Базовые показатели безопасности Azure для Azure Lighthouse

Это важно

Эта базовая база безопасности основана на предыдущей версии Microsoft Cloud Security Benchmark (версии 1.0) и может содержать устаревшие рекомендации. Последние рекомендации по безопасности см. в документации по Azure Lighthouse.

Этот базовый уровень безопасности применяет рекомендации от Microsoft Cloud Security Benchmark версии 1.0 к Azure Lighthouse. Тест безопасности облака Майкрософт предоставляет рекомендации по защите облачных решений в Azure. Содержимое сгруппировано элементами управления безопасностью, определенными тестом безопасности Microsoft Cloud Security, и соответствующим руководством, применимым к Azure Lighthouse.

Вы можете отслеживать эти базовые показатели безопасности и их рекомендации с помощью Microsoft Defender для облака. Определения политики Azure будут перечислены в разделе "Соответствие нормативным требованиям" на странице портала Microsoft Defender для облака.

Если функция имеет соответствующие определения политики Azure, они перечислены в этом базовом плане, чтобы помочь вам оценить соответствие требованиям средств управления и рекомендаций microsoft cloud security benchmark. Для некоторых рекомендаций может потребоваться платный план Microsoft Defender для включения определенных сценариев безопасности.

Замечание

Функции , не применимые к Azure Lighthouse, были исключены. Чтобы узнать, как Azure Lighthouse полностью сопоставляется с эталонным показателем безопасности Облака Майкрософт, ознакомьтесь с полным файлом сопоставления базовых показателей безопасности Azure Lighthouse.

Профиль безопасности

Профиль безопасности обобщает поведение Azure Lighthouse с высоким влиянием, что может привести к увеличению внимания к вопросам безопасности.

Атрибут поведения службы Ценность
Категория продукта MGMT/Governance
Клиент может получить доступ к HOST / OS Нет доступа
Служба может быть развернута в виртуальной сети клиента Неправда
Сохраняет содержимое данных клиента в состоянии покоя True

Защита данных

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: защита данных.

DP-3. Шифрование конфиденциальных данных при передаче

Функции

Шифрование данных при передаче

Описание. Служба поддерживает шифрование данных в транзитном режиме для плоскости данных. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
True True Microsoft

Заметки о функциях: Azure Lighthouse использует шифрование данных майкрософт по умолчанию при передаче.

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник. Двойное шифрование

DP-4. Включение шифрования неактивных данных по умолчанию

Функции

Шифрование неактивных данных с помощью ключей платформы

Описание. Шифрование неактивных данных с помощью ключей платформы поддерживается, любое содержимое клиента, неактивное, шифруется с помощью этих управляемых корпорацией Майкрософт ключей. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
True True Microsoft

Заметки о функциях: Azure Lighthouse использует шифрование неактивных данных майкрософт по умолчанию.

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено при развертывании по умолчанию.

Справочник. Двойное шифрование

DP-5. Использование параметра ключа, управляемого клиентом, в неактивных шифрованиях данных при необходимости

Функции

Шифрование неактивных данных с помощью CMK

Описание. Шифрование неактивных данных с помощью ключей, управляемых клиентом, поддерживается для содержимого клиента, хранящегося службой. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
Неправда Не применимо Не применимо

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Управление активами

Для получения дополнительной информации см. Microsoft Cloud Security Benchmark: управление активами.

AM-2. Использование только утвержденных служб

Функции

Поддержка политик Azure

Описание. Конфигурации служб можно отслеживать и применять с помощью политики Azure. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
True Неправда Клиент

Руководство по настройке. Использование Microsoft Defender для облака для настройки политики Azure для аудита и применения конфигураций ресурсов Azure. Используйте Azure Monitor для создания оповещений при обнаружении отклонения конфигурации ресурсов. Используйте эффекты политики Azure [deny] и [deployIfNotExists], чтобы обеспечить безопасную настройку ресурсов Azure.

Справочник. Встроенные определения политик Azure Lighthouse

Ведение журнала и обнаружение угроз

Дополнительные сведения см. в тестовом тесте облачной безопасности Майкрософт: ведение журнала и обнаружение угроз.

LT-4. Включить ведение журнала для расследования инцидентов безопасности

Функции

Журналы ресурсов Azure

Описание. Служба создает журналы ресурсов, которые могут предоставлять расширенные метрики и ведение журнала для конкретной службы. Клиент может настроить эти журналы ресурсов и отправить их в собственный приемник данных, например учетную запись хранения или рабочую область Log Analytics. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
Неправда Не применимо Не применимо

Заметки о функциях. Хотя Azure Lighthouse не поддерживает журналы ресурсов, поддерживаются журналы действий.

Клиенты, которым делегированы подписки для Azure Lighthouse, могут просматривать данные журнала действий Azure, чтобы просмотреть все действия. Это дает клиентам полную видимость операций, выполняемых поставщиками услуг, а также операций, выполняемых пользователями в собственном клиенте Azure Active Directory (Azure AD).

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Дальнейшие шаги

  • Last updated on