не следует путать с NSG или брандмауэром Azure). Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
True	Неправда	Клиент

Руководство по настройке. Развертывание частных конечных точек для всех ресурсов Azure, поддерживающих функцию приватного канала, чтобы установить частную точку доступа для ресурсов.

Справочник. Доступность Приватного канала Azure

Отключение доступа к общедоступной сети

Описание: Служба поддерживает отключение доступа к общедоступной сети либо через использование правила фильтрации IP-адресов на уровне службы (не NSG или брандмауэра Azure), либо через переключатель "Отключить доступ к общедоступной сети". Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
True	Неправда	Клиент

Руководство по настройке: Отключите доступ к общедоступной сети с помощью правила фильтрации IP-адресов служебного уровня или переключателя отключения доступа к общедоступной сети.

Справочник: Запретить доступ из общедоступной сети к хранилищу

Управление идентичностью

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Управление удостоверениями.

IM-3. Безопасное и автоматическое управление идентичностями приложений

Функции

Управляемые учётные записи

Описание: Действия в плоскости данных поддерживают аутентификацию с использованием управляемых удостоверений. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Неправда	Не применимо	Не применимо

Технические замечания: Управляемое удостоверение можно создать для вашего хранилища и действует только на плоскости управления.

Более подробную информацию см. в статье "Включение управляемого удостоверения для вашего хранилища".

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

IM-8. Ограничение раскрытия учетных данных и секретов

Функции

Поддержка интеграции и хранения учетных данных служб и секретов в Azure Key Vault

Описание: Плоскость управления данными поддерживает нативное использование Azure Key Vault для хранения учетных данных и секретов. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
True	Неправда	Клиент

Заметки о функциях. Эта функция поддерживается для всех сценариев, кроме локального сценария, в котором файл учетных данных хранилища не хранится в AKV.

Рекомендации по конфигурации: Убедитесь, что секреты и учетные данные хранятся в безопасных местах, таких как Azure Key Vault, вместо встраивания их в код или файлы конфигурации.

Справочник. Настройка хранилища для шифрования с помощью ключей, управляемых клиентом

Привилегированный доступ

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: привилегированный доступ.

PA-7. Следуйте принципу достаточного уровня администрирования (принцип наименьших привилегий)

Функции

Azure RBAC для плоскости данных

Описание. Управление доступом в Azure Role-Based (Azure RBAC) можно использовать для управления доступом к действиям уровня данных службы. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Неправда	Не применимо	Не применимо

Заметки о функциях: Azure RBAC поддерживается для действий уровня управления.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Защита данных

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: защита данных.

DP-2. Мониторинг аномалий и угроз, нацеленных на конфиденциальные данные

Функции

Защита от утечки и потери данных

Описание: Служба поддерживает решение DLP для мониторинга перемещения конфиденциальной информации (в контенте клиента). Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
True	Неправда	Клиент

Заметки о функциях: Azure Backup поддерживает расширенные функции, такие как неизменяемые хранилища, мягкое удаление, многопользовательская авторизация, которые могут помочь защитить данные резервного копирования клиентов, которые обычно чувствительны по своей природе.

Дополнительные сведения см. в статье: Immutable Vault, мягкое удаление и многопользовательская авторизация

Руководство по настройке. Для этой конфигурации компонентов нет текущих рекомендаций Майкрософт. Проверьте и определите, хотите ли ваша организация настроить эту функцию безопасности.

DP-3. Шифрование конфиденциальных данных при передаче

Функции

Шифрование данных в пути

Описание: Служба поддерживает шифрование данных в процессе передачи для канала данных. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
True	True	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник:Безопасность транспортного уровня (TLS) при резервном копировании

DP-4. Включение шифрования неактивных данных по умолчанию

Функции

Шифрование неактивных данных с помощью ключей платформы

Описание. Шифрование неактивных данных с помощью ключей платформы поддерживается, любое содержимое клиента, неактивное, шифруется с помощью этих управляемых корпорацией Майкрософт ключей. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
True	True	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник. Уровень шифрования в azure-backup

DP-5. Использование параметра ключа, управляемого клиентом, в неактивных шифрованиях данных при необходимости

Функции

Шифрование неактивных данных с помощью CMK

Описание. Шифрование неактивных данных с помощью ключей, управляемых клиентом, поддерживается для содержимого клиента, хранящегося службой. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
True	Неправда	Клиент

Руководство по настройке. Если требуется для соответствия нормативным требованиям, определите вариант использования и область обслуживания, где требуется шифрование с помощью ключей, управляемых клиентом. Включите и реализуйте шифрование неактивных данных с помощью ключа, управляемого клиентом для этих служб.

Справочник. Шифрование данных резервного копирования с помощью ключей, управляемых клиентом

DP-6. Использование процесса безопасного управления ключами

Функции

Управление ключами в Azure Key Vault

Описание. Служба поддерживает интеграцию Azure Key Vault для любых ключей клиентов, секретов или сертификатов. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
True	Неправда	Клиент

Руководство по настройке. Используйте Azure Key Vault для создания и управления жизненным циклом ключей шифрования, включая создание ключей, распространение и хранение. Ротируйте и отзывайте ключи в Azure Key Vault и вашей службе по определенному расписанию или в случае вывода ключа из использования или его компрометации. Если необходимо использовать управляемый клиентом ключ (CMK) в рабочей нагрузке, службе или на уровне приложения, убедитесь, что вы следуйте рекомендациям по управлению ключами: используйте иерархию ключей для создания отдельного ключа шифрования данных (DEK) с ключом шифрования ключей (KEK) в хранилище ключей. Убедитесь, что ключи зарегистрированы в Azure Key Vault и указываются с помощью идентификаторов ключей из службы или приложения. Если вам нужно перенести собственный ключ (BYOK) в службу (например, импорт ключей, защищенных HSM, из локальных HSM в Azure Key Vault), следуйте рекомендациям по выполнению первоначального создания ключей и передачи ключей.

Справочник. Шифрование в Azure Backup

DP-7. Использование процесса управления безопасными сертификатами

Функции

Управление сертификатами в Azure Key Vault

Описание. Служба поддерживает интеграцию Azure Key Vault для любых сертификатов клиентов. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
True	Неправда	Клиент

Руководство по настройке. Создание и управление жизненным циклом сертификата с помощью Azure Key Vault, включая создание, импорт, смену, отзыв, хранение и очистку сертификата. Убедитесь, что создание сертификатов соответствует определенным стандартам без использования небезопасных свойств, таких как недостаточный размер ключа, слишком длительный срок действия, небезопасная криптография. Настройте автоматическую смену сертификата в Azure Key Vault и службе Azure (если она поддерживается) на основе определенного расписания или истечения срока действия сертификата. Если автоматическая смена не поддерживается в приложении, убедитесь, что они по-прежнему поворачиваются с помощью ручных методов в Azure Key Vault и приложении.

Справочник. Шифрование резервных копий

Управление активами

Дополнительные сведения см. в эталонном показателе безопасности облака Microsoft: Управление активами.

AM-2. Использование только утвержденных служб

Функции

Поддержка политик Azure

Описание. Конфигурации служб можно отслеживать и применять с помощью политики Azure. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
True	True	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник. Резервное копирование политики Azure

Ведение журнала и обнаружение угроз

Дополнительные сведения см. в тестовом тесте облачной безопасности Майкрософт: ведение журнала и обнаружение угроз.

LT-1. Включение возможностей обнаружения угроз

Функции

Microsoft Defender для предложения сервисов/продуктов

Описание. Служба имеет решение Microsoft Defender для мониторинга и оповещения о проблемах безопасности. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Неправда	Не применимо	Не применимо

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

LT-4. Включение логирования для расследования инцидентов безопасности

Функции

Журналы ресурсов Azure

Описание. Служба создает журналы ресурсов, которые могут предоставлять расширенные метрики и ведение журнала для конкретной службы. Клиент может настроить эти журналы ресурсов и отправить их в собственный приемник данных, например учетную запись хранения или рабочую область Log Analytics. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
True	Неправда	Клиент

Руководство по настройке. Включение журналов ресурсов для службы. Например, Key Vault поддерживает дополнительные журналы ресурсов для действий, которые получают секрет из хранилища ключей или в SQL Azure есть журналы ресурсов, отслеживающие запросы к базе данных. Содержимое журналов ресурсов зависит от типа службы и ресурса Azure.

Справочник. Использование параметров диагностики для хранилищ служб восстановления

Резервное копирование и восстановление

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: резервное копирование и восстановление.

BR-1. Обеспечение регулярного автоматического резервного копирования

Функции

Azure Backup

Описание: Служба может быть резервно сохранена службой Azure Backup. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
True	True	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Мониторинг Microsoft Defender в облаке

Встроенные определения политики Azure — Microsoft.RecoveryServices:

Имя (портал Azure)	Description	Effect(s)	Версия (GitHub)
Необходимо включить Azure Backup для Виртуальных машин	Обеспечьте защиту виртуальных машин Azure, включив Azure Backup — Azure Backup — это безопасное и экономичное решение для защиты данных в Azure.	AuditIfNotExists, отключено	3.0.0

Дальнейшие шаги

• Ознакомьтесь с обзором Microsoft Cloud Security Benchmark
• Дополнительные сведения о базовых показателях безопасности Azure