Рекомендации по безопасности вычислений

В этой статье перечислены все рекомендации по безопасности вычислений с несколькими облаками, которые могут отображаться в Microsoft Defender для облака.

Рекомендации, которые отображаются в вашей среде, основаны на ресурсах, которые вы защищаете, и на настраиваемой конфигурации. Вы можете просмотреть рекомендации на портале , которые применяются к ресурсам.

Дополнительные сведения о действиях, которые можно выполнить в ответ на эти рекомендации, см. в статье РекомендацииRemediate в Defender для облака.

Совет

Если описание рекомендации говорит , что связанная политика, обычно это связано с другой рекомендацией.

Например, при исправлении сбоев работоспособности Endpoint Protection рекомендуется проверить, установлено ли решение для защиты конечных точек (необходимо установить решение Endpoint Protection). Базовая рекомендация имеет политику. Ограничение политик только базовыми рекомендациями упрощает управление политиками.

Рекомендации по вычислениям Azure

На компьютерах (с Центром обновления) должны быть установлены обновления системы

Описание. Компьютеры отсутствуют в системе, безопасности и критически важных обновлениях. Обновления программного обеспечения часто содержат критически важные исправления для уязвимостей в системе безопасности. Такие уязвимости часто используются в атаках вредоносных программ, поэтому программное обеспечение крайне важно обновлять. Чтобы установить все актуальные исправления и защитить компьютеры, выполните действия по исправлению.

Серьезность: низкая

Компьютеры должны быть настроены для периодической проверки отсутствия обновлений системы

Описание. Чтобы гарантировать, что периодические оценки отсутствующих обновлений системы активируются автоматически каждые 24 часа, свойство AssessmentMode должно иметь значение AutomaticByPlatform. Дополнительные сведения о свойстве AssessmentMode для Windows: https://aka.ms/computevm-windowspatchassessmentmodeдля Linux: https://aka.ms/computevm-linuxpatchassessmentmode.

Серьезность: низкая

На компьютерах должны быть включены адаптивные элементы управления приложениями для определения безопасных приложений.

Описание. Включение элементов управления приложениями для определения списка известных безопасных приложений, работающих на компьютерах, и оповещение о выполнении других приложений. Это поможет защитить компьютеры от вредоносных программ. Чтобы упростить процесс настройки и обслуживания правил, Defender для облака использует машинное обучение для анализа приложений, выполняющихся на каждом компьютере, и предлагает список проверенных безопасных приложений. (Связанная политика: Адаптивные элементы управления приложениями для определения безопасных приложений должны быть включены на компьютерах).

Уровень серьезности: Высокий

Правила списка разрешений в политике адаптивного управления приложениями должны быть обновлены

Описание. Мониторинг изменений в поведении на группах компьютеров, настроенных для аудита с помощью адаптивных элементов управления приложениями Defender для облака. Defender для облака с помощью машинного обучения анализирует запущенные на компьютерах процессы и предлагает список известных безопасных приложений. Эти приложения рекомендуется разрешать в политиках адаптивных элементов управления приложениями. (Связанная политика: следует обновить правила списка в политике адаптивного управления приложениями).

Уровень серьезности: Высокий

При аутентификации на компьютерах Linux должны использоваться ключи SSH

Описание. Хотя SSH сам предоставляет зашифрованное подключение, использование паролей с SSH по-прежнему оставляет виртуальную машину уязвимой для атак подбора. Самый безопасный вариант проверки подлинности на виртуальной машине Linux Azure по протоколу SSH — с парой открытого закрытого ключа, также известной как ключи SSH. Дополнительные сведения см. в разделе Подробные инструкции: создание ключей SSH для аутентификации на виртуальной машине Linux в Azure и управление этими ключами. (Связанная политика: Аудит компьютеров Linux, которые не используют ключ SSH для проверки подлинности).

Серьезность: Средняя

Необходимо включить шифрование для переменных учетной записи службы автоматизации

Описание. Важно включить шифрование ресурсов переменной учетной записи службы автоматизации при хранении конфиденциальных данных. (Связанная политика: Переменные учетной записи службы автоматизации должны быть зашифрованы).

Уровень серьезности: Высокий

Необходимо включить Azure Backup для виртуальных машин.

Описание. Защита данных на виртуальных машинах Azure с помощью Azure Backup. Служба Azure Backup — это собственное экономичное решение для защиты данных в Azure. Она создает точки восстановления, которые хранятся в геоизбыточных хранилищах восстановления. Используя точку восстановления, можно восстановить всю виртуальную машину или определенные файлы. (Связанная политика: Azure Backup следует включить для Виртуальные машины).

Серьезность: низкая

(предварительная версия) Локальные компьютеры Azure должны соответствовать требованиям secured-core

Описание. Убедитесь, что все локальные компьютеры Azure соответствуют требованиям secured-core. (Связанная политика: Расширение гостевой конфигурации должно быть установлено на компьютерах — Microsoft Azure).

Серьезность: низкая

(предварительная версия) Локальные компьютеры Azure должны постоянно применять политики управления приложениями

Описание. Как минимум, примените базовую политику Microsoft WDAC в принудительном режиме на всех локальных компьютерах Azure. Примененные политики управления приложениями Microsoft Defender (WDAC) должны быть согласованы между серверами в одном кластере. (Связанная политика: Расширение гостевой конфигурации должно быть установлено на компьютерах — Microsoft Azure).

Уровень серьезности: Высокий

(предварительная версия) Локальные системы Azure должны иметь зашифрованные тома

Описание. Используйте BitLocker для шифрования томов ОС и данных в локальных системах Azure. (Связанная политика: Расширение гостевой конфигурации должно быть установлено на компьютерах — Microsoft Azure).

Уровень серьезности: Высокий

Узлы контейнера должны быть настроены в безопасном режиме

Описание. Исправление уязвимостей в параметрах конфигурации безопасности на компьютерах с установленным Docker для защиты от атак. (Связанная политика: Уязвимости в конфигурациях безопасности контейнера должны быть устранены).

Уровень серьезности: Высокий

Должны быть включены журналы диагностики в Azure Stream Analytics.

Описание. Включите журналы и сохраните их до года. Это позволит воссоздать следы действий для анализа инцидентов безопасности или при компрометации сети. (Связанная политика: Журналы диагностики в Azure Stream Analytics должны быть включены).

Серьезность: низкая

Необходимо включить журналы диагностики в учетных записях пакетной службы

Описание. Включите журналы и сохраните их до года. Это позволит воссоздать следы действий для анализа инцидентов безопасности или при компрометации сети. (Связанная политика: Журналы диагностики в учетных записях пакетной службы должны быть включены).

Серьезность: низкая

Журналы диагностики в Центрах событий должны быть включены

Описание. Включите журналы и сохраните их до года. Это позволит воссоздать следы действий для анализа инцидентов безопасности или при компрометации сети. (Связанная политика: Журналы диагностики в Центрах событий должны быть включены).

Серьезность: низкая

Необходимо включить журналы диагностики в Logic Apps

Описание. Чтобы обеспечить повторное создание следов действий для расследования при возникновении инцидента безопасности или компрометации сети, включите ведение журнала. Если журналы диагностики не отправляются в рабочую область Log Analytics, служба хранилища Azure учетную запись или Центры событий Azure, убедитесь, что вы настроили параметры диагностики для отправки метрик платформы и журналов платформы в соответствующие назначения. Дополнительные сведения см. в статье "Создание параметров диагностики для отправки журналов платформы и метрик в различные назначения". (Связанная политика: Журналы диагностики в Logic Apps должны быть включены.

Серьезность: низкая

В Служебной шине должны быть включены журналы диагностики.

Описание. Включите журналы и сохраните их до года. Это позволит воссоздать следы действий для анализа инцидентов безопасности или при компрометации сети. (Связанная политика: Журналы диагностики в служебная шина должны быть включены).

Серьезность: низкая

В масштабируемых наборах виртуальных машин должны быть включены журналы диагностики.

Описание. Включите журналы и сохраните их до года. Это позволит воссоздать следы действий для анализа инцидентов безопасности или при компрометации сети. (Связанная политика: Журналы диагностики в Масштабируемые наборы виртуальных машин должны быть включены).

Уровень серьезности: Высокий

Проблемы с конфигурацией EDR должны быть устранены на виртуальных машинах

Описание. Чтобы защитить виртуальные машины от последних угроз и уязвимостей, устраните все выявленные проблемы конфигурации с установленным решением обнаружения и реагирования конечных точек (EDR). В настоящее время эта рекомендация применяется только к ресурсам с включенным Microsoft Defender для конечной точки.

Эта рекомендация по конечной точке без агента доступна, если у вас есть план Defender для серверов 2 или план CSPM Defender. Дополнительные сведения о рекомендациях по защите конечных точек без агента.

• Эти новые рекомендации по конечным точкам без агента поддерживают компьютеры Azure и multicloud. Локальные серверы не поддерживаются.
• Эти новые рекомендации по конечным точкам без агента заменяют существующие рекомендации Endpoint Protection должны быть установлены на компьютерах и проблемы со работоспособностью Endpoint Protection должны быть устранены на компьютерах.
• Эти старые рекомендации используют агент MMA/AMA и будут заменены, так как агенты постепенно удаляются в Defender для серверов.

Серьезность: низкая

Решение EDR должно быть установлено на Виртуальные машины

Описание. Установка решения обнаружения конечных точек и реагирования (EDR) на виртуальных машинах важна для защиты от расширенных угроз. EDRs помогает предотвратить, обнаруживать, исследовать и реагировать на эти угрозы. Microsoft Defender для серверов можно использовать для развертывания Microsoft Defender для конечной точки.

• Если ресурс классифицируется как "Неработоспособное", он указывает на отсутствие поддерживаемого решения EDR.
• Если решение EDR установлено, но недоступно для обнаружения с помощью этой рекомендации, его можно исключить.
• Без решения EDR виртуальные машины подвергаются риску расширенных угроз.

Эта рекомендация по конечной точке без агента доступна, если у вас есть план Defender для серверов 2 или план CSPM Defender. Дополнительные сведения о рекомендациях по защите конечных точек без агента.

• Эти новые рекомендации по конечным точкам без агента поддерживают компьютеры Azure и multicloud. Локальные серверы не поддерживаются.
• Эти новые рекомендации по конечным точкам без агента заменяют существующие рекомендации Endpoint Protection должны быть установлены на компьютерах и проблемы со работоспособностью Endpoint Protection должны быть устранены на компьютерах.
• Эти старые рекомендации используют агент MMA/AMA и будут заменены, так как агенты постепенно удаляются в Defender для серверов.

Уровень серьезности: Высокий

Необходимо устранить проблемы работоспособности Endpoint Protection в масштабируемых наборах виртуальных машин.

Описание. В масштабируемых наборах виртуальных машин исправьте ошибки работоспособности защиты конечных точек, чтобы защитить их от угроз и уязвимостей. (Связанная политика: Решение для защиты конечных точек должно быть установлено на масштабируемых наборах виртуальных машин.

Серьезность: низкая

Необходимо установить защиту конечных точек в масштабируемых наборах виртуальных машин

Описание. Установите решение защиты конечных точек на масштабируемых наборах виртуальных машин, чтобы защитить их от угроз и уязвимостей. (Связанная политика: Решение для защиты конечных точек должно быть установлено на масштабируемых наборах виртуальных машин.

Уровень серьезности: Высокий

Мониторинг целостности файлов должен быть включен на компьютерах

Описание: Defender для облака определил компьютеры, которые отсутствуют в решении для мониторинга целостности файлов. Чтобы отслеживать изменения в критически важных файлах, разделы реестра и многое другое на серверах, включите мониторинг целостности файлов. Если решение для мониторинга целостности файлов включено, создайте правила сбора данных для определения отслеживаемых файлов. Чтобы определить правила или просмотреть файлы, измененные на компьютерах с существующими правилами, перейдите на страницу управления целостностью файлов. (Связанная политика отсутствует)

Уровень серьезности: Высокий

На поддерживаемых масштабируемых наборах виртуальных машин Linux должно быть установлено расширение аттестации гостей

Описание. Установите расширение аттестации гостей на поддерживаемых масштабируемых наборах виртуальных машин Linux, чтобы позволить Microsoft Defender для облака заранее тестировать и отслеживать целостность загрузки. После установки целостность загрузки будет подтверждаться с помощью удаленной аттестации. Эта оценка применяется только к доверенным масштабируемым наборам виртуальных машин Linux с включенным запуском.

• Для доверенного запуска требуется создание новых виртуальных машин.
• Невозможно включить доверенный запуск на существующих виртуальных машинах, которые изначально были созданы без него.

Дополнительные сведения см. в разделе Доверенный запуск виртуальных машин Azure. (Связанная политика отсутствует)

Серьезность: низкая

На поддерживаемых виртуальных машинах Linux должно быть установлено расширение аттестации гостей

Описание. Установите расширение аттестации гостей на поддерживаемых виртуальных машинах Linux, чтобы позволить Microsoft Defender для облака заранее подтвердить и отслеживать целостность загрузки. После установки целостность загрузки будет подтверждаться с помощью удаленной аттестации. Эта оценка применяется только к доверенным виртуальным машинам Linux с включенным запуском.

• Для доверенного запуска требуется создание новых виртуальных машин.
• Невозможно включить доверенный запуск на существующих виртуальных машинах, которые изначально были созданы без него.

Дополнительные сведения см. в разделе Доверенный запуск виртуальных машин Azure. (Связанная политика отсутствует)

Серьезность: низкая

На поддерживаемых масштабируемых наборах виртуальных машин Windows должно быть установлено расширение аттестации гостей

Описание. Установите расширение аттестации гостей на поддерживаемых масштабируемых наборах виртуальных машин, чтобы позволить Microsoft Defender для облака заранее подтвердить и отслеживать целостность загрузки. После установки целостность загрузки будет подтверждаться с помощью удаленной аттестации. Эта оценка применяется только к доверенным масштабируемым наборам виртуальных машин с включенным запуском.

• Для доверенного запуска требуется создание новых виртуальных машин.
• Невозможно включить доверенный запуск на существующих виртуальных машинах, которые изначально были созданы без него.

Дополнительные сведения см. в разделе Доверенный запуск виртуальных машин Azure. (Связанная политика отсутствует)

Серьезность: низкая

На поддерживаемых виртуальных машинах Windows должно быть установлено расширение аттестации гостей

Описание. Установите расширение аттестации гостей на поддерживаемых виртуальных машинах, чтобы позволить Microsoft Defender для облака заранее подтвердить и отслеживать целостность загрузки. После установки целостность загрузки будет подтверждаться с помощью удаленной аттестации. Эта оценка применяется только к доверенным виртуальным машинам с включенным запуском.

• Для доверенного запуска требуется создание новых виртуальных машин.
• Невозможно включить доверенный запуск на существующих виртуальных машинах, которые изначально были созданы без него.

Дополнительные сведения см. в разделе Доверенный запуск виртуальных машин Azure. (Связанная политика отсутствует)

Серьезность: низкая

На компьютерах должно быть установлено расширение "Гостевая конфигурация"

Описание. Чтобы обеспечить безопасные конфигурации гостевых параметров компьютера, установите расширение гостевой конфигурации. К гостевым параметрам, которые отслеживает расширение, относятся конфигурация операционной системы, конфигурация или наличие приложения и настройки среды. После установки политики в гостевом режиме будут доступны, например Windows Exploit Guard, должны быть включены. (Связанная политика: Виртуальные машины должны иметь расширение гостевой конфигурации.

Серьезность: Средняя

(предварительная версия) Сеть узлов и виртуальных машин должна быть защищена в локальных системах Azure

Описание. Защита данных в сети локального узла Azure и подключений к сети виртуальной машины. (Связанная политика: Расширение гостевой конфигурации должно быть установлено на компьютерах — Microsoft Azure).

Серьезность: низкая

Установите решение для защиты конечных точек на виртуальных машинах

Описание. Установите решение защиты конечных точек на виртуальных машинах, чтобы защитить их от угроз и уязвимостей. (Связанная политика: Отслеживайте отсутствие Endpoint Protection в Центр безопасности Azure).

Уровень серьезности: Высокий

Виртуальные машины Linux должны включать Шифрование дисков Azure или EncryptionAtHost

Описание. По умолчанию ОС виртуальной машины и диски данных шифруются неактивных с помощью ключей, управляемых платформой; временные диски и кэши данных не шифруются, а данные не шифруются при потоковой синхронизации между вычислительными ресурсами и ресурсами хранилища. Используйте Шифрование дисков Azure или EncryptionAtHost для шифрования всех этих данных. Обзор вариантов шифрования управляемых дисков для сравнения предложений шифрования. Эта политика требует настройки двух условий в рамках области применения этой политики. Дополнительные сведения см. в разделе "Общие сведения о конфигурации компьютера Azure". (Связанная политика: Виртуальные машины Linux должны включать Шифрование дисков Azure или EncryptionAtHost).

Заменяет старые виртуальные машины рекомендаций , которые должны шифровать временные диски, кэши и потоки данных между ресурсами вычислений и хранилища. Эта рекомендация позволяет проверять соответствие шифрования виртуальных машин.

Уровень серьезности: Высокий

Виртуальные машины Linux должны обеспечивать проверку подписи модуля ядра

Описание. Чтобы устранить проблемы с выполнением вредоносного или несанкционированного кода в режиме ядра, примените проверку подписи модуля ядра на поддерживаемых виртуальных машинах Linux. Проверка подписи модуля ядра гарантирует, что будет разрешаться выполнение только доверенных модулей ядра. Эта оценка применяется только к виртуальным машинам Linux с установленным агентом Azure Monitor. (Связанная политика отсутствует)

Серьезность: низкая

Виртуальные машины Linux должны использовать только подписанные и доверенные компоненты загрузки

Описание. При включенной безопасной загрузке все компоненты загрузки ОС (загрузчик, ядро, драйверы ядра) должны быть подписаны доверенными издателями. Defender для облака определили ненадежные компоненты загрузки ОС на одном или нескольких компьютерах Linux. Чтобы защитить компьютеры от потенциально вредоносных компонентов, добавьте их в список разрешений или удалите обнаруженные компоненты. (Связанная политика отсутствует)

Серьезность: низкая

Виртуальные машины Linux должны использовать безопасную загрузку.

Описание. Чтобы защититься от установки вредоносных программ rootkits и загрузочных комплектов, включите безопасную загрузку на поддерживаемых виртуальных машинах Linux. Безопасная загрузка гарантирует, что будет разрешаться запуск только подписанных операционных систем и драйверов. Эта оценка применяется только к виртуальным машинам Linux с установленным агентом Azure Monitor. (Связанная политика отсутствует)

Серьезность: низкая

На компьютерах Azure Arc с Linux должен быть установлен агент Log Analytics

Описание. Defender для облака использует агент Log Analytics (также известный как OMS) для сбора событий безопасности с компьютеров Azure Arc. Чтобы развернуть агент на всех компьютерах Azure Arc, выполните действия по исправлению. (Связанная политика отсутствует)

Уровень серьезности: Высокий

По мере поэтапного использования AMA и MMA в Defender для серверов рекомендации, которые полагаются на этих агентов, как это, будут удалены. Вместо этого функции Defender для серверов будут использовать агент Microsoft Defender для конечной точки или сканирование без агента без зависимости от MMA или AMA.

Предполагаемое прекращение использования: июль 2024 г.

В масштабируемых наборах виртуальных машин должен быть установлен агент Log Analytics

Описание. Defender для облака собирает данные из виртуальных машин Azure для мониторинга уязвимостей и угроз безопасности. Для сбора данных используется агент Log Analytics (ранее — Microsoft Monitoring Agent, или MMA), который считывает разные конфигурации, связанные с безопасностью, и журналы событий с компьютера, а также копирует данные в рабочую область для анализа. Также эту процедуру нужно выполнить, если виртуальные машины использует управляемая служба Azure, например Служба Azure Kubernetes или Azure Service Fabric. Невозможно настроить автоматическую подготовку агента для масштабируемых наборов виртуальных машин Azure. Чтобы развернуть агент в масштабируемых наборах виртуальных машин (включая те, которые используются в управляемых службах Azure, таких как Служба Azure Kubernetes и Azure Service Fabric), выполните процедуру, описанную в инструкциях по исправлению. (Связанная политика: Агент Log Analytics должен быть установлен на масштабируемых наборах виртуальных машин для Центр безопасности Azure мониторинга).

По мере поэтапного использования AMA и MMA в Defender для серверов рекомендации, которые полагаются на этих агентов, как это, будут удалены. Вместо этого функции Defender для серверов будут использовать агент Microsoft Defender для конечной точки или сканирование без агента без зависимости от MMA или AMA.

Предполагаемое прекращение использования: июль 2024 г.

Уровень серьезности: Высокий

На виртуальных машинах должен быть установлен агент Log Analytics

Описание. Defender для облака собирает данные из виртуальных машин Azure для мониторинга уязвимостей и угроз безопасности. Для сбора данных используется агент Log Analytics (ранее — Microsoft Monitoring Agent, или MMA), который считывает разные конфигурации, связанные с безопасностью, и журналы событий с компьютера, а также копирует данные в рабочую область Log Analytics для анализа. Этот агент также является обязательным, если виртуальные машины используются управляемой службой Azure, например Службой Azure Kubernetes или Azure Service Fabric. Мы рекомендуем настроить автоматическую подготовку для автоматического развертывания этого агента. Если вы решили не использовать автоматическую подготовку, вручную разверните агент на виртуальных машинах, следуя инструкциям в разделе действий по исправлению. (Связанная политика: Агент Log Analytics должен быть установлен на виртуальной машине для Центр безопасности Azure мониторинга).

По мере поэтапного использования AMA и MMA в Defender для серверов рекомендации, которые полагаются на этих агентов, как это, будут удалены. Вместо этого функции Defender для серверов будут использовать агент Microsoft Defender для конечной точки или сканирование без агента без зависимости от MMA или AMA.

Предполагаемое прекращение использования: июль 2024 г.

Уровень серьезности: Высокий

На компьютерах Azure Arc с Windows должен быть установлен агент Log Analytics

Описание: Defender для облака использует агент Log Analytics (также известный как MMA) для сбора событий безопасности с компьютеров Azure Arc. Чтобы развернуть агент на всех компьютерах Azure Arc, выполните действия по исправлению. (Связанная политика отсутствует)

Уровень серьезности: Высокий

По мере поэтапного использования AMA и MMA в Defender для серверов рекомендации, которые полагаются на этих агентов, как это, будут удалены. Вместо этого функции Defender для серверов будут использовать агент Microsoft Defender для конечной точки или сканирование без агента без зависимости от MMA или AMA.

Предполагаемое прекращение использования: июль 2024 г.

Компьютеры должны быть настроены в безопасном режиме

Описание. Исправление уязвимостей в конфигурации безопасности на компьютерах для защиты от атак. (Связанная политика: Уязвимости в конфигурации безопасности на компьютерах должны быть исправлены).

Эта рекомендация помогает повысить уровень безопасности сервера. Defender для облака улучшает тесты Центра интернет-безопасности (CIS), предоставляя базовые показатели безопасности, которые используются Управление уязвимостями Microsoft Defender.

Серьезность: низкая

Необходимо перезагрузить компьютеры для применения обновлений конфигурации безопасности

Описание. Чтобы применить обновления конфигурации безопасности и защититься от уязвимостей, перезапустите компьютеры. Эта оценка применяется только к виртуальным машинам Linux с установленным агентом Azure Monitor. (Связанная политика отсутствует)

Серьезность: низкая

На компьютерах должно быть доступно решение для оценки уязвимостей

Описание: Defender для облака регулярно проверяет подключенные компьютеры, чтобы убедиться, что они выполняют средства оценки уязвимостей. Используйте эту рекомендацию для развертывания решения для оценки уязвимостей. (Связанная политика: Решение для оценки уязвимостей должно быть включено на виртуальных машинах.

Серьезность: Средняя

Уязвимости, обнаруженные на компьютерах, должны быть устранены

Описание. Устранение результатов решений оценки уязвимостей на виртуальных машинах. (Связанная политика: Решение для оценки уязвимостей должно быть включено на виртуальных машинах.

Серьезность: низкая

Порты управления виртуальных машин должны быть защищены с помощью JIT-управления доступом к сети

Описание: Defender для облака определили некоторые чрезмерно недопустимые правила входящего трафика для портов управления в группе безопасности сети. Включите JIT-управление доступом к сети, чтобы защитить ваши VM от интернет-атак методом подбора. Дополнительную информацию см. в разделе Основные сведения о JIT-доступе к виртуальной машине. (Связанная политика: Порты управления виртуальными машинами должны быть защищены с помощью JIT-управления доступом к сети).

Уровень серьезности: Высокий

Необходимо включить Microsoft Defender для серверов

Описание. Microsoft Defender для серверов обеспечивает защиту от угроз в режиме реального времени для рабочих нагрузок сервера и создает рекомендации по защите, а также оповещения о подозрительных действиях. Эти сведения можно использовать для быстрого устранения проблем безопасности и повышения безопасности серверов.

Применение этой рекомендации предусматривает плату за защиту серверов. Если в этой подписке нет серверов, плата не будет взиматься. Если в будущем вы создадите в этой подписке сервера, они будут автоматически защищены, и с этого момента начнет начисляться плата. Дополнительные сведения см. в разделе Introduction Microsoft Defender для серверов. (Связанная политика: Azure Defender для серверов следует включить).

Уровень серьезности: Высокий

На поддерживаемых виртуальных машинах Windows должна быть включена безопасная загрузка

Описание. Включение безопасной загрузки на поддерживаемых виртуальных машинах Windows для устранения вредоносных и несанкционированных изменений в цепочке загрузки. После включения разрешено запускать только доверенные загрузчики, ядра и драйверы ядра. Эта оценка применяется только к доверенным виртуальным машинам Windows с включенным запуском.

• Для доверенного запуска требуется создание новых виртуальных машин.
• Невозможно включить доверенный запуск на существующих виртуальных машинах, которые изначально были созданы без него.

Дополнительные сведения см. в разделе Доверенный запуск виртуальных машин Azure. (Связанная политика отсутствует)

Серьезность: низкая

Свойство ClusterProtectionLevel в кластерах Service Fabric должно иметь значение EncryptAndSign

Описание. Service Fabric предоставляет три уровня защиты (None, Sign и EncryptAndSign) для обмена данными между узлами с помощью первичного сертификата кластера. Задайте уровень защиты, чтобы обеспечить шифрование и цифровое подписывание всех сообщений, передаваемых между узлами. (Связанная политика: Кластеры Service Fabric должны иметь свойство ClusterProtectionLevel для EncryptAndSign.

Уровень серьезности: Высокий

Кластеры Service Fabric должны использовать только идентификатор Microsoft Entra для проверки подлинности клиента

Описание. Выполнение проверки подлинности клиента только с помощью идентификатора Microsoft Entra в Service Fabric (связанная политика: кластеры Service Fabric должны использовать только идентификатор Microsoft Entra для проверки подлинности клиента).

Уровень серьезности: Высокий

Обновления системы должны быть установлены в масштабируемых наборах виртуальных машин

Описание. Установка отсутствующих системных и критически важных обновлений для защиты масштабируемых наборов виртуальных машин Windows и Linux. (Связанная политика: Необходимо установить обновления системы для масштабируемых наборов виртуальных машин.

При использовании агента Azure Monitor (AMA) и агента Log Analytics (также известного как Microsoft Monitoring Agent (MMA)) будет прекращена в Defender для серверов, рекомендации, которые полагаются на этих агентов, как это, будут удалены. Вместо этого функции Defender для серверов будут использовать агент Microsoft Defender для конечной точки или сканирование без агента без зависимости от MMA или AMA.

Предполагаемое прекращение использования: июль 2024 г. Эти рекомендации заменяются новыми.

Уровень серьезности: Высокий

На ваших компьютерах должны быть установлены обновления системы

Описание. Установка отсутствующих системных обновлений и критически важных обновлений для защиты виртуальных машин и компьютеров Windows и Linux (связанная политика: на компьютерах должны быть установлены обновления системы).

При использовании агента Azure Monitor (AMA) и агента Log Analytics (также известного как Microsoft Monitoring Agent (MMA)) будет прекращена в Defender для серверов, рекомендации, которые полагаются на этих агентов, как это, будут удалены. Вместо этого функции Defender для серверов будут использовать агент Microsoft Defender для конечной точки или сканирование без агента без зависимости от MMA или AMA.

Предполагаемое прекращение использования: июль 2024 г. Эти рекомендации заменяются новыми.

Уровень серьезности: Высокий

На компьютерах (с Центром обновления) должны быть установлены обновления системы

Описание. Компьютеры отсутствуют в системе, безопасности и критически важных обновлениях. Обновления программного обеспечения часто содержат критически важные исправления для уязвимостей в системе безопасности. Такие уязвимости часто используются в атаках вредоносных программ, поэтому программное обеспечение крайне важно обновлять. Чтобы установить все актуальные исправления и защитить компьютеры, выполните действия по исправлению. (Связанная политика отсутствует)

Уровень серьезности: Высокий

Для виртуальных машин и их масштабируемых наборов должно быть включено шифрование на узле

Описание. Используйте шифрование на узле, чтобы получить сквозное шифрование для данных виртуальной машины и масштабируемого набора виртуальных машин. Шифрование на узле применяется для неактивных данных временного диска и кэша дисков с ОС или данными. Для шифрования (при включенном шифровании в узле) временных дисков (в том числе с ОС) используются ключи, управляемые платформой, а для неактивных данных кэша дисков с ОС или данными — управляемые платформой или клиентом, в зависимости от выбранного для диска типа шифрования. Дополнительные сведения см. в портал Azure, чтобы включить сквозное шифрование с помощью шифрования на узле. (Связанная политика: Виртуальные машины и масштабируемые наборы виртуальных машин должны иметь шифрование на узле.

Серьезность: Средняя

Виртуальные машины должны быть перенесены на новые ресурсы Azure Resource Manager.

Описание. Виртуальные машины (классическая модель) устарели, и эти виртуальные машины следует перенести в Azure Resource Manager. Так как теперь Azure Resource Manager включает в себя полный набор возможностей инфраструктуры IaaS, а также другие инновационные технологии, начиная с 28 февраля 2020 г. мы прекратили осуществлять управление виртуальными машинами IaaS с помощью Azure Service Manager (ASM). Эта функциональность будет полностью удалена 1 марта 2023 г.

Чтобы просмотреть все затронутые классические виртуальные машины, обязательно выберите все подписки Azure на вкладке "Каталоги и подписки".

Доступные ресурсы и сведения об этом средстве и миграции. Обзор нерекомендуемых виртуальных машин (классических) пошаговый процесс миграции и доступных ресурсов Майкрософт.Сведения о миграции в средство миграции Azure Resource Manager.Миграция в средство миграции Azure Resource Manager с помощью PowerShell. (Связанная политика: Виртуальные машины следует перенести на новые ресурсы Azure Resource Manager).

Уровень серьезности: Высокий

Аттестация гостей виртуальных машин должна находиться в работоспособном состоянии.

Описание. Аттестация гостей выполняется путем отправки доверенного журнала (TCGLog) на сервер аттестации. Сервер использует эти журналы для определения надежности компонентов загрузки. Эта оценка предназначена для обнаружения компрометации цепочки загрузки, которая может быть результатом bootkit или rootkit инфекцией. Эта оценка применяется только к надежным виртуальным машинам с включенным запуском, на которых установлено расширение аттестации гостя. (Связанная политика отсутствует)

Серьезность: Средняя

Следует развернуть расширение "Гостевая конфигурация" виртуальных машин с управляемым удостоверением, назначаемым системой

Описание. Для расширения гостевой конфигурации требуется управляемое удостоверение, назначенное системой. Виртуальные машины Azure, подпадающие под действие этой политики, будут несоответствующими, если у них установлено расширение гостевой конфигурации, но отсутствует системно назначенное управляемое удостоверение. Дополнительные сведения (связанная политика: расширение гостевой конфигурации должно быть развернуто на виртуальных машинах Azure с назначенным системой управляемым удостоверением).

Серьезность: Средняя

Масштабируемые наборы виртуальных машин должны быть настроены в безопасном режиме

Описание. В масштабируемых наборах виртуальных машин исправьте уязвимости, чтобы защитить их от атак. (Связанная политика: Уязвимости в конфигурации безопасности в масштабируемых наборах виртуальных машин должны быть устранены).

Уровень серьезности: Высокий

Виртуальные машины должны шифровать временные диски, кэши и потоки данных между вычислительными ресурсами и ресурсами хранилища

Описание. По умолчанию ОС виртуальной машины и диски данных шифруются неактивных с помощью ключей, управляемых платформой; временные диски и кэши данных не шифруются, а данные не шифруются при потоковой синхронизации между вычислительными ресурсами и ресурсами хранилища. Сравнение различных технологий шифрования дисков в Azure см. в статье Общие сведения о возможностях шифрования управляемых дисков. Используйте службу "Шифрование дисков Azure" для шифрования всех этих данных. Пропустите эту рекомендацию, если:

Вы используете функцию шифрования на узле или шифрование на стороне сервера в Управляемые диски соответствует вашим требованиям безопасности. Дополнительные сведения см. в разделе "Шифрование дисков Azure на стороне сервера".

(Связанная политика: Шифрование дисков должно применяться на виртуальных машинах)

Уровень серьезности: Высокий

На поддерживаемых виртуальных машинах должен быть включен модуль vTPM

Описание. Включите виртуальное устройство TPM на поддерживаемых виртуальных машинах, чтобы упростить измеряемую загрузку и другие функции безопасности ОС, требующие доверенного платформенного модуля. После включения vTPM можно использовать для проверки целостности загрузки. Эта оценка применяется только к доверенным виртуальным машинам с включенным запуском.

• Для доверенного запуска требуется создание новых виртуальных машин.
• Невозможно включить доверенный запуск на существующих виртуальных машинах, которые изначально были созданы без него.

Дополнительные сведения см. в разделе Доверенный запуск виртуальных машин Azure. (Связанная политика отсутствует)

Серьезность: низкая

Необходимо устранить уязвимости в конфигурации безопасности на ваших компьютерах Linux (на базе гостевой конфигурации)

Описание. Исправление уязвимостей в конфигурации безопасности на компьютерах Linux для защиты от атак. (Связанная политика: Компьютеры Linux должны соответствовать требованиям к базовой конфигурации безопасности Azure).

Серьезность: низкая

Необходимо устранить уязвимости в конфигурации безопасности на ваших компьютерах Windows (на базе гостевой конфигурации)

Описание. Исправление уязвимостей в конфигурации безопасности на компьютерах Windows для защиты от атак. (Связанная политика отсутствует)

Серьезность: низкая

На компьютерах должна быть включена защита эксплойтов Microsoft Defender

Описание: Microsoft Defender Exploit Guard использует агент гостевой конфигурации политики Azure. Exploit Guard состоит из четырех компонентов, которые предназначены для блокировки устройств с целью защиты от разнообразных векторов атак и блокируют поведение, которое присуще атакам с использованием вредоносных программ, позволяя организациям сбалансировать риски, связанные с угрозами безопасности, и требования к производительности (только для Windows). (Связанная политика: аудит компьютеров Windows, на которых не включена эксплойт-служба Microsoft Defender).

Серьезность: Средняя

Виртуальные машины Windows должны включать Шифрование дисков Azure или EncryptionAtHost

Описание. По умолчанию ОС виртуальной машины и диски данных шифруются неактивных с помощью ключей, управляемых платформой; временные диски и кэши данных не шифруются, а данные не шифруются при потоковой синхронизации между вычислительными ресурсами и ресурсами хранилища. Используйте Шифрование дисков Azure или EncryptionAtHost для шифрования всех этих данных. Обзор вариантов шифрования управляемых дисков для сравнения предложений шифрования. Эта политика требует настройки двух условий в рамках области применения этой политики. Дополнительные сведения см. в разделе "Общие сведения о конфигурации компьютера Azure". (Связанная политика: Виртуальные машины Windows должны включать Шифрование дисков Azure или EncryptionAtHost).

Заменяет старые виртуальные машины рекомендаций, которые должны шифровать временные диски, кэши и потоки данных между ресурсами вычислений и хранилища. Эта рекомендация позволяет проверять соответствие шифрования виртуальных машин.

Уровень серьезности: Высокий

Веб-серверы Windows должны быть настроены для использования протоколов безопасной связи

Описание. Чтобы защитить конфиденциальность информации, переданной через Интернет, веб-серверы должны использовать последнюю версию стандартного криптографического протокола, протокола TLS. Протокол TLS обеспечивает защиту при передаче данных по сети с помощью сертификатов безопасности для шифрования подключений между компьютерами. (Связанная политика: Аудит веб-серверов Windows, которые не используют безопасные протоколы связи).

Уровень серьезности: Высокий

Рекомендации по вычислению AWS

Экземпляры Amazon EC2, управляемые службой Systems Manager, должны иметь состояние соответствия исправления COMPLIANT после установки исправления

Описание. Этот элемент управления проверяет, соответствует ли соответствие требованиям соответствия требованиям amazon EC2 Systems Manager соответствие ТРЕБОВАНИЯМ или NON_COMPLIANT после установки исправлений в экземпляре. Он проверяет только экземпляры, управляемые диспетчером исправлений AWS Systems Manager. Он не проверяет, применен ли исправление в пределах 30-дневного ограничения, установленного требованием PCI DSS "6.2". Он также не проверяет, были ли применены исправления как исправления безопасности. Следует создать группы установки исправлений с соответствующими базовыми параметрами и обеспечить управление целевыми системами с помощью этих групп в Systems Manager. Дополнительные сведения о группах исправлений см . в руководстве пользователя AWS Systems Manager.

Серьезность: Средняя

Служба Amazon EFS должна быть настроена для шифрования неактивных данных файлов с помощью AWS KMS

Описание. Этот элемент управления проверяет, настроен ли Amazon Elastic File System для шифрования файловых данных с помощью AWS KMS. Проверка завершается ошибкой в следующих случаях: *"Encrypted" имеет значение false в ответе DescribeFileSystems. Ключ KmsKeyId в ответе DescribeFileSystems не соответствует параметру KmsKeyId для efs-encrypted-check. Обратите внимание, что этот элемент управления не использует параметр KmsKeyId для efs-encrypted-check. Он проверяет только значение Encrypted. Чтобы обеспечить дополнительный уровень безопасности конфиденциальных данных в Amazon EFS, следует создать зашифрованные файловые системы. Amazon EFS поддерживает шифрование неактивных данных в файловых системах. Шифрование неактивных данных можно включить при создании файловой системы Amazon EFS. Дополнительные сведения о шифровании Amazon EFS см. в разделе Data encryption in Amazon EFS (Шифрование данных в Amazon EFS) в руководстве пользователя файловой системы EFS.

Серьезность: Средняя

Тома Amazon EFS должны находиться в планах резервного копирования

Описание. Этот элемент управления проверяет, добавляются ли файловые системы Amazon Elastic File System (Amazon EFS) в планы резервного копирования в AWS Backup. Элемент управления завершается ошибкой, если файловые системы Amazon EFS не включены в планы резервного копирования. Включение файловых систем EFS в планы резервного копирования помогает защитить данные от удаления и потери.

Серьезность: Средняя

Необходимо включить защиту от удаления для Application Load Balancer

Описание. Этот элемент управления проверяет, включена ли защита от удаления в Приложении Load Balancer. Элемент управления завершается ошибкой, если защита от удаления не настроена. Включите защиту от удаления, чтобы защитить данные Application Load Balancer от удаления.

Серьезность: Средняя

Группы автомасштабирования, связанные с подсистемой балансировки нагрузки, должны использовать проверки работоспособности

Описание. Группы автомасштабирования, связанные с подсистемой балансировки нагрузки, используют проверки работоспособности эластичной балансировки нагрузки. PCI DSS не требует балансировки нагрузки или высокодоступных конфигураций. Это рекомендуется согласно лучшим методикам для AWS.

Серьезность: низкая

Для учетных записей AWS должна быть включена автоматическая подготовка Azure Arc

Описание. Для полной видимости содержимого безопасности из Microsoft Defender для серверов экземпляры EC2 должны быть подключены к Azure Arc. Чтобы все соответствующие экземпляры EC2 автоматически получали Azure Arc, включите автоматическую подготовку из Defender для облака на уровне учетной записи AWS. Узнайте больше о службе Azure Arc и Microsoft Defender для серверов.

Уровень серьезности: Высокий

Для распределений CloudFront должна быть настроена отработка отказа источника

Описание. Этот элемент управления проверяет, настроен ли дистрибутив Amazon CloudFront с группой источников с двумя или более источниками. Отработка отказа источника CloudFront может повысить доступность. Отработка отказа источника автоматически перенаправляет трафик во вторичный источник, если основной источник недоступен или если он возвращает определенные коды состояния HTTP-ответа.

Серьезность: Средняя

Коллекция метрик группы CloudWatch должна быть включена в группах автомасштабирования

Description: Defender для облака определили, что группа автомасштабирования не настроена для сбора метрик группы CloudWatch. Это представляет риск отложенного обнаружения аномального масштабирования, так как без метрик на количество экземпляров, изменений емкости и событий завершения, таких индикаторов, как массовое завершение или несанкционированное масштабирование (потенциально обусловлено перехватом ресурсов), может оказаться незамеченным и препятствовать реагированию на инциденты.

Серьезность: низкая

URL-адреса исходного репозитория CodeBuild GitHub или Bitbucket должны использовать OAuth

Описание. Этот элемент управления проверяет, содержит ли URL-адрес репозитория исходного репозитория GitHub или Bitbucket личные маркеры доступа или имя пользователя и пароль. Учетные данные для проверки подлинности не должны сохраняться, передаваться в виде открытого текста или отображаться в URL-адресе репозитория. Вместо личных маркеров доступа или имени пользователя и пароля следует использовать OAuth, чтобы авторизовать доступ к репозиториям GitHub или Bitbucket. Использование личных маркеров доступа или имени пользователя и пароля может привести к непреднамеренному раскрытию данных и несанкционированному доступу.

Уровень серьезности: Высокий

Переменные среды проекта CodeBuild не должны содержать учетные данные

Описание. Этот элемент управления проверяет, содержит ли проект переменные AWS_ACCESS_KEY_ID среды и AWS_SECRET_ACCESS_KEY. Учетные данные для проверки подлинности AWS_ACCESS_KEY_ID и AWS_SECRET_ACCESS_KEY никогда не должны храниться в виде открытого текста, так как это может привести к непреднамеренному раскрытию данных и несанкционированному доступу.

Уровень серьезности: Высокий

Защита от удаления должна быть включена в группах автомасштабирования

Description: Defender для облака определили, что защита удаления не включена в группе автомасштабирования. Это представляет риск случайного или вредоносного удаления, что может привести к потере данных или нарушению работы службы.

Серьезность: Средняя

Кластеры DynamoDB Accelerator (DAX) должны шифроваться в неактивном состоянии

Описание. Этот элемент управления проверяет, шифруется ли кластер DAX неактивных данных. Шифрование неактивных данных снижает для данных, хранящихся на диске, риск того, что к ним получит доступ пользователь, который не прошел проверку подлинности в AWS. Шифрование добавляет еще один набор элементов управления доступом, чтобы ограничить доступ к данным для неавторизованных пользователей. Например, для расшифровки данных перед чтением необходимы разрешения API.

Серьезность: Средняя

Таблицы DynamoDB должны автоматически масштабировать емкость по запросу

Описание. Этот элемент управления проверяет, может ли таблица Amazon DynamoDB масштабировать ее емкость чтения и записи по мере необходимости. Этот элемент управления возвращает положительный результат, если в таблице используется режим производительности по запросу или подготовленный режим с настроенным автомасштабированием. Масштабирование производительности по запросу позволяет избежать исключений регулирования, что помогает поддерживать доступность ваших приложений.

Серьезность: Средняя

Экземпляры EC2 должны быть подключены к Azure Arc

Описание. Подключите экземпляры EC2 к Azure Arc, чтобы обеспечить полную видимость содержимого безопасности Microsoft Defender для серверов. Узнайте больше об использовании Azure Arc и Microsoft Defender для серверов в гибридной облачной среде.

Уровень серьезности: Высокий

Экземплярами EC2 должна управлять служба AWS Systems Manager

Описание. Состояние соответствия исправлений Amazon EC2 Systems Manager соответствует "СООТВЕТСТВИЕ" или "NON_COMPLIANT" после установки исправлений в экземпляре. Проверяются только экземпляры, управляемые диспетчером исправлений AWS Systems Manager. Исправления, которые были применены в пределах 30-дневного ограничения, предписанного стандартом PCI DSS, не проверяются.

Серьезность: Средняя

Проблемы с конфигурацией EDR следует устранить в EC2s

Описание. Чтобы защитить виртуальные машины от последних угроз и уязвимостей, устраните все выявленные проблемы конфигурации с установленным решением обнаружения и реагирования конечных точек (EDR). В настоящее время эта рекомендация применяется только к ресурсам с включенным Microsoft Defender для конечной точки.

Эта рекомендация по конечной точке без агента доступна, если у вас есть план Defender для серверов 2 или план CSPM Defender. Дополнительные сведения о рекомендациях по защите конечных точек без агента.

• Эти новые рекомендации по конечным точкам без агента поддерживают компьютеры Azure и multicloud. Локальные серверы не поддерживаются.
• Эти новые рекомендации по конечным точкам без агента заменяют существующие рекомендации Endpoint Protection должны быть установлены на компьютерах и проблемы со работоспособностью Endpoint Protection должны быть устранены на компьютерах.
• Эти старые рекомендации используют агент MMA/AMA и будут заменены, так как агенты постепенно удаляются в Defender для серверов.

Уровень серьезности: Высокий

Решение EDR должно быть установлено в EC2s

Описание. Чтобы защитить EC2s, установите решение обнаружения и ответа конечных точек (EDR). EDR помогает предотвратить, обнаруживать, исследовать и реагировать на сложные угрозы. Используйте Microsoft Defender для серверов для развертывания Microsoft Defender для конечной точки. Если ресурс классифицируется как "Неработоспособное", он не имеет поддерживаемого решения EDR. Если у вас установлено решение EDR, которое недоступно для обнаружения по этой рекомендации, его можно исключить.

Эта рекомендация по конечной точке без агента доступна, если у вас есть план Defender для серверов 2 или план CSPM Defender. Дополнительные сведения о рекомендациях по защите конечных точек без агента.

• Эти новые рекомендации по конечным точкам без агента поддерживают компьютеры Azure и multicloud. Локальные серверы не поддерживаются.
• Эти новые рекомендации по конечным точкам без агента заменяют существующие рекомендации Endpoint Protection должны быть установлены на компьютерах и проблемы со работоспособностью Endpoint Protection должны быть устранены на компьютерах.
• Эти старые рекомендации используют агент MMA/AMA и будут заменены, так как агенты постепенно удаляются в Defender для серверов.

Уровень серьезности: Высокий

Соответствующие обновления программного обеспечения службы должны применяться к доменам службы OpenSearch

Description: Defender для облака определили домены службы OpenSearch с соответствующими обновлениями программного обеспечения службы, которые не были применены. Запуск устаревшего программного обеспечения службы может предоставлять домен известным уязвимостям и уменьшать общую безопасность. (Связанная политика отсутствует)

Серьезность: Средняя

Шифрование неактивных данных должно быть включено для томов EBS в группах автоматического масштабирования

Description: Defender для облака определены шаблоны запуска группы автомасштабирования, которые подготавливают тома EBS без шифрования. Это представляет риск несанкционированного воздействия данных, так как моментальные снимки или копии незашифрованных томов можно считывать любым субъектом с достаточными разрешениями EBS, обходя элементы управления доступом запущенного экземпляра. Шифрование неактивных данных гарантирует, что доступ на уровне хранилища не отображает данные, так как расшифровка дополнительно требует разрешений на ключ KMS.

Серьезность: Средняя

ImDSv2 следует настроить в группах автомасштабирования

Description: Defender для облака определили, что служба метаданных экземпляра версии 2 (IMDSv2) не применяется для группы автомасштабирования. Это представляет риск кражи учетных данных с помощью атак Server-Side запросов forgery (SSRF). IMDSv2 требует маркеров, ориентированных на сеансы, для доступа к метаданным экземпляра, что устраняет атаки SSRF, которые можно использовать для кражи учетных данных роли IAM из экземпляров EC2.

Уровень серьезности: Высокий

У экземпляров, находящиеся под управлением Systems Manager, должно быть состояние соответствия связи COMPLIANT

Описание. Этот элемент управления проверяет, соответствует ли соответствие сопоставления AWS Systems Manager ТРЕБОВАНИЯМ или NON_COMPLIANT после запуска ассоциации на экземпляре. Элемент управления возвращает положительный результат, если состояние соответствия связи — COMPLIANT. Связь State Manager — это конфигурация, которая назначается управляемым экземплярам. Эта конфигурация определяет состояние, которое следует поддерживать в экземплярах. Например, связь может указывать, что на экземплярах должно быть установлено и запущено антивирусное программное обеспечение или должны быть закрыты некоторые порты. После создания одной или нескольких связей State Manager сведения о состоянии соответствия немедленно становятся доступными в консоли или возвращаются в ответ на команды интерфейса командной строки AWS либо соответствующие операции API Systems Manager. Для сопоставлений соответствие "Конфигурация" отображает состояния соответствия требованиям или несоответствующим требованиям и уровень серьезности, назначенный ассоциации, например "Критический " или "Средний". Дополнительные сведения о соответствии сопоставлений с диспетчером состояний см. в руководстве пользователя AWS Systems Manager. Необходимо настроить целевые экземпляры EC2 для связи с Systems Manager. Кроме того, необходимо настроить базовый план исправлений для оценки безопасности поставщика исправлений и задать дату автоматического применения для соответствия требованиям СТАНДАРТА PCI DSS 3.2.1 6.2. Дополнительные сведения о создании ассоциации см. в руководстве по созданию ассоциации в руководстве пользователя AWS Systems Manager. Дополнительные сведения о работе с исправлением в System Manager см . в руководстве пользователя AWS Systems Manager.

Серьезность: низкая

Для лямбда-функций должна быть настроена очередь недоставленных сообщений

Описание. Этот элемент управления проверяет, настроена ли лямбда-функция с очередью недоставленных букв. Элемент управления завершается ошибкой, если Лямбда-функция не настроена в очереди недоставленных писем. В качестве альтернативы назначению на случай сбоя можно настроить для функции очередь недоставленных сообщений, в которую будут сохраняться отклоненные события для дальнейшей обработки. Очередь недоставленных сообщений действует так же, как и назначение на случай сбоя. Он используется, когда событие завершается сбоем всех попыток обработки или истекает без обработки. Очередь недоставленных сообщений позволяет просматривать ошибки или неудачные запросы к лямбда-функции для отладки или выявления необычного поведения. С точки зрения безопасности важно понять, почему не удалось выполнить функцию, и убедиться, что ваша функция не удаляет данные или не компрометируют безопасность данных в результате. Например, если ваша функция не может взаимодействовать с базовым ресурсом, это может быть признаком атаки типа "отказ в обслуживании" (DoS) в других частях сети.

Серьезность: Средняя

Лямбда-функции должны использовать поддерживаемые среды выполнения

Описание. Этот элемент управления проверяет, соответствуют ли параметры лямбда-функции для сред выполнения ожидаемым значениям, заданным для поддерживаемых сред выполнения для каждого языка. Этот элемент управления проверяет наличие следующих сред выполнения: nodejs14.x, nodejs12.x, nodejs10.x, python3.8, python3.7, python3.6, ruby2.7, ruby2.5, java11, java8,java8.al2, go1.x, dotnetcore3.1, dotnetcore2.1 Lambda runtimes создаются вокруг сочетания операционных систем, языка программирования и программных библиотек, которые подвергаются обслуживанию и обновлению системы безопасности. Если компонент среды выполнения больше не поддерживается в обновлениях системы безопасности, поддержка этой среды для лямбда-функций прекращается. Несмотря на то, что вы не можете создавать функции, использующие устаревшую среду выполнения, функция по-прежнему доступна для обработки событий вызова. Убедитесь, что лямбда-функции являются текущими и не используют устаревшие среды выполнения. Дополнительные сведения о поддерживаемых средах выполнения, которые этот элемент управления проверяет для поддерживаемых языков, см. в разделе AWS Lambda runtimes (Лямбда-среды выполнения AWS) в руководстве разработчика для AWS Lambda.

Серьезность: Средняя

Порты управления экземпляров EC2 должны быть защищены с помощью JIT-управления доступом к сети

Описание: Microsoft Defender для облака определили некоторые чрезмерно имитивные правила входящего трафика для портов управления в вашей сети. Включите JIT-управление доступом для защиты экземпляров от атак методом подбора через Интернет. Дополнительные сведения.

Уровень серьезности: Высокий

Защита завершения должна быть включена в кластерах EMR

Описание: Defender для облака идентифицированные кластеры EMR с отключенной защитой завершения. Защита от завершения помогает предотвратить случайное или несанкционированное завершение кластера и потерю связанных данных HDFS в основных экземплярах. Без защиты завершения кластер более подвержен непредвиденным событиям завершения, повышая операционный и риск доступности.

Серьезность: низкая

Необходимо удалить неиспользуемые группы безопасности EC2

Описание. Группы безопасности должны быть присоединены к экземплярам Amazon EC2 или к ENI. Здоровый поиск может указывать на наличие неиспользуемых групп безопасности Amazon EC2.

Серьезность: низкая

Дополнительные рекомендации по вычислению GCP

Виртуальные машины подсистемы вычислений должны использовать ос, оптимизированную для контейнеров

Описание. Эта рекомендация оценивает свойство конфигурации пула узлов для пары "ключ-значение", "imageType": "COS".

Серьезность: низкая

Проблемы с конфигурацией EDR следует устранить на виртуальных машинах GCP

Описание. Чтобы защитить виртуальные машины от последних угроз и уязвимостей, устраните все выявленные проблемы конфигурации с установленным решением обнаружения и реагирования конечных точек (EDR). В настоящее время эта рекомендация применяется только к ресурсам с включенным Microsoft Defender для конечной точки.

Эта рекомендация по конечной точке без агента доступна, если у вас есть план Defender для серверов 2 или план CSPM Defender. Дополнительные сведения о рекомендациях по защите конечных точек без агента.

• Эти новые рекомендации по конечным точкам без агента поддерживают компьютеры Azure и multicloud. Локальные серверы не поддерживаются.
• Эти новые рекомендации по конечным точкам без агента заменяют существующие рекомендации Endpoint Protection должны быть установлены на компьютерах и проблемы со работоспособностью Endpoint Protection должны быть устранены на компьютерах.
• Эти старые рекомендации используют агент MMA/AMA и будут заменены, так как агенты постепенно удаляются в Defender для серверов.

Уровень серьезности: Высокий

Решение EDR должно быть установлено в GCP Виртуальные машины

Описание. Чтобы защитить виртуальные машины, установите решение обнаружения и ответа конечной точки (EDR). EDR помогает предотвратить, обнаруживать, исследовать и реагировать на сложные угрозы. Используйте Microsoft Defender для серверов для развертывания Microsoft Defender для конечной точки. Если ресурс классифицируется как "Неработоспособное", он не имеет поддерживаемого решения EDR. Если у вас установлено решение EDR, которое недоступно для обнаружения по этой рекомендации, его можно исключить.

Эта рекомендация по конечной точке без агента доступна, если у вас есть план Defender для серверов 2 или план CSPM Defender. Дополнительные сведения о рекомендациях по защите конечных точек без агента.

• Эти новые рекомендации по конечным точкам без агента поддерживают компьютеры Azure и multicloud. Локальные серверы не поддерживаются.
• Эти новые рекомендации по конечным точкам без агента заменяют существующие рекомендации Endpoint Protection должны быть установлены на компьютерах и проблемы со работоспособностью Endpoint Protection должны быть устранены на компьютерах.
• Эти старые рекомендации используют агент MMA/AMA и будут заменены, так как агенты постепенно удаляются в Defender для серверов.

Уровень серьезности: Высокий

Убедитесь, что для экземпляров виртуальных машин включена блокировка ключей SSH на уровне проекта.

Описание. Рекомендуется использовать определенные ключи SSH экземпляра вместо использования общих ключей SSH на уровне общего проекта для доступа к экземплярам. Ключи SSH на уровне проекта хранятся в data Compute/Project-meta-data. Ключи SSH для проекта можно использовать для входа во все экземпляры проекта. Использование ключей SSH на уровне проекта упрощает управление ключами SSH, но при скомпрометации представляет угрозу безопасности, которая может повлиять на все экземпляры в проекте. Рекомендуется использовать определенные ключи SSH экземпляра, которые могут ограничить область атаки, если ключи SSH скомпрометируются.

Серьезность: Средняя

Убедитесь, что вычислительные экземпляры запускаются с включенной экранной виртуальной машиной

Описание. Чтобы защититься от расширенных угроз и убедиться, что загрузчик и встроенное ПО на виртуальных машинах подписаны и неимперированы, рекомендуется запускать экземпляры вычислений с поддержкой экранированных виртуальных машин. Экранированные виртуальные машины — это виртуальные машины в Google Cloud Platform, защищенные набором средств безопасности, которые помогают защититься от rootkits и bootkits. Экранированные виртуальные машины обеспечивают проверяемую целостность экземпляров виртуальных машин вычислительной подсистемы, поэтому вы можете быть уверены, что экземпляры не были скомпрометированы вредоносными программами на уровне загрузки или ядра или коркитами. Проверяемая целостность экранируемой виртуальной машины достигается с помощью безопасной загрузки, виртуального доверенного платформенного модуля (vTPM)с поддержкой измеряемой загрузки и мониторинга целостности. Экранированные экземпляры виртуальных машин выполняют встроенное ПО, подписанное и проверенное с помощью центра сертификации Google, гарантируя, что встроенное ПО экземпляра не изменено и устанавливает корень доверия для безопасной загрузки. Мониторинг целостности помогает понять и принять решения о состоянии экземпляров виртуальных машин и экранированных виртуальных машин vTPM позволяет измерять загрузку, выполняя измерения, необходимые для создания известного хорошего базового плана загрузки, называемого базовой политикой целостности. Базовая политика целостности используется для сравнения с измерениями из последующих загрузочных загрузок виртуальной машины, чтобы определить, изменилось ли что-либо. Безопасная загрузка помогает гарантировать, что система запускает только аутентичное программное обеспечение, проверяя цифровую подпись всех загрузочных компонентов, и останавливает процесс загрузки, если проверка подписи завершается ошибкой.

Уровень серьезности: Высокий

Убедитесь, что параметр "Включить подключение к последовательным портам" не включен для экземпляра виртуальной машины

Описание. Взаимодействие с последовательным портом часто называется последовательной консолью, которая похожа на использование окна терминала, в этом режиме ввода и вывода полностью находится в текстовом режиме, и не поддерживается графический интерфейс или мышь. Если включить интерактивную последовательную консоль на экземпляре, клиенты могут попытаться подключиться к нему с любого IP-адреса. Поэтому поддержка интерактивной последовательной консоли должна быть отключена. Экземпляр виртуальной машины имеет четыре виртуальных последовательных порта. Взаимодействие с последовательным портом аналогично использованию окна терминала, в этом режиме ввода и вывода полностью находится в текстовом режиме, а графический интерфейс или поддержка мыши отсутствует. Операционная система экземпляра, BIOS и другие сущности на уровне системы часто записывают выходные данные в последовательные порты и могут принимать входные данные, такие как команды или ответы на запросы. Как правило, эти сущности уровня системы используют первый последовательный порт (порт 1) и последовательный порт 1 часто называют последовательным консолью. Интерактивная последовательная консоль не поддерживает ограничения доступа на основе IP-адресов, например списки разрешений IP-адресов. Если включить интерактивную последовательную консоль на экземпляре, клиенты могут попытаться подключиться к нему с любого IP-адреса. Это позволяет любому пользователю подключаться к этому экземпляру, если они знают правильный ключ SSH, имя пользователя, идентификатор проекта, зону и имя экземпляра. Поэтому поддержка интерактивной последовательной консоли должна быть отключена.

Серьезность: Средняя

Убедитесь, что флаг базы данных "log_duration" для экземпляра Cloud SQL PostgreSQL имеет значение "включено"

Описание. Включение параметра log_hostname приводит к тому, что длительность каждой завершенной инструкции записывается в журнал. Это не регистрирует текст запроса и таким образом ведет себя по-разному от флага log_min_duration_statement. Этот параметр нельзя изменить после запуска сеанса. Мониторинг времени, затраченного на выполнение запросов, может иметь решающее значение при определении любых запросов на перехват ресурсов и оценке производительности сервера. Дальнейшие шаги, такие как балансировка нагрузки и использование оптимизированных запросов, можно выполнить для обеспечения производительности и стабильности сервера. Эта рекомендация применима к экземплярам базы данных PostgreSQL.

Серьезность: низкая

Убедитесь, что флаг базы данных "log_executor_stats" для экземпляра Cloud SQL PostgreSQL установлен как "off"

Описание. Исполнитель PostgreSQL отвечает за выполнение плана, переданного планировщиком PostgreSQL. Исполнитель обрабатывает план рекурсивно, чтобы извлечь необходимый набор строк. Флаг "log_executor_stats" управляет включением статистики производительности исполнителя PostgreSQL в журналы PostgreSQL для каждого запроса. Флаг "log_executor_stats" включает метод грубого профилирования для ведения журнала статистики производительности исполнителя PostgreSQL, которая, несмотря на то, что может быть полезной для устранения неполадок, это может значительно увеличить количество журналов и повысить производительность. Эта рекомендация применима к экземплярам базы данных PostgreSQL.

Серьезность: низкая

Убедитесь, что флаг базы данных "log_min_error_statement" для экземпляра Cloud SQL PostgreSQL имеет значение Error или stricter

Описание. Флаг "log_min_error_statement" определяет минимальный уровень серьезности сообщений, который считается оператором ошибки. Сообщения об ошибках регистрируются с помощью инструкции SQL. Допустимые значения: "DEBUG5", "DEBUG4", "DEBUG3", "DEBUG2", "DEBUG1", "INFO", "УВЕДОМЛЕНИЕ", "ПРЕДУПРЕЖДЕНИЕ", "ОШИБКА", "LOG", "ФАТАЛЬНЫЙ" и "ПАНИКА". Каждый уровень серьезности включает следующие уровни, упомянутые выше. Убедитесь, что задано значение ERROR или более строгое значение. Аудит помогает устранять операционные проблемы, а также разрешает анализ судебно-медицинских данных. Если для параметра "log_min_error_statement" не задано правильное значение, сообщения могут не классифицироваться как сообщения об ошибках соответствующим образом. Учитывая общие сообщения журнала в качестве сообщений об ошибках, трудно найти фактические ошибки и рассмотреть только более строгие уровни серьезности, так как сообщения об ошибках могут пропускать фактические ошибки для регистрации их инструкций SQL. Флаг "log_min_error_statement" должен иметь значение ERROR или более строгий. Эта рекомендация применима к экземплярам базы данных PostgreSQL.

Серьезность: низкая

Убедитесь, что флаг базы данных "log_parser_stats" для экземпляра Cloud SQL PostgreSQL установлен как "off"

Описание. Планировщик и оптимизатор PostgreSQL отвечает за анализ и проверку синтаксиса каждого запроса, полученного сервером. Если синтаксис исправлен, создается дерево синтаксического анализа. Флаг "log_parser_stats" управляет включением статистики производительности синтаксического анализа в журналы PostgreSQL для каждого запроса. Флаг "log_parser_stats" позволяет методу профилирования для статистики производительности синтаксического анализа журнала, которая, хотя и может быть полезной для устранения неполадок, может значительно увеличить количество журналов и повысить производительность. Эта рекомендация применима к экземплярам базы данных PostgreSQL.

Серьезность: низкая

Убедитесь, что флаг базы данных "log_planner_stats" для экземпляра Cloud SQL PostgreSQL установлен как "off"

Описание. Один и тот же SQL-запрос может выполняться несколькими способами и по-прежнему создавать разные результаты. Планировщик и оптимизатор PostgreSQL отвечает за создание оптимального плана выполнения для каждого запроса. Флаг "log_planner_stats" управляет включением статистики производительности планировщика PostgreSQL в журналы PostgreSQL для каждого запроса. Флаг "log_planner_stats" позволяет методу профилирования для ведения журнала статистики производительности планировщика PostgreSQL, которая, хотя и может быть полезной для устранения неполадок, может значительно увеличить количество журналов и повысить производительность. Эта рекомендация применима к экземплярам базы данных PostgreSQL.

Серьезность: низкая

Убедитесь, что флаг базы данных "log_statement_stats" для экземпляра Cloud SQL PostgreSQL установлен как "off"

Описание. Флаг "log_statement_stats" управляет включением сквозной статистики производительности SQL-запроса в журналах PostgreSQL для каждого запроса. Это не может быть включено с другой статистикой модуля (log_parser_stats, log_planner_stats, log_executor_stats). Флаг "log_statement_stats" позволяет методу грубого профилирования для ведения журнала сквозной статистики производительности SQL-запроса. Это может быть полезно для устранения неполадок, но может значительно увеличить количество журналов и повысить производительность. Эта рекомендация применима к экземплярам базы данных PostgreSQL.

Серьезность: низкая

Убедитесь, что вычислительные экземпляры не имеют общедоступных IP-адресов

Описание. Вычислительные экземпляры не должны быть настроены на внешние IP-адреса. Чтобы уменьшить область атаки, вычислительные экземпляры не должны иметь общедоступные IP-адреса. Вместо этого экземпляры должны быть настроены за подсистемами балансировки нагрузки, чтобы свести к минимуму воздействие экземпляра в Интернете. Экземпляры, созданные GKE, должны быть исключены из-за того, что некоторые из них имеют внешние IP-адреса и не могут быть изменены путем редактирования параметров экземпляра. Эти виртуальные машины имеют имена, начинающиеся с gke- и помеченные goog-gke-node.

Уровень серьезности: Высокий

Убедитесь, что экземпляры не настроены для использования учетной записи службы по умолчанию

Описание. Рекомендуется настроить экземпляр, чтобы не использовать учетную запись службы вычислительного ядра по умолчанию, так как она имеет роль редактора в проекте. Учетная запись службы вычислительной подсистемы по умолчанию имеет роль редактора проекта, которая позволяет просматривать и записывать доступ к большинству google Облачные службы. Чтобы защититься от эскалации привилегий, если виртуальная машина скомпрометирована, и запретить злоумышленнику получить доступ ко всем вашим проектам, рекомендуется не использовать учетную запись службы вычислительной подсистемы по умолчанию. Вместо этого необходимо создать новую учетную запись службы и назначить только разрешения, необходимые экземпляру. Учетная запись службы вычислительного ядра по умолчанию называется [PROJECT_NUMBER]- compute@developer.gserviceaccount.com. Виртуальные машины, созданные GKE, должны быть исключены. Эти виртуальные машины имеют имена, начинающиеся с gke- и помеченные goog-gke-node.

Уровень серьезности: Высокий

Убедитесь, что экземпляры не настроены для использования учетной записи службы по умолчанию с полным доступом ко всем облачным API

Описание. Для поддержки принципа наименьших привилегий и предотвращения потенциальной эскалации привилегий рекомендуется, чтобы экземпляры не назначены учетной записи службы по умолчанию "Учетная запись службы по умолчанию вычислительного модуля" с областью "Разрешить полный доступ ко всем облачным API". Наряду с возможностью при необходимости создавать, управлять и использовать пользовательские пользовательские учетные записи служб, Google Compute Engine предоставляет учетную запись службы по умолчанию "Учетная запись службы по умолчанию вычислительного ядра" для экземпляра для доступа к необходимым облачным службам.

Роль "Редактор проектов" назначена учетной записи службы по умолчанию для вычислительной подсистемы, поэтому эта учетная запись службы имеет почти все возможности по всем облачным службам, кроме выставления счетов. Однако, если для экземпляра назначена учетная запись службы ядра вычислений по умолчанию, она может работать в трех областях.

• Разрешить доступ по умолчанию: разрешает только минимальный доступ, необходимый для запуска экземпляра (минимальные привилегии).
• Разрешить полный доступ ко всем облачным API: разрешить полный доступ ко всем облачным API/службам (слишком много доступа).
• Задайте доступ для каждого API: позволяет администратору экземпляра выбирать только те API, которые необходимы для выполнения конкретных бизнес-функций, ожидаемых экземпляром.

Если экземпляр настроен с помощью учетной записи службы по умолчанию для вычислительной подсистемы с областью "Разрешить полный доступ ко всем облачным API", на основе ролей IAM, назначенных пользователю, доступ к экземпляру, может позволить пользователю выполнять облачные операции или вызовы API, которые пользователь не должен выполнять, что приведет к успешной эскалации привилегий.

Виртуальные машины, созданные GKE, должны быть исключены. Эти виртуальные машины имеют имена, начинающиеся с gke- и помеченные goog-gke-node.

Серьезность: Средняя

Убедитесь, что IP-пересылка не включена в экземплярах

Описание. Экземпляр вычислительного ядра не может пересылать пакет, если исходный IP-адрес пакета не соответствует IP-адресу экземпляра. Аналогичным образом GCP не доставляет пакет, целевой IP-адрес которого отличается от IP-адреса экземпляра, получающего пакет. Однако обе возможности необходимы, если вы хотите использовать экземпляры для маршрутизации пакетов. Переадресация пакетов данных должна быть отключена, чтобы предотвратить потерю данных или раскрытие информации. Экземпляр вычислительного ядра не может пересылать пакет, если исходный IP-адрес пакета не соответствует IP-адресу экземпляра. Аналогичным образом GCP не доставляет пакет, целевой IP-адрес которого отличается от IP-адреса экземпляра, получающего пакет. Однако обе возможности необходимы, если вы хотите использовать экземпляры для маршрутизации пакетов. Чтобы включить эту проверку исходного и целевого IP-адресов, отключите поле canIpForward, которое позволяет экземпляру отправлять и получать пакеты с несогласовающими назначениями или исходными IP-адресами.

Серьезность: Средняя

Убедитесь, что для экземпляра Cloud SQL PostgreSQL установлен флаг базы данных "log_checkpoints" включено.

Описание. Убедитесь, что для экземпляра Cloud SQL PostgreSQL установлен флаг базы данных log_checkpoints. Включение log_checkpoints приводит к регистрации контрольных точек и точек перезапуска в журнале сервера. Некоторые статистические данные включаются в сообщения журнала, включая количество записанных буферов и время их записи. Этот параметр можно задать только в файле postgresql.conf или в командной строке сервера. Эта рекомендация применима к экземплярам базы данных PostgreSQL.

Серьезность: низкая

Убедитесь, что для экземпляра Cloud SQL PostgreSQL установлен флаг базы данных "log_lock_waits" включено.

Описание. Включение флага "log_lock_waits" для экземпляра PostgreSQL создает журнал для любых ожиданий сеанса, которые занимают больше времени, чем выделенное "deadlock_timeout" время для получения блокировки. Время ожидания взаимоблокировки определяет время ожидания блокировки перед проверкой любых условий. Частые запуски при истечении времени ожидания взаимоблокировки могут быть признаком основной проблемы. Ведение журнала таких ожиданий при блокировках путем включения флага log_lock_waits можно использовать для выявления плохой производительности из-за задержек блокировки или если специально созданный SQL пытается голодать ресурсы путем хранения блокировок в течение чрезмерного количества времени. Эта рекомендация применима к экземплярам базы данных PostgreSQL.

Серьезность: низкая

Убедитесь, что флаг базы данных "log_min_duration_statement" для экземпляра Cloud SQL PostgreSQL имеет значение "-1".

Описание. Флаг "log_min_duration_statement" определяет минимальное время выполнения инструкции в миллисекундах, в которых регистрируется общая длительность инструкции. Убедитесь, что параметр "log_min_duration_statement" отключен, то есть задано значение -1. Инструкции SQL для ведения журнала могут включать конфиденциальную информацию, которая не должна быть записана в журналах. Эта рекомендация применима к экземплярам базы данных PostgreSQL.

Серьезность: низкая

Убедитесь, что флаг базы данных "log_min_messages" для экземпляра Cloud SQL PostgreSQL установлен соответствующим образом.

Описание. Флаг "log_min_error_statement" определяет минимальный уровень серьезности сообщений, который считается оператором ошибки. Сообщения об ошибках регистрируются с помощью инструкции SQL. Допустимые значения: "DEBUG5", "DEBUG4", "DEBUG3", "DEBUG2", "DEBUG1", "INFO", "УВЕДОМЛЕНИЕ", "ПРЕДУПРЕЖДЕНИЕ", "ОШИБКА", "LOG", "ФАТАЛЬНЫЙ" и "ПАНИКА". Каждый уровень серьезности включает следующие уровни, упомянутые выше. Чтобы эффективно отключить операторы сбоя ведения журнала, задайте для этого параметра значение PANIC. Ошибка считается оптимальным параметром. Изменения следует вносить только в соответствии с политикой ведения журнала организации. Аудит помогает устранять операционные проблемы, а также разрешает анализ судебно-медицинских данных. Если для параметра "log_min_error_statement" не задано правильное значение, сообщения могут не классифицироваться как сообщения об ошибках соответствующим образом. Учитывая общие сообщения журнала в качестве сообщений об ошибках, было бы трудно найти фактические ошибки, учитывая только более строгие уровни серьезности, так как сообщения об ошибках могут пропускать фактические ошибки для регистрации инструкций SQL. Флаг "log_min_error_statement" должен быть задан в соответствии с политикой ведения журнала организации. Эта рекомендация применима к экземплярам базы данных PostgreSQL.

Серьезность: низкая

Убедитесь, что для экземпляра Cloud SQL PostgreSQL для экземпляра базы данных "log_temp_files" задано значение "0".

Описание. PostgreSQL может создать временный файл для таких действий, как сортировка, хэширование и временные результаты запроса, если эти операции превышают значение "work_mem". Флаг "log_temp_files" управляет именами журналов и размером файла при удалении. При настройке параметра "log_temp_files" значение 0 приводит к регистрации всех временных данных файла, а положительные значения регистрируют только файлы, размер которых превышает или равен указанному числу килобайтов. Значение "-1" отключает временное ведение журнала сведений о файле. Если все временные файлы не регистрируются, возможно, будет сложнее определить потенциальные проблемы с производительностью, которые могут быть вызваны плохой кодировкой приложения или преднамеренной попыткой нехватки ресурсов.

Серьезность: низкая

Убедитесь, что диски виртуальных машин для критически важных виртуальных машин шифруются с помощью ключа шифрования, предоставленного клиентом

Описание. Ключи шифрования ( CSEK) — это функция в Google Cloud Storage и Google Compute Engine. Если вы предоставляете собственные ключи шифрования, Google использует ключ для защиты созданных Google ключей, используемых для шифрования и расшифровки данных. По умолчанию Google Compute Engine шифрует все неактивных данных. Модуль вычислений обрабатывает и управляет этим шифрованием без каких-либо дополнительных действий в вашей части. Однако если вы хотите самостоятельно управлять этим шифрованием и управлять ими, вы можете предоставить собственные ключи шифрования. По умолчанию Google Compute Engine шифрует все неактивных данных. Модуль вычислений обрабатывает и управляет этим шифрованием без каких-либо дополнительных действий в вашей части. Однако если вы хотите самостоятельно управлять этим шифрованием и управлять ими, вы можете предоставить собственные ключи шифрования. Если вы предоставляете собственные ключи шифрования, модуль вычислений использует ключ для защиты ключей, созданных Google, используемых для шифрования и расшифровки данных. Только пользователи, которые могут предоставить правильный ключ, могут использовать ресурсы, защищенные ключом шифрования, предоставленным клиентом. Google не хранит ключи на своих серверах и не может получить доступ к защищенным данным, если вы не предоставите ключ. Это также означает, что если вы забыли или потеряли ключ, google не может восстановить ключ или восстановить данные, зашифрованные с помощью потерянного ключа. По крайней мере критически важные для бизнеса виртуальные машины должны иметь диски виртуальных машин, зашифрованные с помощью CSEK.

Серьезность: Средняя

Проекты GCP должны включать автоматическую подготовку Azure Arc

Описание. Для полной видимости содержимого безопасности из Microsoft Defender для серверов экземпляры виртуальных машин GCP должны быть подключены к Azure Arc. Чтобы все подходящие экземпляры виртуальных машин автоматически получали Azure Arc, включите автоматическую подготовку из Defender для облака на уровне проекта GCP. Узнайте больше о службе Azure Arc и Microsoft Defender для серверов.

Уровень серьезности: Высокий

Экземпляры виртуальной машины GCP должны быть подключены к Azure Arc

Описание. Подключение GCP Виртуальные машины к Azure Arc для обеспечения полной видимости содержимого безопасности Microsoft Defender для серверов. Узнайте больше об использовании Azure Arc и Microsoft Defender для серверов в гибридной облачной среде.

Уровень серьезности: Высокий

Для экземпляров виртуальной машины GCP должен быть установлен агент конфигурации ОС

Описание. Чтобы получить полные возможности Defender для серверов с помощью автоматической подготовки Azure Arc, виртуальные машины GCP должны включать агент конфигурации ОС.

Уровень серьезности: Высокий

Функция автоматического восстановления кластера GKE должна быть включена

Описание. Эта рекомендация оценивает свойство управления пула узлов для пары "ключ-значение", "key": "autoRepair", "value": true.

Серьезность: Средняя

Функция автоматического обновления кластера GKE должна быть включена

Описание. Эта рекомендация оценивает свойство управления пула узлов для пары "ключ-значение": "key": "autoUpgrade", "value": true.

Уровень серьезности: Высокий

Мониторинг кластеров GKE должен быть включен

Описание. Эта рекомендация определяет, должно ли свойство monitoringService кластера содержать расположение Cloud Monitoring, которое должно использоваться для записи метрик.

Серьезность: Средняя

Рекомендации по вычислению AWS для LightSail и дополнительных служб

Административные порты не должны быть общедоступными для экземпляров LightSail

Описание: Defender для облака определил общедоступные административные порты в экземпляре LightSail. Административные порты, такие как SSH через порт 22 и RDP через порт 3389, предоставляют удаленный доступ к управлению. Без ограничений IP-адресов эти порты уязвимы для атак подбора и несанкционированного доступа, которые могут скомпрометировать вашу систему.

Серьезность: Средняя

Обнаружение смещения должно быть проверено в стеках AWS CloudFormation

Описание. Смещение конфигурации Defender для облака в стеках AWS CloudFormation, где развернутые ресурсы больше не соответствуют объявленной конфигурации шаблона из-за изменений, внесенных непосредственно в ресурсы за пределами процесса развертывания CloudFormation. Это представляет риск безопасности и соответствия требованиям, обходя элементы управления инфраструктурой как код и позволяя конфигурациям отклоняться от утвержденных политик безопасности.

Серьезность: Средняя

Стратегия явного поставщика емкости должна быть настроена в службах ECS

Описание. Защитник для облака определил проблему конфигурации службы ECS, в которой отсутствует явная стратегия поставщика емкости. Без явного определения поставщика емкости службы ECS по умолчанию параметры кластера для размещения задач, которые могут непреднамеренно назначать рабочие нагрузки неуправляемым или менее безопасным поставщикам емкости EC2 вместо Fargate. Это увеличивает область атаки и ослабляет защиту изоляции для ваших приложений.

Серьезность: низкая

Принудительное применение IMDSv2 должно быть включено в экземплярах LightSail

Описание: Defender для облака определил, что экземпляр LightSail не применяет IMDSv2, улучшение безопасности службы метаданных экземпляра, требующее дополнительной проверки подлинности. Без принудительного применения конечная точка метаданных остается уязвимой для несанкционированных HTTP-запросов, потенциально предоставляя подробные сведения о конфиденциальных экземплярах и повышая риск эксплуатации.

Серьезность: Средняя

В приложении AWS SageMaker необходимо настроить Имя жизненного цикла.

Описание. Defender для облака определил недостающую конфигурацию LifecycleConfigArn в приложении AWS SageMaker. LifecycleConfigArn относится к скриптам конфигурации жизненного цикла, ответственным за инициализацию зависимостей и настройку среды выполнения для заданий обучения, конечных точек или записных книжек. Без этой конфигурации приложение может столкнуться с несогласованным поведением, операционными проблемами и потенциальными уязвимостями из-за неполных настроек среды.

Серьезность: низкая

Общедоступные порты, не необходимые для экземпляров LightSail, должны быть отключены

Описание. Защитник для облака, обнаруженные неисключаемые порты, открытые для общего доступа в экземпляре LightSail. Неуклюционные порты относятся к портам за пределами HTTP (80), HTTPS (443) и стандартных административных портов (22 и 3389). Открытый доступ к этим портам предоставляет экземпляру возможность несанкционированного сканирования и эксплуатации, что повышает риск несанкционированного доступа. Чтобы уменьшить эти уязвимости, рекомендуется ограничить доступ к этим портам доверенным IP-адресам.

Серьезность: низкая

Автоматические моментальные снимки безопасного восстановления данных должны быть включены в экземплярах LightSail

Описание: Defender для облака определил, что автоматические моментальные снимки отключены в экземпляре LightSail. В этом контексте автоматические моментальные снимки относятся к ежедневным резервным копиям, которые хранят семь последних точек восстановления. Без этих моментальных снимков экземпляр сталкивается с повышенным риском потери данных и расширенным временем простоя в случае атаки вредоносных программ или программ-шантажистов. Эта оценка не применяется к экземплярам Windows, так как эта функция не поддерживается на этой платформе.

Серьезность: низкая

Непреднамеренная защита завершения должна быть включена для стеков CloudFormation AWS

Описание. Защитник для облака определил, что защита завершения не включена для стеков AWS CloudFormation. Защита завершения — это функция, которая предотвращает случайное или несанкционированное удаление стеков. Без него ваши стеки рискуют непреднамеренно завершиться, что может привести к прерываниям службы и потенциальной потере данных. Дополнительные сведения о включении защиты прекращения работы см. в статье https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/using-cfn-protect-stacks.html.

Серьезность: Средняя

Рекомендации по вычислению GCP для ядра приложений и облачного запуска

Пользовательские учетные записи служб должны быть настроены для приложений ядра приложений

Описание: Defender для облака определил использование учетной записи службы обработчика приложений по умолчанию для приложений. Это создает риск, так как учетные записи по умолчанию часто предоставляют широкие разрешения, такие как роль редактора, на уровне проекта, которые могут быть использованы при компрометации. Пользовательские учетные записи служб ограничивают разрешения только те, которые необходимы для операций, минимизируя потенциальную уязвимость и следуя принципу наименьших привилегий.

Серьезность: Средняя

Пользовательские учетные записи служб должны быть настроены в службах Cloud Run

Описание: Defender для облака, определяемые облачными службами запуска, использующими учетную запись службы вычислительной подсистемы по умолчанию. В зависимости от конфигурации политики организации учетная запись службы по умолчанию может автоматически предоставляться роли редактора проекта. Эта конфигурация нарушает принцип наименьшей привилегии и представляет риск, когда компрометация контейнера может позволить злоумышленнику получить обширный административный доступ к вашей среде GCP. Подробнее.

Уровень серьезности: Высокий

Identity-Aware защита прокси-сервера должна быть включена в приложениях ядра приложений

Описание: Defender для облака определил, что Identity-Aware прокси-сервер (IAP) отключен в приложениях ядра приложений. IAP — это централизованный уровень авторизации для HTTPS, который проверяет удостоверения пользователей и применяет контекстные элементы управления доступом, прежде чем запросы обращаются к приложению. Без IAP подсистема приложений может быть подвержена несанкционированным доступом, что повышает риск эксплуатации. Включение IAP рекомендуется укрепить безопасность приложения.

Серьезность: Средняя

Внутренний или подсистема балансировки нагрузки должна быть настроена в службах cloud Run

Описание: Защитник для облака идентифицируемые службы Cloud Run, которые разрешают трафик "все" входящего трафика. Эта конфигурация позволяет службе напрямую обращаться из общедоступного Интернета через URL-адрес по умолчанию. Это создает риск обхода централизованных элементов управления безопасностью. Подробнее.

Серьезность: Средняя

Связанные материалы

• сведения о рекомендациях по безопасности
• Просмотр рекомендаций по безопасности