Базовые показатели безопасности Azure для контейнеров приложений Azure

Этот базовый план безопасности применяет рекомендации из microsoft cloud security benchmark версии 1.0 к Контейнерным приложениям Azure. Тест производительности облачной безопасности Майкрософт предоставляет рекомендации по защите облачных решений в Azure. Содержимое сгруппировано по элементам управления безопасностью, определенным в тесте производительности облачной безопасности Майкрософт, и в соответствующем руководстве, применимом к контейнерным приложениям Azure.

Вы можете отслеживать эти базовые показатели безопасности и его рекомендации с помощью Microsoft Defender для облака. Политика Azure определения будут перечислены в разделе Соответствие нормативным требованиям на странице портала Microsoft Defender для облака.

Если у компонента есть релевантные Политика Azure определения, они перечислены в этом базовом плане, чтобы помочь вам измерить соответствие элементам управления и рекомендациям microsoft cloud security benchmark. Для реализации определенных сценариев безопасности для некоторых рекомендаций может потребоваться платный план Microsoft Defender.

Примечание

Функции , неприменимые к приложениям-контейнерам Azure, были исключены. Чтобы узнать, как Контейнеры приложений Azure полностью сопоставляется с тестом производительности облачной безопасности Майкрософт, см. полный файл сопоставления базовых показателей безопасности контейнеров Приложений Azure.

Профиль безопасности

Профиль безопасности содержит сведения о поведении контейнеров Приложений Azure, что может привести к повышению безопасности.

Атрибут поведения службы	Значение
Категория продуктов	Контейнеры
Клиент может получить доступ к HOST/ОС	Нет доступа
Служба может быть развернута в виртуальной сети клиента	True
Хранит неактивный контент клиента	True

Безопасность сети

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Сетевая безопасность.

NS-1: установка границы сегментации сети

Компоненты

Интеграция с виртуальной сетью

Описание. Служба поддерживает развертывание в частной виртуальная сеть клиента (VNet). Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Разверните службу в виртуальной сети. Назначьте ресурсу частные IP-адреса (если это применимо), если нет веской причины назначать общедоступные IP-адреса напрямую ресурсу.

Справочник. Интеграция контейнеров приложений Azure виртуальная сеть

Поддержка групп безопасности сети

Описание. Сетевой трафик службы учитывает назначение правил групп безопасности сети в своих подсетях. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Используйте группы безопасности сети (NSG) для ограничения или отслеживания трафика по порту, протоколу, исходному IP-адресу или IP-адресу назначения. Создайте правила NSG, чтобы ограничить открытые порты службы (например, запретить доступ к портам управления из ненадежных сетей). Имейте в виду, что по умолчанию группы безопасности сети запрещают весь входящий трафик, но разрешают трафик из виртуальной сети и Azure Load Balancers.

Справочник. Защита пользовательской виртуальной сети в контейнерах приложений Azure

NS-2: защита облачных служб с помощью элементов управления сетью

Компоненты

Отключение доступа к общедоступной сети

Описание. Служба поддерживает отключение доступа к общедоступной сети с помощью правила фильтрации списка ACL IP-адресов на уровне службы (не NSG или Брандмауэр Azure) или с помощью переключателя "Отключить доступ к общедоступной сети". Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Отключите доступ к общедоступной сети, развернув конфигурацию среды контейнеров приложений только для внутренних устройств.

Справочник. Предоставление виртуальной сети для внутренней среды Контейнеров приложений Azure

Управление удостоверениями

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Identity management(Управление удостоверениями).

IM-1: Использование централизованной системы удостоверений и проверки подлинности

Компоненты

аутентификация Azure AD требуется для доступа к плоскости данных

Описание. Служба поддерживает использование проверки подлинности Azure AD для доступа к плоскости данных. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Используйте Azure Active Directory (Azure AD) в качестве метода проверки подлинности по умолчанию для управления доступом к плоскости данных.

Справочник. Включение проверки подлинности и авторизации в контейнерах приложений Azure с помощью Azure Active Directory

Методы локальной проверки подлинности для доступа к плоскости данных

Описание: локальные методы проверки подлинности, поддерживаемые для доступа к плоскости данных, такие как локальное имя пользователя и пароль. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

IM-3: Безопасное и автоматическое управление удостоверениями приложений

Компоненты

управляемые удостоверения.

Описание. Действия плоскости данных поддерживают проверку подлинности с помощью управляемых удостоверений. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Заметки о функциях. Управляемое удостоверение поддерживается для контейнеров приложений и компонентов Dapr, но пока не поддерживает правила масштабирования в контейнерном приложении.

Руководство по настройке. По возможности используйте управляемые удостоверения Azure вместо субъектов-служб, которые могут выполнять проверку подлинности в службах и ресурсах Azure, поддерживающих проверку подлинности Azure Active Directory (Azure AD). За администрирование, смену и защиту учетных данных управляемых удостоверений полностью отвечает платформа. Это позволяет избежать прямого указания учетных данных в файлах исходного кода или в файлах конфигурации.

Справочник. Использование управляемого удостоверения в контейнерах приложений Azure

Субъекты-службы

Описание. Плоскость данных поддерживает проверку подлинности с помощью субъектов-служб. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по конфигурации. Нет текущих рекомендаций Майкрософт по этой конфигурации компонентов. Проверьте и определите, хочет ли ваша организация настроить эту функцию безопасности.

IM-7: Ограничение доступа к ресурсам на основе условий

Компоненты

Условный доступ для плоскости данных

Описание. Доступом к плоскости данных можно управлять с помощью Azure AD политик условного доступа. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

IM-8: ограничение раскрытия учетных данных и секретов

Компоненты

Учетные данные и секреты службы поддерживают интеграцию и хранение в Azure Key Vault

Описание. Плоскость данных поддерживает собственное использование azure Key Vault для хранилища учетных данных и секретов. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Применимо	Применимо

Заметки о функциях. Для контейнерных приложений с поддержкой Dapr клиенты могут использовать Key Vault Azure для ссылок на секреты.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Привилегированный доступ

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Privileged Access( Привилегированный доступ).

PA-1. Изолируйте и ограничивайте число пользователей с высокими привилегиями и правами администратора

Компоненты

Локальные учетные записи Администратор

Описание. Служба имеет концепцию локальной административной учетной записи. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

PA-7. Следуйте принципу администрирования с предоставлением минимальных прав

Компоненты

Azure RBAC для плоскости данных

Описание. Azure Role-Based контроль доступа (Azure RBAC) можно использовать для управляемого доступа к действиям уровня данных службы. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

PA-8. Определение процесса доступа для поддержки поставщиков облачных служб

Компоненты

Защищенное хранилище клиента

Описание. Защищенное хранилище можно использовать для доступа к службе поддержки Майкрософт. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Защита данных

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Защита данных.

DP-1. Обнаружение, классификация конфиденциальных данных и добавление к ним тегов

Компоненты

Обнаружение и классификация конфиденциальных данных

Описание. Средства (например, Azure Purview или Azure Information Protection) можно использовать для обнаружения и классификации данных в службе. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-2: отслеживание аномалий и угроз, нацеленных на конфиденциальные данные

Компоненты

Защита от утечки и потери данных

Описание: служба поддерживает решение защиты от потери данных для отслеживания перемещения конфиденциальных данных (в содержимом клиента). Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-3: шифрование передаваемых конфиденциальных данных

Компоненты

Шифрование данных при передаче

Описание. Служба поддерживает шифрование передаваемых данных для плоскости данных. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Включите безопасную передачу в службах, где есть встроенная функция шифрования данных при передаче. Примените протокол HTTPS для любых веб-приложений и служб и убедитесь, что используется ПРОТОКОЛ TLS версии 1.2 или более поздней. Устаревшие версии, такие как SSL 3.0, TLS версии 1.0, должны быть отключены. Для удаленного управления Виртуальные машины вместо незашифрованного протокола используйте SSH (для Linux) или RDP/TLS (для Windows).

Справка. Настройка входящего трафика HTTPS или TCP в контейнерах приложений Azure

DP-4: включение шифрования неактивных данных по умолчанию

Компоненты

Шифрование неактивных данных с помощью ключей платформы

Описание. Поддерживается шифрование неактивных данных с помощью ключей платформы. Любое неактивное содержимое клиента шифруется с помощью этих ключей, управляемых Корпорацией Майкрософт. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	True	Microsoft

Заметки о функциях. Контейнеры приложений Azure используют шифрование майкрософт по умолчанию для неактивных данных.

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено в развертывании по умолчанию.

Справка. Двойное шифрование

DP-5: использование ключа, управляемого клиентом, для шифрования неактивных данных при необходимости

Компоненты

Шифрование неактивных данных с помощью CMK

Описание. Шифрование неактивных данных с помощью управляемых клиентом ключей поддерживается для содержимого клиента, хранящегося службой. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-6: безопасное управление ключами

Компоненты

Управление ключами в Azure Key Vault

Описание. Служба поддерживает интеграцию azure Key Vault для любых ключей, секретов или сертификатов клиента. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-7: безопасное управление сертификатами

Компоненты

Управление сертификатами в Azure Key Vault

Описание. Служба поддерживает интеграцию azure Key Vault для любых сертификатов клиента. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Управление ресурсами

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Управление ресурсами.

AM-2: использование только утвержденных служб

Компоненты

Поддержка службы "Политика Azure"

Описание. Конфигурации служб можно отслеживать и применять с помощью Политика Azure. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Используйте Microsoft Defender для облака, чтобы настроить Политика Azure для аудита и принудительного применения конфигураций ресурсов Azure. Воспользуйтесь Azure Monitor, чтобы создавать оповещения при обнаружении отклонений в ресурсах. Используйте Политика Azure [запрет] и [развертывание, если не существует] для обеспечения безопасной конфигурации в ресурсах Azure.

Справочник. Политика Azure встроенных определений для контейнеров приложений Azure

Ведение журнала и обнаружение угроз

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Ведение журнала и обнаружение угроз.

LT-1. Включение возможностей обнаружения угроз

Компоненты

Microsoft Defender для предложения услуг и продуктов

Описание. Служба предоставляет решение для Microsoft Defender для мониторинга и оповещения о проблемах безопасности. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

LT-4. Включение ведения журнала для исследования безопасности

Компоненты

Журналы ресурсов Azure

Описание. Служба создает журналы ресурсов, которые могут предоставлять расширенные метрики и ведение журнала для конкретной службы. Клиент может настроить эти журналы ресурсов и отправить их в собственный приемник данных, например в учетную запись хранения или рабочую область Log Analytics. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	True	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено в развертывании по умолчанию.

Справочник. Параметры хранения журналов и мониторинга в контейнерах приложений Azure

Управление состоянием защиты и уязвимостью

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Управление состоянием и уязвимостями.

PV-3: настройка безопасных конфигураций вычислительных ресурсов

Компоненты

Образы пользовательских контейнеров

Описание. Служба поддерживает использование предоставленных пользователем образов контейнеров или предварительно созданных образов из Marketplace с предварительно примененными определенными базовыми конфигурациями. Подробнее

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Вы можете извлекать образы из частных репозиториев в Microsoft Реестр контейнеров Azure с помощью управляемых удостоверений для проверки подлинности, чтобы избежать использования учетных данных администратора. Для проверки подлинности с помощью Реестр контейнеров Azure можно использовать управляемое удостоверение, назначаемое системой или пользователем.

Справочник. Извлечение образа контейнеров приложений Azure с управляемым удостоверением

PV-5: выполнение оценок уязвимостей

Компоненты

Оценка уязвимостей с помощью Microsoft Defender

Описание. Служба может быть проверена на наличие уязвимостей с помощью Microsoft Defender для облака или других встроенных Microsoft Defender служб оценки уязвимостей (включая Microsoft Defender для сервера, реестра контейнеров, Служба приложений, SQL и DNS). Подробнее

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Неприменимо	Неприменимо

Руководство по настройке. Хотя контейнеры приложений не поддерживают оценку уязвимостей, выполняемую Defender для контейнеров, Реестр контейнеров Azure, которые могут быть интегрированы с контейнерными приложениями, поддерживают оценку уязвимостей.

Справочник. Использование Defender для контейнеров для проверки образов Реестр контейнеров Azure на наличие уязвимостей

резервное копирование и восстановление

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Backup and recovery (Эталон безопасности облака Майкрософт: резервное копирование и восстановление).

BR-1: обеспечение регулярного автоматического резервного копирования

Компоненты

Azure Backup

Описание. Резервная копия службы может выполняться службой Azure Backup. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Возможность резервного копирования в собственном коде службы

Описание: служба поддерживает собственные возможности резервного копирования (если не используется Azure Backup). Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Дальнейшие действия

• Ознакомьтесь с обзором производительности облачной безопасности Майкрософт.
• Дополнительные сведения о базовой конфигурации безопасности Azure.