Базовый план безопасности Azure для реестра контейнеров

Этот базовый план безопасности применяет рекомендации из microsoft cloud security benchmark версии 1.0 к реестру контейнеров. Тест безопасности облака Майкрософт предоставляет рекомендации по защите облачных решений в Azure. Содержимое группируется элементами управления безопасностью, определенными тестом безопасности Microsoft Cloud Security, и соответствующим руководством, применимым к реестру контейнеров.

Вы можете отслеживать эти базовые показатели безопасности и их рекомендации с помощью Microsoft Defender для облака. Политика Azure определения будут перечислены в разделе "Соответствие нормативным требованиям" на странице портала Microsoft Defender для облака.

Если функция имеет соответствующие определения Политика Azure, они перечислены в этом базовом плане, чтобы помочь вам оценить соответствие требованиям к элементам управления и рекомендациям microsoft cloud security benchmark. Для некоторых рекомендаций может потребоваться платный план Microsoft Defender для включения определенных сценариев безопасности.

Примечание.

Функции , неприменимые к реестру контейнеров, были исключены. Сведения о том, как реестр контейнеров полностью сопоставляется с эталонным показателем безопасности облака Майкрософт, см. полный файл сопоставления базовых показателей безопасности реестра контейнеров.

Профиль безопасности

Профиль безопасности обобщает поведение реестра контейнеров, что может привести к увеличению безопасности.

Атрибут поведения службы	Значение
Категория продукта	Вычисления, контейнеры
Клиент может получить доступ к HOST / OS	Нет доступа
Служба может быть развернута в виртуальной сети клиента	False
Сохраняет содержимое клиента неактивных данных	Истина

Безопасность сети

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: сетевая безопасность.

NS-1: установка границы сегментации сети

Функции

Интеграция с виртуальной сетью

Описание. Служба поддерживает развертывание в частных виртуальная сеть клиента (виртуальная сеть). Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Поддержка группы безопасности сети

Описание. Сетевой трафик службы учитывает назначение правил групп безопасности сети в подсетях. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

NS-2: защита облачных служб с помощью элементов управления сетью

Функции

Приватный канал Azure

Описание: возможность фильтрации ip-адресов в собственном коде службы для фильтрации сетевого трафика (не следует путать с NSG или Брандмауэр Azure). Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Развертывание частных конечных точек для всех ресурсов Azure, поддерживающих функцию Приватный канал, чтобы установить частную точку доступа для ресурсов.

Справочник. Подключение частно к реестру контейнеров Azure с помощью Приватный канал Azure

Отключение доступа к общедоступной сети

Описание. Служба поддерживает отключение доступа к общедоступной сети с помощью правила фильтрации IP-адресов уровня обслуживания (не NSG или Брандмауэр Azure) или переключателя переключателя "Отключить доступ к общедоступной сети". Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Отключение доступа к общедоступной сети с помощью правила фильтрации IP-адресов уровня обслуживания или включение параметра "Отключить доступ к общедоступной сети" в службе.

Справочник. Отключение доступа к общедоступной сети

Мониторинг в Microsoft Defender для облака.

Встроенные определения Политики Azure — Microsoft.ContainerRegistry.

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
В реестрах контейнеров не должен быть разрешен неограниченный сетевой доступ	По умолчанию реестры контейнеров Azure принимают подключения через Интернет от узлов в любой сети. Чтобы защитить свои реестры от потенциальных угроз, разрешите доступ только с частных конечных точек, общедоступных IP-адресов или диапазонов адресов. Если для реестра не настроены сетевые правила, он отобразится как неработоспособный ресурс. Дополнительные сведения о правилах сети реестра контейнеров см. здесь: https://aka.ms/acr/portal/public-networkhttps://aka.ms/acr/privatelink и .https://aka.ms/acr/vnet	Audit, Deny, Disabled	2.0.0

Управление удостоверениями

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Управление удостоверениями.

IM-1: Использование централизованной системы удостоверений и проверки подлинности

Функции

аутентификация Azure AD требуется для доступа к плоскости данных

Описание. Служба поддерживает проверку подлинности Azure AD для доступа к плоскости данных. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	Истина	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник. Проверка подлинности с помощью реестра контейнеров Azure

Методы локальной проверки подлинности для доступа к плоскости данных

Описание. Локальные методы проверки подлинности, поддерживаемые для доступа к плоскости данных, например локальное имя пользователя и пароль. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Заметки о функциях. Избегайте использования локальных методов проверки подлинности или учетных записей, их следует отключить везде, где это возможно. Вместо этого используйте Azure AD для проверки подлинности по возможности.

Руководство по настройке. Ограничение использования локальных методов проверки подлинности для доступа к плоскости данных. Вместо этого используйте Azure Active Directory (Azure AD) в качестве метода проверки подлинности по умолчанию для управления доступом к плоскости данных.

Справочник. Создание маркера с разрешениями на уровне репозитория

IM-3: Безопасное и автоматическое управление удостоверениями приложений

Функции

управляемые удостоверения.

Описание. Действия уровня данных поддерживают проверку подлинности с помощью управляемых удостоверений. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Используйте управляемые удостоверения Azure вместо субъектов-служб, которые могут проходить проверку подлинности в службах и ресурсах Azure, поддерживающих проверку подлинности Azure Active Directory (Azure AD). За администрирование, смену и защиту учетных данных управляемых удостоверений полностью отвечает платформа. Это позволяет избежать прямого указания учетных данных в файлах исходного кода или в файлах конфигурации.

Справочник. Использование управляемого удостоверения Azure для проверки подлинности в реестре контейнеров Azure

Субъекты-службы

Описание. Плоскость данных поддерживает проверку подлинности с помощью субъектов-служб. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Дополнительное руководство. Хотя субъекты-службы поддерживаются службой в качестве шаблона проверки подлинности, рекомендуется использовать управляемые удостоверения, где это возможно.

Справочник. Проверка подлинности Реестр контейнеров Azure с помощью субъектов-служб

IM-7: Ограничение доступа к ресурсам на основе условий

Функции

Условный доступ для плоскости данных

Описание. Доступ к плоскости данных можно контролировать с помощью политик условного доступа Azure AD. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Привилегированный доступ

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: привилегированный доступ.

PA-1. Изолируйте и ограничивайте число пользователей с высокими привилегиями и правами администратора

Функции

Учетные записи локального администратора

Описание. Служба имеет концепцию локальной административной учетной записи. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Заметки о функциях. Избегайте использования локальных методов проверки подлинности или учетных записей, их следует отключить везде, где это возможно. Вместо этого используйте Azure AD для проверки подлинности по возможности.

Руководство по настройке. Если не требуется для обычных административных операций, отключите или ограничьте учетные записи локального администратора только для экстренного использования. Каждый реестр контейнеров содержит учетную запись администратора, которая отключена по умолчанию.

Справочник. Проверка подлинности с помощью реестра контейнеров Azure

PA-7. Использование Just Enough Administration (принцип предоставления наименьших прав)

Функции

Azure RBAC для плоскости данных

Описание. Контроль доступа на основе ролей Azure (Azure RBAC) можно использовать для управления доступом к действиям уровня данных службы. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	Истина	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник: Реестр контейнеров Azure роли и разрешения

PA-8. Определение процесса доступа для поддержки поставщика облачных служб

Функции

Защищенное хранилище

Описание. Для доступа в службу поддержки Майкрософт можно использовать папку "Блокировка клиента". Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. В сценариях поддержки, в которых корпорация Майкрософт должна получить доступ к данным, используйте блокировку клиента для проверки, а затем утвердить или отклонить все запросы на доступ к данным Майкрософт.

Справочник. Блокировка клиента для Microsoft Azure

Защита данных

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: защита данных.

DP-1. Обнаружение, классификация конфиденциальных данных и добавление к ним тегов

Функции

Обнаружение конфиденциальных данных и классификация

Описание. Средства (например, Azure Purview или Azure Information Protection) можно использовать для обнаружения и классификации данных в службе. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-2: отслеживание аномалий и угроз, нацеленных на конфиденциальные данные

Функции

Защита от утечки и потери данных

Описание. Служба поддерживает решение защиты от потери данных для мониторинга перемещения конфиденциальных данных (в содержимом клиента). Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Отключение экспорта реестра контейнеров для обеспечения доступа к данным осуществляется исключительно через плоскость данных (docker pull). Это гарантирует, что данные не могут быть перемещены из реестра с помощью инструкции "импорт acr" или "acr transfer".

Справочник. Реестры контейнеров должны иметь отключенные экспорты

DP-3: шифрование передаваемых конфиденциальных данных

Функции

Данные в транзитном шифровании

Описание. Служба поддерживает шифрование данных в транзитном режиме для плоскости данных. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	Истина	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник. Включение TLS 1.2 в Реестр контейнеров Azure

DP-4: включение шифрования неактивных данных по умолчанию

Функции

Шифрование неактивных данных с помощью ключей платформы

Описание. Шифрование неактивных данных с помощью ключей платформы поддерживается, любое содержимое клиента, неактивное, шифруется с помощью этих управляемых корпорацией Майкрософт ключей. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	Истина	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник. Шифрование реестра с помощью ключа, управляемого платформой

DP-5: использование ключа, управляемого клиентом, для шифрования неактивных данных при необходимости

Функции

Шифрование неактивных данных с помощью CMK

Описание. Шифрование неактивных данных с помощью ключей, управляемых клиентом, поддерживается для содержимого клиента, хранящегося службой. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Если требуется для соответствия нормативным требованиям, определите вариант использования и область обслуживания, где требуется шифрование с помощью ключей, управляемых клиентом. Включите и реализуйте шифрование неактивных данных с помощью ключа, управляемого клиентом для этих служб.

Справочник. Шифрование реестра с помощью ключа, управляемого клиентом

Мониторинг в Microsoft Defender для облака.

Встроенные определения Политики Azure — Microsoft.ContainerRegistry.

Имя. (портал Azure)	Description	Действие	Версия (GitHub)
Реестры контейнеров должны шифроваться с помощью ключа, управляемого клиентом	Используйте ключи, управляемые клиентом, для управления шифрованием неактивного содержимого реестров. По умолчанию неактивные данные шифруются с помощью ключей, управляемых службой, но для соблюдения нормативных требований обычно требуются ключи, управляемые клиентом. Ключи, управляемые клиентом, позволяют шифровать данные с помощью ключа Azure Key Vault, создателем и владельцем которого являетесь вы. Вы полностью контролируете жизненный цикл ключа, включая его смену и управление им. Узнайте больше по адресу https://aka.ms/acr/CMK.	Audit, Deny, Disabled	1.1.2

DP-6: безопасное управление ключами

Функции

Управление ключами в Azure Key Vault

Описание. Служба поддерживает интеграцию Azure Key Vault для любых ключей клиентов, секретов или сертификатов. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Управление активами

Дополнительные сведения см. в руководстве по управлению ресурсами в Microsoft Cloud Security.

AM-2: использование только утвержденных служб

Функции

Поддержка службы "Политика Azure"

Описание. Конфигурации служб можно отслеживать и применять с помощью Политика Azure. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Используйте Microsoft Defender для облака для настройки Политика Azure для аудита и применения конфигураций ресурсов Azure. Воспользуйтесь Azure Monitor, чтобы создавать оповещения при обнаружении отклонений в ресурсах. Используйте Политика Azure [запрет] и [развертывание, если не существует], чтобы обеспечить безопасную конфигурацию в ресурсах Azure.

Справочник. Аудит соответствия реестров контейнеров Azure с помощью Политика Azure

Ведение журнала и обнаружение угроз

Дополнительные сведения см. в тестовом тесте облачной безопасности Майкрософт: ведение журнала и обнаружение угроз.

LT-1. Включение возможностей обнаружения угроз

Функции

Microsoft Defender для службы или предложения продуктов

Описание. Служба имеет решение Microsoft Defender для мониторинга и оповещения о проблемах безопасности. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Используйте встроенные возможности обнаружения угроз Microsoft Defender для облака и включите Microsoft Defender для ресурсов реестра контейнеров. Microsoft Defender для Реестра контейнеров обеспечивает еще один слой аналитики безопасности. Он выявляет необычные и потенциально опасные попытки получить доступ к ресурсам Реестра контейнеров или воспользоваться ими.

Справочник. Обзор Microsoft Defender для контейнеров

LT-4. Включение ведения журнала для исследования безопасности

Функции

Журналы ресурсов Azure

Описание. Служба создает журналы ресурсов, которые могут предоставлять расширенные метрики и ведение журнала для конкретной службы. Клиент может настроить эти журналы ресурсов и отправить их в собственный приемник данных, например учетную запись хранения или рабочую область Log Analytics. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
Истина	False	Клиент

Руководство по настройке. Включение журналов ресурсов Azure для реестра контейнеров. Вы можете использовать Microsoft Defender for Cloud и Политику Azure, чтобы включить журналы ресурсов и сбор данных журналов. Эти журналы могут быть критически важными для изучения инцидентов безопасности и выполнения экспертных задач.

Справочник. Мониторинг Реестр контейнеров Azure

Резервное копирование и восстановление

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: резервное копирование и восстановление.

BR-1. Обеспечение регулярного автоматического резервного копирования

Функции

Azure Backup

Описание. Служба может создавать резервную копию службы Azure Backup. Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Возможность резервного копирования в собственном коде службы

Описание. Служба поддерживает собственные возможности резервного копирования (если не используется Azure Backup). Подробнее.

Поддерживается	Включен по умолчанию	Ответственность за конфигурацию
False	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Следующие шаги

• Ознакомьтесь с обзором microsoft cloud security benchmark
• Дополнительные сведения о базовой конфигурации безопасности Azure.