Dela via


Information om det inbyggda initiativet FedRAMP Moderate Regulatory Compliance

I följande artikel beskrivs hur den inbyggda initiativdefinitionen för Azure Policy Regulatory Compliance mappar till efterlevnadsdomäner och kontroller i FedRAMP Moderate. Mer information om den här efterlevnadsstandarden finns i FedRAMP Moderate. Om du vill förstå Ägarskap granskar du principtypen och delat ansvar i molnet.

Följande mappningar är till FedRAMP Moderate-kontrollerna . Många av kontrollerna implementeras med en Azure Policy-initiativdefinition . Om du vill granska den fullständiga initiativdefinitionen öppnar du Princip i Azure Portal och väljer sidan Definitioner. Leta sedan upp och välj den inbyggda initiativdefinitionen FedRAMP Moderate Regulatory Compliance.

Viktigt!

Varje kontroll nedan är associerad med en eller flera Azure Policy-definitioner . Dessa principer kan hjälpa dig att utvärdera efterlevnaden av kontrollen, men det finns ofta inte en en-till-en-matchning eller fullständig matchning mellan en kontroll och en eller flera principer. Därför refererar Efterlevnad i Azure Policy endast till själva principdefinitionerna. Detta säkerställer inte att du är helt kompatibel med alla krav i en kontroll. Dessutom innehåller efterlevnadsstandarden kontroller som inte hanteras av några Azure Policy-definitioner just nu. Därför är efterlevnad i Azure Policy bara en partiell vy över din övergripande efterlevnadsstatus. Associationerna mellan efterlevnadsdomäner, kontroller och Azure Policy-definitioner för den här efterlevnadsstandarden kan ändras över tid. Information om hur du visar ändringshistoriken finns i GitHub-incheckningshistoriken.

Åtkomstkontroll

Principer och procedurer för åtkomstkontroll

ID: FedRAMP MåttligT AC-1-ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utveckla principer och procedurer för åtkomstkontroll CMA_0144 – Utveckla principer och procedurer för åtkomstkontroll Manuell, inaktiverad 1.1.0
Framtvinga obligatoriska och diskretionära principer för åtkomstkontroll CMA_0246 – Framtvinga obligatoriska och diskretionära principer för åtkomstkontroll Manuell, inaktiverad 1.1.0
Styra principer och procedurer CMA_0292 – Styra principer och procedurer Manuell, inaktiverad 1.1.0
Granska principer och procedurer för åtkomstkontroll CMA_0457 – Granska principer och procedurer för åtkomstkontroll Manuell, inaktiverad 1.1.0

Kontohantering

ID: FedRAMP Moderate AC-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Högst 3 ägare bör utses för din prenumeration Vi rekommenderar att du anger upp till 3 prenumerationsägare för att minska risken för intrång av en komprometterad ägare. AuditIfNotExists, inaktiverad 3.0.0
En Azure Active Directory-administratör bör etableras för SQL-servrar Granska etableringen av en Azure Active Directory-administratör för SQL-servern för att aktivera Azure AD-autentisering. Azure AD-autentisering möjliggör förenklad behörighetshantering och centraliserad identitetshantering för databasanvändare och andra Microsoft-tjänster AuditIfNotExists, inaktiverad 1.0.0
App Service-appar bör använda hanterad identitet Använda en hanterad identitet för förbättrad autentiseringssäkerhet AuditIfNotExists, inaktiverad 3.0.0
Tilldela kontoansvariga CMA_0015 – Tilldela kontoansvariga Manuell, inaktiverad 1.1.0
Granska användningen av anpassade RBAC-roller Granska inbyggda roller som "Ägare, Bidragare, Läsare" i stället för anpassade RBAC-roller, som är felbenägna. Användning av anpassade roller behandlas som ett undantag och kräver en rigorös granskning och hotmodellering Granskning, inaktiverad 1.0.1
Granska användarkontostatus CMA_0020 – Granska användarkontostatus Manuell, inaktiverad 1.1.0
Azure AI Services-resurser bör ha nyckelåtkomst inaktiverad (inaktivera lokal autentisering) Nyckelåtkomst (lokal autentisering) rekommenderas att inaktiveras för säkerhet. Azure OpenAI Studio, som vanligtvis används i utveckling/testning, kräver nyckelåtkomst och fungerar inte om nyckelåtkomst är inaktiverad. Efter inaktivering blir Microsoft Entra-ID den enda åtkomstmetoden, vilket gör det möjligt att upprätthålla minimiprivilegier och detaljerad kontroll. Läs mer på: https://aka.ms/AI/auth Granska, neka, inaktiverad 1.1.0
Blockerade konton med ägarbehörighet för Azure-resurser bör tas bort Inaktuella konton med ägarbehörigheter bör tas bort från din prenumeration. Inaktuella konton är konton som har blockerats från att logga in. AuditIfNotExists, inaktiverad 1.0.0
Blockerade konton med läs- och skrivbehörigheter för Azure-resurser bör tas bort Inaktuella konton bör tas bort från dina prenumerationer. Inaktuella konton är konton som har blockerats från att logga in. AuditIfNotExists, inaktiverad 1.0.0
Definiera och framtvinga villkor för delade konton och gruppkonton CMA_0117 – Definiera och framtvinga villkor för delade konton och gruppkonton Manuell, inaktiverad 1.1.0
Definiera kontotyper för informationssystem CMA_0121 – Definiera kontotyper för informationssystem Manuell, inaktiverad 1.1.0
Behörigheter för dokumentåtkomst CMA_0186 – Behörigheter för dokumentåtkomst Manuell, inaktiverad 1.1.0
Upprätta villkor för rollmedlemskap CMA_0269 – Upprätta villkor för rollmedlemskap Manuell, inaktiverad 1.1.0
Funktionsappar bör använda hanterad identitet Använda en hanterad identitet för förbättrad autentiseringssäkerhet AuditIfNotExists, inaktiverad 3.0.0
Gästkonton med ägarbehörighet för Azure-resurser bör tas bort Externa konton med ägarbehörigheter bör tas bort från din prenumeration för att förhindra oövervakad åtkomst. AuditIfNotExists, inaktiverad 1.0.0
Gästkonton med läsbehörighet för Azure-resurser bör tas bort Externa konton med läsbehörighet bör tas bort från din prenumeration för att förhindra oövervakad åtkomst. AuditIfNotExists, inaktiverad 1.0.0
Gästkonton med skrivbehörighet för Azure-resurser bör tas bort Externa konton med skrivbehörighet bör tas bort från din prenumeration för att förhindra oövervakad åtkomst. AuditIfNotExists, inaktiverad 1.0.0
Övervaka kontoaktivitet CMA_0377 – Övervaka kontoaktivitet Manuell, inaktiverad 1.1.0
Meddela kontoansvariga om kundkontrollerade konton CMA_C1009 – Meddela kontoansvariga om kundkontrollerade konton Manuell, inaktiverad 1.1.0
Återutge autentiserare för ändrade grupper och konton CMA_0426 – Återutge autentiserare för ändrade grupper och konton Manuell, inaktiverad 1.1.0
Kräv godkännande för att skapa konto CMA_0431 – Kräv godkännande för att skapa konto Manuell, inaktiverad 1.1.0
Begränsa åtkomsten till privilegierade konton CMA_0446 – Begränsa åtkomsten till privilegierade konton Manuell, inaktiverad 1.1.0
Granska kontoetableringsloggar CMA_0460 – Granska kontoetableringsloggar Manuell, inaktiverad 1.1.0
Granska användarkonton CMA_0480 – Granska användarkonton Manuell, inaktiverad 1.1.0
Service Fabric-kluster bör endast använda Azure Active Directory för klientautentisering Granska endast användning av klientautentisering via Azure Active Directory i Service Fabric Granska, neka, inaktiverad 1.1.0

Automatiserad systemkontohantering

ID: FedRAMP Moderate AC-2 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
En Azure Active Directory-administratör bör etableras för SQL-servrar Granska etableringen av en Azure Active Directory-administratör för SQL-servern för att aktivera Azure AD-autentisering. Azure AD-autentisering möjliggör förenklad behörighetshantering och centraliserad identitetshantering för databasanvändare och andra Microsoft-tjänster AuditIfNotExists, inaktiverad 1.0.0
Automatisera kontohantering CMA_0026 – Automatisera kontohantering Manuell, inaktiverad 1.1.0
Azure AI Services-resurser bör ha nyckelåtkomst inaktiverad (inaktivera lokal autentisering) Nyckelåtkomst (lokal autentisering) rekommenderas att inaktiveras för säkerhet. Azure OpenAI Studio, som vanligtvis används i utveckling/testning, kräver nyckelåtkomst och fungerar inte om nyckelåtkomst är inaktiverad. Efter inaktivering blir Microsoft Entra-ID den enda åtkomstmetoden, vilket gör det möjligt att upprätthålla minimiprivilegier och detaljerad kontroll. Läs mer på: https://aka.ms/AI/auth Granska, neka, inaktiverad 1.1.0
Hantera system- och administratörskonton CMA_0368 – Hantera system- och administratörskonton Manuell, inaktiverad 1.1.0
Övervaka åtkomst i hela organisationen CMA_0376 – Övervaka åtkomst i hela organisationen Manuell, inaktiverad 1.1.0
Meddela när kontot inte behövs CMA_0383 – Meddela när kontot inte behövs Manuell, inaktiverad 1.1.0
Service Fabric-kluster bör endast använda Azure Active Directory för klientautentisering Granska endast användning av klientautentisering via Azure Active Directory i Service Fabric Granska, neka, inaktiverad 1.1.0

Inaktivera inaktiva konton

ID: FedRAMP Moderate AC-2 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Inaktivera autentiserare vid avslutning CMA_0169 – Inaktivera autentisering vid avslutning Manuell, inaktiverad 1.1.0
Återkalla privilegierade roller efter behov CMA_0483 – Återkalla privilegierade roller efter behov Manuell, inaktiverad 1.1.0

Automatiserade granskningsåtgärder

ID: FedRAMP Moderate AC-2 (4) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska användarkontostatus CMA_0020 – Granska användarkontostatus Manuell, inaktiverad 1.1.0
Automatisera kontohantering CMA_0026 – Automatisera kontohantering Manuell, inaktiverad 1.1.0
Hantera system- och administratörskonton CMA_0368 – Hantera system- och administratörskonton Manuell, inaktiverad 1.1.0
Övervaka åtkomst i hela organisationen CMA_0376 – Övervaka åtkomst i hela organisationen Manuell, inaktiverad 1.1.0
Meddela när kontot inte behövs CMA_0383 – Meddela när kontot inte behövs Manuell, inaktiverad 1.1.0

Inaktivitetsutloggning

ID: FedRAMP Moderate AC-2 (5) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Definiera och framtvinga inaktivitetsloggprincip CMA_C1017 – Definiera och tillämpa inaktivitetsloggprincip Manuell, inaktiverad 1.1.0

Rollbaserade scheman

ID: FedRAMP Moderate AC-2 (7) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
En Azure Active Directory-administratör bör etableras för SQL-servrar Granska etableringen av en Azure Active Directory-administratör för SQL-servern för att aktivera Azure AD-autentisering. Azure AD-autentisering möjliggör förenklad behörighetshantering och centraliserad identitetshantering för databasanvändare och andra Microsoft-tjänster AuditIfNotExists, inaktiverad 1.0.0
Granska privilegierade funktioner CMA_0019 – Granska privilegierade funktioner Manuell, inaktiverad 1.1.0
Granska användningen av anpassade RBAC-roller Granska inbyggda roller som "Ägare, Bidragare, Läsare" i stället för anpassade RBAC-roller, som är felbenägna. Användning av anpassade roller behandlas som ett undantag och kräver en rigorös granskning och hotmodellering Granskning, inaktiverad 1.0.1
Azure AI Services-resurser bör ha nyckelåtkomst inaktiverad (inaktivera lokal autentisering) Nyckelåtkomst (lokal autentisering) rekommenderas att inaktiveras för säkerhet. Azure OpenAI Studio, som vanligtvis används i utveckling/testning, kräver nyckelåtkomst och fungerar inte om nyckelåtkomst är inaktiverad. Efter inaktivering blir Microsoft Entra-ID den enda åtkomstmetoden, vilket gör det möjligt att upprätthålla minimiprivilegier och detaljerad kontroll. Läs mer på: https://aka.ms/AI/auth Granska, neka, inaktiverad 1.1.0
Övervaka kontoaktivitet CMA_0377 – Övervaka kontoaktivitet Manuell, inaktiverad 1.1.0
Övervaka privilegierad rolltilldelning CMA_0378 – Övervaka privilegierad rolltilldelning Manuell, inaktiverad 1.1.0
Begränsa åtkomsten till privilegierade konton CMA_0446 – Begränsa åtkomsten till privilegierade konton Manuell, inaktiverad 1.1.0
Återkalla privilegierade roller efter behov CMA_0483 – Återkalla privilegierade roller efter behov Manuell, inaktiverad 1.1.0
Service Fabric-kluster bör endast använda Azure Active Directory för klientautentisering Granska endast användning av klientautentisering via Azure Active Directory i Service Fabric Granska, neka, inaktiverad 1.1.0
Använda privilegierad identitetshantering CMA_0533 – Använda privilegierad identitetshantering Manuell, inaktiverad 1.1.0

Begränsningar för användning av delade grupper/konton

ID: FedRAMP Moderate AC-2 (9) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Definiera och framtvinga villkor för delade konton och gruppkonton CMA_0117 – Definiera och framtvinga villkor för delade konton och gruppkonton Manuell, inaktiverad 1.1.0

Uppsägning av autentiseringsuppgifter för delat konto/gruppkonto

ID: FedRAMP Moderate AC-2 (10) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Avsluta autentiseringsuppgifter för kundkontrollerat konto CMA_C1022 – Avsluta autentiseringsuppgifter för kundkontrollerat konto Manuell, inaktiverad 1.1.0

Kontoövervakning/atypisk användning

ID: FedRAMP Moderate AC-2 (12) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
[Förhandsversion]: Azure Arc-aktiverade Kubernetes-kluster bör ha Microsoft Defender för molnet-tillägget installerat Microsoft Defender för molnet-tillägget för Azure Arc ger skydd mot hot för dina Arc-aktiverade Kubernetes-kluster. Tillägget samlar in data från alla noder i klustret och skickar dem till Azure Defender för Kubernetes-serverdelen i molnet för ytterligare analys. Läs mer i https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc. AuditIfNotExists, inaktiverad 6.0.0-preview
Azure Defender för App Service ska vara aktiverat Azure Defender för App Service utnyttjar molnets skala och den synlighet som Azure har som molnleverantör för att övervaka vanliga webbappattacker. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Azure SQL Database-servrar ska vara aktiverade Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för Key Vault ska vara aktiverat Azure Defender för Key Vault ger ytterligare ett lager av skydd och säkerhetsinformation genom att identifiera ovanliga och potentiellt skadliga försök att komma åt eller utnyttja key vault-konton. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Resource Manager ska vara aktiverat Azure Defender för Resource Manager övervakar automatiskt resurshanteringsåtgärderna i din organisation. Azure Defender identifierar hot och varnar dig om misstänkt aktivitet. Läs mer om funktionerna i Azure Defender för Resource Manager på https://aka.ms/defender-for-resource-manager . Om du aktiverar den här Azure Defender-planen resulterar det i avgifter. Läs mer om prisinformationen per region på Security Centers prissida: https://aka.ms/pricing-security-center . AuditIfNotExists, inaktiverad 1.0.0
Azure Defender för servrar ska vara aktiverat Azure Defender för servrar ger skydd mot hot i realtid för serverarbetsbelastningar och genererar härdningsrekommendationer samt aviseringar om misstänkta aktiviteter. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för SQL-servrar på datorer ska vara aktiverat Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för SQL ska vara aktiverat för oskyddade SQL Managed Instances Granska varje SQL Managed Instance utan avancerad datasäkerhet. AuditIfNotExists, inaktiverad 1.0.2
Hanteringsportar för virtuella datorer bör skyddas med just-in-time-åtkomstkontroll för nätverk Möjlig jit-åtkomst (just-in-time) för nätverk övervakas av Azure Security Center som rekommendationer AuditIfNotExists, inaktiverad 3.0.0
Microsoft Defender för containrar ska vara aktiverat Microsoft Defender för containrar ger härdning, sårbarhetsbedömning och körningsskydd för dina Azure-, hybrid- och kubernetes-miljöer i flera moln. AuditIfNotExists, inaktiverad 1.0.0
Microsoft Defender för Storage ska vara aktiverat Microsoft Defender för Storage identifierar potentiella hot mot dina lagringskonton. Det hjälper till att förhindra de tre stora effekterna på dina data och din arbetsbelastning: skadliga filuppladdningar, exfiltrering av känsliga data och skadade data. Den nya Defender for Storage-planen innehåller skanning av skadlig kod och hotidentifiering av känsliga data. Den här planen ger också en förutsägbar prisstruktur (per lagringskonto) för kontroll över täckning och kostnader. AuditIfNotExists, inaktiverad 1.0.0
Övervaka kontoaktivitet CMA_0377 – Övervaka kontoaktivitet Manuell, inaktiverad 1.1.0
Rapportera atypiskt beteende för användarkonton CMA_C1025 – Rapportera atypiskt beteende för användarkonton Manuell, inaktiverad 1.1.0

Åtkomsttillämpning

ID: FedRAMP Moderate AC-3 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Konton med ägarbehörigheter för Azure-resurser ska vara MFA-aktiverade Multi-Factor Authentication (MFA) bör aktiveras för alla prenumerationskonton med ägarbehörighet för att förhindra intrång i konton eller resurser. AuditIfNotExists, inaktiverad 1.0.0
Konton med läsbehörigheter för Azure-resurser ska vara MFA-aktiverade Multi-Factor Authentication (MFA) bör aktiveras för alla prenumerationskonton med läsbehörighet för att förhindra intrång i konton eller resurser. AuditIfNotExists, inaktiverad 1.0.0
Konton med skrivbehörighet för Azure-resurser ska vara MFA-aktiverade Multi-Factor Authentication (MFA) ska aktiveras för alla prenumerationskonton med skrivbehörighet för att förhindra intrång i konton eller resurser. AuditIfNotExists, inaktiverad 1.0.0
Lägg till systemtilldelad hanterad identitet för att aktivera gästkonfigurationstilldelningar på virtuella datorer utan identiteter Den här principen lägger till en systemtilldelad hanterad identitet till virtuella datorer som finns i Azure och som stöds av gästkonfiguration men som inte har några hanterade identiteter. En systemtilldelad hanterad identitet är en förutsättning för alla gästkonfigurationstilldelningar och måste läggas till på datorer innan du använder några principdefinitioner för gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. modify 4.1.0
Lägg till systemtilldelad hanterad identitet för att aktivera gästkonfigurationstilldelningar på virtuella datorer med en användartilldelad identitet Den här principen lägger till en systemtilldelad hanterad identitet till virtuella datorer i Azure som stöds av gästkonfiguration och som har minst en användartilldelad identitet men som inte har någon systemtilldelad hanterad identitet. En systemtilldelad hanterad identitet är en förutsättning för alla gästkonfigurationstilldelningar och måste läggas till på datorer innan du använder några principdefinitioner för gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. modify 4.1.0
En Azure Active Directory-administratör bör etableras för SQL-servrar Granska etableringen av en Azure Active Directory-administratör för SQL-servern för att aktivera Azure AD-autentisering. Azure AD-autentisering möjliggör förenklad behörighetshantering och centraliserad identitetshantering för databasanvändare och andra Microsoft-tjänster AuditIfNotExists, inaktiverad 1.0.0
App Service-appar bör använda hanterad identitet Använda en hanterad identitet för förbättrad autentiseringssäkerhet AuditIfNotExists, inaktiverad 3.0.0
Granska Linux-datorer som har konton utan lösenord Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om Linux-datorer som har konton utan lösenord AuditIfNotExists, inaktiverad 3.1.0
Autentisering till Linux-datorer bör kräva SSH-nycklar Även om SSH själv ger en krypterad anslutning, gör användning av lösenord med SSH fortfarande den virtuella datorn sårbar för råstyrkeattacker. Det säkraste alternativet för att autentisera till en virtuell Azure Linux-dator via SSH är med ett offentligt-privat nyckelpar, även kallat SSH-nycklar. Läs mer: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed. AuditIfNotExists, inaktiverad 3.2.0
Auktorisera åtkomst till säkerhetsfunktioner och information CMA_0022 – Auktorisera åtkomst till säkerhetsfunktioner och information Manuell, inaktiverad 1.1.0
Auktorisera och hantera åtkomst CMA_0023 – Auktorisera och hantera åtkomst Manuell, inaktiverad 1.1.0
Azure AI Services-resurser bör ha nyckelåtkomst inaktiverad (inaktivera lokal autentisering) Nyckelåtkomst (lokal autentisering) rekommenderas att inaktiveras för säkerhet. Azure OpenAI Studio, som vanligtvis används i utveckling/testning, kräver nyckelåtkomst och fungerar inte om nyckelåtkomst är inaktiverad. Efter inaktivering blir Microsoft Entra-ID den enda åtkomstmetoden, vilket gör det möjligt att upprätthålla minimiprivilegier och detaljerad kontroll. Läs mer på: https://aka.ms/AI/auth Granska, neka, inaktiverad 1.1.0
Distribuera Linux-gästkonfigurationstillägget för att aktivera gästkonfigurationstilldelningar på virtuella Linux-datorer Den här principen distribuerar Linux-gästkonfigurationstillägget till virtuella Linux-datorer i Azure som stöds av gästkonfiguration. Linux-gästkonfigurationstillägget är en förutsättning för alla Linux-gästkonfigurationstilldelningar och måste distribueras till datorer innan du använder någon principdefinition för Linux-gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. deployIfNotExists 3.1.0
Framtvinga logisk åtkomst CMA_0245 – Framtvinga logisk åtkomst Manuell, inaktiverad 1.1.0
Framtvinga obligatoriska och diskretionära principer för åtkomstkontroll CMA_0246 – Framtvinga obligatoriska och diskretionära principer för åtkomstkontroll Manuell, inaktiverad 1.1.0
Funktionsappar bör använda hanterad identitet Använda en hanterad identitet för förbättrad autentiseringssäkerhet AuditIfNotExists, inaktiverad 3.0.0
Kräv godkännande för att skapa konto CMA_0431 – Kräv godkännande för att skapa konto Manuell, inaktiverad 1.1.0
Granska användargrupper och program med åtkomst till känsliga data CMA_0481 – Granska användargrupper och program med åtkomst till känsliga data Manuell, inaktiverad 1.1.0
Service Fabric-kluster bör endast använda Azure Active Directory för klientautentisering Granska endast användning av klientautentisering via Azure Active Directory i Service Fabric Granska, neka, inaktiverad 1.1.0
Lagringskonton ska migreras till nya Azure Resource Manager-resurser Använd nya Azure Resource Manager för dina lagringskonton för att tillhandahålla säkerhetsförbättringar som: starkare åtkomstkontroll (RBAC), bättre granskning, Azure Resource Manager-baserad distribution och styrning, åtkomst till hanterade identiteter, åtkomst till nyckelvalv för hemligheter, Azure AD-baserad autentisering och stöd för taggar och resursgrupper för enklare säkerhetshantering Granska, neka, inaktiverad 1.0.0
Virtuella datorer ska migreras till nya Azure Resource Manager-resurser Använd nya Azure Resource Manager för dina virtuella datorer för att tillhandahålla säkerhetsförbättringar som: starkare åtkomstkontroll (RBAC), bättre granskning, Azure Resource Manager-baserad distribution och styrning, åtkomst till hanterade identiteter, åtkomst till nyckelvalv för hemligheter, Azure AD-baserad autentisering och stöd för taggar och resursgrupper för enklare säkerhetshantering Granska, neka, inaktiverad 1.0.0

Tillämpning av informationsflöde

ID: FedRAMP Moderate AC-4 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
[Inaktuell]: Azure Cognitive tjänsten Search bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Cognitive Search minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Granskning, inaktiverad 1.0.1-inaktuell
[Inaktuell]: Cognitive Services bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Cognitive Services minskar du risken för dataläckage. Läs mer om privata länkar på: https://go.microsoft.com/fwlink/?linkid=2129800. Granskning, inaktiverad 3.0.1-inaktuell
[Förhandsversion]: All Internettrafik ska dirigeras via din distribuerade Azure Firewall Azure Security Center har upptäckt att vissa av dina undernät inte skyddas med en nästa generations brandvägg. Skydda dina undernät mot potentiella hot genom att begränsa åtkomsten till dem med Azure Firewall eller en nästa generations brandvägg som stöds AuditIfNotExists, inaktiverad 3.0.0-preview
[Förhandsversion]: Offentlig åtkomst till lagringskontot bör inte tillåtas Anonym offentlig läsåtkomst till containrar och blobar i Azure Storage är ett bekvämt sätt att dela data men kan medföra säkerhetsrisker. För att förhindra dataintrång som orsakas av oönstrade anonym åtkomst rekommenderar Microsoft att du förhindrar offentlig åtkomst till ett lagringskonto om inte ditt scenario kräver det. audit, Audit, deny, Deny, disabled, Disabled 3.1.0-preview
Alla nätverksportar bör begränsas för nätverkssäkerhetsgrupper som är associerade med den virtuella datorn Azure Security Center har identifierat att vissa av nätverkssäkerhetsgruppernas regler för inkommande trafik är för tillåtande. Regler för inkommande trafik bör inte tillåta åtkomst från "Alla" eller "Internet"-intervall. Detta kan potentiellt göra det möjligt för angripare att rikta in sig på dina resurser. AuditIfNotExists, inaktiverad 3.0.0
API Management-tjänster bör använda ett virtuellt nätverk Azure Virtual Network-distribution ger förbättrad säkerhet, isolering och gör att du kan placera DIN API Management-tjänst i ett routbart nätverk som inte kan dirigeras via Internet och som du styr åtkomsten till. Dessa nätverk kan sedan anslutas till dina lokala nätverk med hjälp av olika VPN-tekniker, vilket ger åtkomst till dina serverdelstjänster i nätverket och/eller lokalt. Utvecklarportalen och API-gatewayen kan konfigureras för att vara tillgängliga antingen från Internet eller endast i det virtuella nätverket. Granska, neka, inaktiverad 1.0.2
Appkonfiguration bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina appkonfigurationsinstanser i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/appconfig/private-endpoint. AuditIfNotExists, inaktiverad 1.0.2
App Service-appar bör inte ha CORS konfigurerat för att tillåta varje resurs att komma åt dina appar Resursdelning för korsande ursprung (CORS) bör inte tillåta att alla domäner får åtkomst till din app. Tillåt endast att nödvändiga domäner interagerar med din app. AuditIfNotExists, inaktiverad 2.0.0
Auktoriserade IP-intervall ska definieras i Kubernetes Services Begränsa åtkomsten till Kubernetes Service Management-API:et genom att endast ge API-åtkomst till IP-adresser i specifika intervall. Vi rekommenderar att du begränsar åtkomsten till auktoriserade IP-intervall för att säkerställa att endast program från tillåtna nätverk kan komma åt klustret. Granskning, inaktiverad 2.0.1
Azure AI Services-resurser bör begränsa nätverksåtkomsten Genom att begränsa nätverksåtkomsten kan du se till att endast tillåtna nätverk kan komma åt tjänsten. Detta kan uppnås genom att konfigurera nätverksregler så att endast program från tillåtna nätverk kan komma åt Azure AI-tjänsten. Granska, neka, inaktiverad 3.2.0
Azure API för FHIR bör använda privat länk Azure API för FHIR bör ha minst en godkänd privat slutpunktsanslutning. Klienter i ett virtuellt nätverk kan på ett säkert sätt komma åt resurser som har privata slutpunktsanslutningar via privata länkar. Mer information finns i: https://aka.ms/fhir-privatelink. Granskning, inaktiverad 1.0.0
Azure Cache for Redis bör använda privat länk Med privata slutpunkter kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Genom att mappa privata slutpunkter till dina Azure Cache for Redis-instanser minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link. AuditIfNotExists, inaktiverad 1.0.0
Azure Cognitive tjänsten Search bör använda en SKU som stöder privat länk Med SKU:er som stöds i Azure Cognitive Search kan du med Azure Private Link ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din tjänsten Search minskas risken för dataläckage. Läs mer på: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Granska, neka, inaktiverad 1.0.0
Azure Cognitive tjänsten Search s bör inaktivera åtkomst till offentliga nätverk Om du inaktiverar åtkomst till det offentliga nätverket förbättras säkerheten genom att säkerställa att din Azure Cognitive tjänsten Search inte exponeras på det offentliga Internet. Om du skapar privata slutpunkter kan du begränsa exponeringen av dina tjänsten Search. Läs mer på: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Granska, neka, inaktiverad 1.0.0
Azure Cosmos DB-konton ska ha brandväggsregler Brandväggsregler bör definieras på dina Azure Cosmos DB-konton för att förhindra trafik från obehöriga källor. Konton som har minst en IP-regel definierad med det virtuella nätverksfiltret aktiverat anses vara kompatibla. Konton som inaktiverar offentlig åtkomst anses också vara kompatibla. Granska, neka, inaktiverad 2.1.0
Azure Data Factory bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Data Factory minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/data-factory/data-factory-private-link. AuditIfNotExists, inaktiverad 1.0.0
Azure Event Grid-domäner bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din Event Grid-domän i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/privateendpoints. Granskning, inaktiverad 1.0.2
Azure Event Grid-ämnen bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt Event Grid-ämne i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/privateendpoints. Granskning, inaktiverad 1.0.2
Azure File Sync bör använda privat länk När du skapar en privat slutpunkt för den angivna Storage Sync Service-resursen kan du adressera din Storage Sync Service-resurs inifrån det privata IP-adressutrymmet i organisationens nätverk i stället för via den internettillgängliga offentliga slutpunkten. Att skapa en privat slutpunkt av sig själv inaktiverar inte den offentliga slutpunkten. AuditIfNotExists, inaktiverad 1.0.0
Azure Key Vault bör ha brandvägg aktiverat Aktivera key vault-brandväggen så att nyckelvalvet inte är tillgängligt som standard för offentliga IP-adresser. Du kan också konfigurera specifika IP-intervall för att begränsa åtkomsten till dessa nätverk. Läs mer på: https://docs.microsoft.com/azure/key-vault/general/network-security Granska, neka, inaktiverad 3.2.1
Azure Key Vaults bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till nyckelvalvet kan du minska risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/akvprivatelink. [parameters('audit_effect')] 1.2.1
Azure Machine Learning-arbetsytor bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Machine Learning-arbetsytor minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link. Granskning, inaktiverad 1.0.0
Azure Service Bus-namnområden bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Service Bus-namnområden minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service. AuditIfNotExists, inaktiverad 1.0.0
Azure SignalR Service bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din Azure SignalR Service-resurs i stället för hela tjänsten minskar du risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/asrs/privatelink. Granskning, inaktiverad 1.0.0
Azure Synapse-arbetsytor bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Synapse-arbetsytan minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links. Granskning, inaktiverad 1.0.1
Azure Web PubSub Service bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Web PubSub Service kan du minska risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/awps/privatelink. Granskning, inaktiverad 1.0.0
Containerregister bör inte tillåta obegränsad nätverksåtkomst Azure-containerregister accepterar som standard anslutningar via Internet från värdar i alla nätverk. Om du vill skydda dina register mot potentiella hot kan du endast tillåta åtkomst från specifika privata slutpunkter, offentliga IP-adresser eller adressintervall. Om ditt register inte har konfigurerat några nätverksregler visas det i de resurser som inte är felfria. Läs mer om containerregisternätverksregler här: https://aka.ms/acr/privatelinkoch https://aka.ms/acr/portal/public-network https://aka.ms/acr/vnet. Granska, neka, inaktiverad 2.0.0
Containerregister bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina containerregister i stället för hela tjänsten skyddas du också mot dataläckagerisker. Läs mer på: https://aka.ms/acr/private-link. Granskning, inaktiverad 1.0.1
Kontrollera informationsflödet CMA_0079 – Kontrollera informationsflödet Manuell, inaktiverad 1.1.0
CosmosDB-konton bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt CosmosDB-konto minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints. Granskning, inaktiverad 1.0.0
Diskåtkomstresurser bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till diskAccesses minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/disksprivatelinksdoc. AuditIfNotExists, inaktiverad 1.0.0
Använda flödeskontrollmekanismer för krypterad information CMA_0211 – Använda flödeskontrollmekanismer för krypterad information Manuell, inaktiverad 1.1.0
Event Hub-namnområden bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Event Hub-namnområden minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/event-hubs/private-link-service. AuditIfNotExists, inaktiverad 1.0.0
Internetuppkopplade virtuella datorer ska skyddas med nätverkssäkerhetsgrupper Skydda dina virtuella datorer från potentiella hot genom att begränsa åtkomsten till dem med nätverkssäkerhetsgrupper (NSG). Läs mer om att styra trafik med NSG:er på https://aka.ms/nsg-doc AuditIfNotExists, inaktiverad 3.0.0
IoT Hub-enhetsetableringstjänstinstanser bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till IoT Hub-enhetsetableringstjänsten minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/iotdpsvnet. Granskning, inaktiverad 1.0.0
IP-vidarebefordran på den virtuella datorn bör inaktiveras Genom att aktivera IP-vidarebefordran på en virtuell dators nätverkskort kan datorn ta emot trafik som är adresserad till andra mål. IP-vidarebefordran krävs sällan (t.ex. när du använder den virtuella datorn som en virtuell nätverksinstallation), och därför bör detta granskas av nätverkssäkerhetsteamet. AuditIfNotExists, inaktiverad 3.0.0
Hanteringsportar för virtuella datorer bör skyddas med just-in-time-åtkomstkontroll för nätverk Möjlig jit-åtkomst (just-in-time) för nätverk övervakas av Azure Security Center som rekommendationer AuditIfNotExists, inaktiverad 3.0.0
Hanteringsportar bör stängas på dina virtuella datorer Öppna fjärrhanteringsportar utsätter den virtuella datorn för en hög risknivå från Internetbaserade attacker. Dessa attacker försöker råstyra autentiseringsuppgifter för att få administratörsåtkomst till datorn. AuditIfNotExists, inaktiverad 3.0.0
Virtuella datorer som inte är Internetanslutna bör skyddas med nätverkssäkerhetsgrupper Skydda dina virtuella datorer som inte är Internetuppkopplade mot potentiella hot genom att begränsa åtkomsten med nätverkssäkerhetsgrupper (NSG). Läs mer om att styra trafik med NSG:er på https://aka.ms/nsg-doc AuditIfNotExists, inaktiverad 3.0.0
Privata slutpunktsanslutningar i Azure SQL Database ska vara aktiverade Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure SQL Database. Granskning, inaktiverad 1.1.0
Privat slutpunkt ska vara aktiverad för MariaDB-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for MariaDB. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Privat slutpunkt ska vara aktiverad för MySQL-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for MySQL. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Privat slutpunkt ska vara aktiverad för PostgreSQL-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for PostgreSQL. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Åtkomst till offentligt nätverk i Azure SQL Database bör inaktiveras Om du inaktiverar den offentliga nätverksåtkomstegenskapen förbättras säkerheten genom att din Azure SQL Database endast kan nås från en privat slutpunkt. Den här konfigurationen nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Granska, neka, inaktiverad 1.1.0
Åtkomst till offentligt nätverk ska inaktiveras för MariaDB-servrar Inaktivera den offentliga nätverksåtkomstegenskapen för att förbättra säkerheten och se till att din Azure Database for MariaDB endast kan nås från en privat slutpunkt. Den här konfigurationen inaktiverar strikt åtkomst från offentliga adressutrymmen utanför Azures IP-intervall och nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Granska, neka, inaktiverad 2.0.0
Åtkomst till offentligt nätverk ska inaktiveras för MySQL-servrar Inaktivera den offentliga nätverksåtkomstegenskapen för att förbättra säkerheten och se till att din Azure Database for MySQL endast kan nås från en privat slutpunkt. Den här konfigurationen inaktiverar strikt åtkomst från offentliga adressutrymmen utanför Azures IP-intervall och nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Granska, neka, inaktiverad 2.0.0
Åtkomst till offentligt nätverk ska inaktiveras för PostgreSQL-servrar Inaktivera den offentliga nätverksåtkomstegenskapen för att förbättra säkerheten och se till att Azure Database for PostgreSQL endast kan nås från en privat slutpunkt. Den här konfigurationen inaktiverar åtkomst från alla offentliga adressutrymmen utanför Azures IP-intervall och nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Granska, neka, inaktiverad 2.0.1
Lagringskonton bör begränsa nätverksåtkomsten Nätverksåtkomst till lagringskonton bör begränsas. Konfigurera nätverksregler så att endast program från tillåtna nätverk kan komma åt lagringskontot. För att tillåta anslutningar från specifika Internet- eller lokala klienter kan åtkomst beviljas till trafik från specifika virtuella Azure-nätverk eller till offentliga IP-adressintervall för Internet Granska, neka, inaktiverad 1.1.1
Lagringskonton bör begränsa nätverksåtkomsten med hjälp av regler för virtuella nätverk Skydda dina lagringskonton mot potentiella hot med hjälp av regler för virtuella nätverk som en önskad metod i stället för IP-baserad filtrering. Om du inaktiverar IP-baserad filtrering hindras offentliga IP-adresser från att komma åt dina lagringskonton. Granska, neka, inaktiverad 1.0.1
Lagringskonton bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt lagringskonto minskas risken för dataläckage. Läs mer om privata länkar på - https://aka.ms/azureprivatelinkoverview AuditIfNotExists, inaktiverad 2.0.0
Undernät ska associeras med en nätverkssäkerhetsgrupp Skydda ditt undernät mot potentiella hot genom att begränsa åtkomsten till det med en nätverkssäkerhetsgrupp (NSG). NSG:er innehåller en lista över ACL-regler (Access Control List) som tillåter eller nekar nätverkstrafik till ditt undernät. AuditIfNotExists, inaktiverad 3.0.0
Mallar för VM Image Builder ska använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina vm Image Builder-byggresurser minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet. Granska, inaktiverad, Neka 1.1.0

Fysisk/logisk uppdelning av informationsflöden

ID: FedRAMP Moderate AC-4 (21) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera informationsflödet CMA_0079 – Kontrollera informationsflödet Manuell, inaktiverad 1.1.0
Upprätta konfigurationsstandarder för brandvägg och router CMA_0272 – Upprätta konfigurationsstandarder för brandvägg och router Manuell, inaktiverad 1.1.0
Upprätta nätverkssegmentering för kortinnehavarens datamiljö CMA_0273 – Upprätta nätverkssegmentering för kortinnehavarens datamiljö Manuell, inaktiverad 1.1.0
Identifiera och hantera informationsutbyten i underordnade led CMA_0298 – Identifiera och hantera informationsutbyten i nedströms Manuell, inaktiverad 1.1.0

Ansvarsfördelning

ID: FedRAMP Moderate AC-5 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Definiera åtkomstauktoriseringar för att stödja uppdelning av uppgifter CMA_0116 – Definiera åtkomstauktoriseringar för att stödja uppdelning av uppgifter Manuell, inaktiverad 1.1.0
Dokumentavgränsning av uppgifter CMA_0204 – Dokumentavgränsning av uppgifter Manuell, inaktiverad 1.1.0
Enskilda personers separata uppgifter CMA_0492 – Enskilda personers separata uppgifter Manuell, inaktiverad 1.1.0
Det bör finnas fler än en ägare tilldelad till din prenumeration Vi rekommenderar att du anger fler än en prenumerationsägare för att administratören ska få åtkomst till redundans. AuditIfNotExists, inaktiverad 3.0.0

Lägsta behörighet

ID: FedRAMP Moderate AC-6 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Högst 3 ägare bör utses för din prenumeration Vi rekommenderar att du anger upp till 3 prenumerationsägare för att minska risken för intrång av en komprometterad ägare. AuditIfNotExists, inaktiverad 3.0.0
Granska användningen av anpassade RBAC-roller Granska inbyggda roller som "Ägare, Bidragare, Läsare" i stället för anpassade RBAC-roller, som är felbenägna. Användning av anpassade roller behandlas som ett undantag och kräver en rigorös granskning och hotmodellering Granskning, inaktiverad 1.0.1
Utforma en åtkomstkontrollmodell CMA_0129 – Utforma en åtkomstkontrollmodell Manuell, inaktiverad 1.1.0
Använda åtkomst med minst behörighet CMA_0212 – Använda åtkomst med minst behörighet Manuell, inaktiverad 1.1.0

Auktorisera åtkomst till säkerhetsfunktioner

ID: FedRAMP Moderate AC-6 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Auktorisera åtkomst till säkerhetsfunktioner och information CMA_0022 – Auktorisera åtkomst till säkerhetsfunktioner och information Manuell, inaktiverad 1.1.0
Auktorisera och hantera åtkomst CMA_0023 – Auktorisera och hantera åtkomst Manuell, inaktiverad 1.1.0
Framtvinga obligatoriska och diskretionära principer för åtkomstkontroll CMA_0246 – Framtvinga obligatoriska och diskretionära principer för åtkomstkontroll Manuell, inaktiverad 1.1.0

Privilegierade konton

ID: FedRAMP Moderate AC-6 (5) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Begränsa åtkomsten till privilegierade konton CMA_0446 – Begränsa åtkomsten till privilegierade konton Manuell, inaktiverad 1.1.0

Granskning av användning av privilegierade funktioner

ID: FedRAMP Moderate AC-6 (9) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska privilegierade funktioner CMA_0019 – Granska privilegierade funktioner Manuell, inaktiverad 1.1.0
Utföra en fullständig textanalys av loggade privilegierade kommandon CMA_0056 – Utföra en fullständig textanalys av loggade privilegierade kommandon Manuell, inaktiverad 1.1.0
Övervaka privilegierad rolltilldelning CMA_0378 – Övervaka privilegierad rolltilldelning Manuell, inaktiverad 1.1.0
Begränsa åtkomsten till privilegierade konton CMA_0446 – Begränsa åtkomsten till privilegierade konton Manuell, inaktiverad 1.1.0
Återkalla privilegierade roller efter behov CMA_0483 – Återkalla privilegierade roller efter behov Manuell, inaktiverad 1.1.0
Använda privilegierad identitetshantering CMA_0533 – Använda privilegierad identitetshantering Manuell, inaktiverad 1.1.0

Misslyckade inloggningsförsök

ID: FedRAMP Moderate AC-7 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Framtvinga en gräns för misslyckade inloggningsförsök i följd CMA_C1044 – Framtvinga en gräns för misslyckade inloggningsförsök i följd Manuell, inaktiverad 1.1.0

Samtidig sessionskontroll

ID: FedRAMP Moderate AC-10 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Definiera och framtvinga gränsen för samtidiga sessioner CMA_C1050 – Definiera och framtvinga gränsen för samtidiga sessioner Manuell, inaktiverad 1.1.0

Avslutning av session

ID: FedRAMP Moderate AC-12 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Avsluta användarsession automatiskt CMA_C1054 – Avsluta användarsessionen automatiskt Manuell, inaktiverad 1.1.0

Tillåtna åtgärder utan identifiering eller autentisering

ID: FedRAMP Moderate AC-14 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Identifiera åtgärder som tillåts utan autentisering CMA_0295 – Identifiera åtgärder som tillåts utan autentisering Manuell, inaktiverad 1.1.0

Fjärråtkomst

ID: FedRAMP Moderate AC-17 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
[Inaktuell]: Azure Cognitive tjänsten Search bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Cognitive Search minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Granskning, inaktiverad 1.0.1-inaktuell
[Inaktuell]: Cognitive Services bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Cognitive Services minskar du risken för dataläckage. Läs mer om privata länkar på: https://go.microsoft.com/fwlink/?linkid=2129800. Granskning, inaktiverad 3.0.1-inaktuell
Lägg till systemtilldelad hanterad identitet för att aktivera gästkonfigurationstilldelningar på virtuella datorer utan identiteter Den här principen lägger till en systemtilldelad hanterad identitet till virtuella datorer som finns i Azure och som stöds av gästkonfiguration men som inte har några hanterade identiteter. En systemtilldelad hanterad identitet är en förutsättning för alla gästkonfigurationstilldelningar och måste läggas till på datorer innan du använder några principdefinitioner för gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. modify 4.1.0
Lägg till systemtilldelad hanterad identitet för att aktivera gästkonfigurationstilldelningar på virtuella datorer med en användartilldelad identitet Den här principen lägger till en systemtilldelad hanterad identitet till virtuella datorer i Azure som stöds av gästkonfiguration och som har minst en användartilldelad identitet men som inte har någon systemtilldelad hanterad identitet. En systemtilldelad hanterad identitet är en förutsättning för alla gästkonfigurationstilldelningar och måste läggas till på datorer innan du använder några principdefinitioner för gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. modify 4.1.0
Appkonfiguration bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina appkonfigurationsinstanser i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/appconfig/private-endpoint. AuditIfNotExists, inaktiverad 1.0.2
App Service-appar bör ha fjärrfelsökning inaktiverat Fjärrfelsökning kräver att inkommande portar öppnas i en App Service-app. Fjärrfelsökning ska stängas av. AuditIfNotExists, inaktiverad 2.0.0
Granska Linux-datorer som tillåter fjärranslutningar från konton utan lösenord Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om Linux-datorer som tillåter fjärranslutningar från konton utan lösenord AuditIfNotExists, inaktiverad 3.1.0
Auktorisera fjärråtkomst CMA_0024 – Auktorisera fjärråtkomst Manuell, inaktiverad 1.1.0
Azure API för FHIR bör använda privat länk Azure API för FHIR bör ha minst en godkänd privat slutpunktsanslutning. Klienter i ett virtuellt nätverk kan på ett säkert sätt komma åt resurser som har privata slutpunktsanslutningar via privata länkar. Mer information finns i: https://aka.ms/fhir-privatelink. Granskning, inaktiverad 1.0.0
Azure Cache for Redis bör använda privat länk Med privata slutpunkter kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Genom att mappa privata slutpunkter till dina Azure Cache for Redis-instanser minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link. AuditIfNotExists, inaktiverad 1.0.0
Azure Cognitive tjänsten Search bör använda en SKU som stöder privat länk Med SKU:er som stöds i Azure Cognitive Search kan du med Azure Private Link ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din tjänsten Search minskas risken för dataläckage. Läs mer på: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Granska, neka, inaktiverad 1.0.0
Azure Data Factory bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Data Factory minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/data-factory/data-factory-private-link. AuditIfNotExists, inaktiverad 1.0.0
Azure Event Grid-domäner bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din Event Grid-domän i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/privateendpoints. Granskning, inaktiverad 1.0.2
Azure Event Grid-ämnen bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt Event Grid-ämne i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/privateendpoints. Granskning, inaktiverad 1.0.2
Azure File Sync bör använda privat länk När du skapar en privat slutpunkt för den angivna Storage Sync Service-resursen kan du adressera din Storage Sync Service-resurs inifrån det privata IP-adressutrymmet i organisationens nätverk i stället för via den internettillgängliga offentliga slutpunkten. Att skapa en privat slutpunkt av sig själv inaktiverar inte den offentliga slutpunkten. AuditIfNotExists, inaktiverad 1.0.0
Azure Key Vaults bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till nyckelvalvet kan du minska risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/akvprivatelink. [parameters('audit_effect')] 1.2.1
Azure Machine Learning-arbetsytor bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Machine Learning-arbetsytor minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link. Granskning, inaktiverad 1.0.0
Azure Service Bus-namnområden bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Service Bus-namnområden minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service. AuditIfNotExists, inaktiverad 1.0.0
Azure SignalR Service bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din Azure SignalR Service-resurs i stället för hela tjänsten minskar du risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/asrs/privatelink. Granskning, inaktiverad 1.0.0
Azure Spring Cloud bör använda nätverksinmatning Azure Spring Cloud-instanser bör använda inmatning av virtuella nätverk i följande syften: 1. Isolera Azure Spring Cloud från Internet. 2. Aktivera Azure Spring Cloud för att interagera med system i antingen lokala datacenter eller Azure-tjänsten i andra virtuella nätverk. 3. Ge kunderna möjlighet att styra inkommande och utgående nätverkskommunikation för Azure Spring Cloud. Granska, inaktiverad, Neka 1.2.0
Azure Synapse-arbetsytor bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Synapse-arbetsytan minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links. Granskning, inaktiverad 1.0.1
Azure Web PubSub Service bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Web PubSub Service kan du minska risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/awps/privatelink. Granskning, inaktiverad 1.0.0
Containerregister bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina containerregister i stället för hela tjänsten skyddas du också mot dataläckagerisker. Läs mer på: https://aka.ms/acr/private-link. Granskning, inaktiverad 1.0.1
CosmosDB-konton bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt CosmosDB-konto minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints. Granskning, inaktiverad 1.0.0
Distribuera Linux-gästkonfigurationstillägget för att aktivera gästkonfigurationstilldelningar på virtuella Linux-datorer Den här principen distribuerar Linux-gästkonfigurationstillägget till virtuella Linux-datorer i Azure som stöds av gästkonfiguration. Linux-gästkonfigurationstillägget är en förutsättning för alla Linux-gästkonfigurationstilldelningar och måste distribueras till datorer innan du använder någon principdefinition för Linux-gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. deployIfNotExists 3.1.0
Distribuera Windows-gästkonfigurationstillägget för att aktivera gästkonfigurationstilldelningar på virtuella Windows-datorer Den här principen distribuerar Windows-gästkonfigurationstillägget till virtuella Windows-datorer i Azure som stöds av gästkonfiguration. Windows-gästkonfigurationstillägget är en förutsättning för alla Windows-gästkonfigurationstilldelningar och måste distribueras till datorer innan du använder någon principdefinition för Windows-gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. deployIfNotExists 1.2.0
Diskåtkomstresurser bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till diskAccesses minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/disksprivatelinksdoc. AuditIfNotExists, inaktiverad 1.0.0
Dokumentera mobilitetsträning CMA_0191 – Utbildning i dokumentmobilitet Manuell, inaktiverad 1.1.0
Dokumentera riktlinjer för fjärråtkomst CMA_0196 – Dokumentera riktlinjer för fjärråtkomst Manuell, inaktiverad 1.1.0
Event Hub-namnområden bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Event Hub-namnområden minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/event-hubs/private-link-service. AuditIfNotExists, inaktiverad 1.0.0
Funktionsappar bör ha fjärrfelsökning inaktiverat Fjärrfelsökning kräver att inkommande portar öppnas i funktionsappar. Fjärrfelsökning ska stängas av. AuditIfNotExists, inaktiverad 2.0.0
Implementera kontroller för att skydda alternativa arbetsplatser CMA_0315 – Implementera kontroller för att skydda alternativa arbetsplatser Manuell, inaktiverad 1.1.0
IoT Hub-enhetsetableringstjänstinstanser bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till IoT Hub-enhetsetableringstjänsten minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/iotdpsvnet. Granskning, inaktiverad 1.0.0
Privata slutpunktsanslutningar i Azure SQL Database ska vara aktiverade Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure SQL Database. Granskning, inaktiverad 1.1.0
Privat slutpunkt ska vara aktiverad för MariaDB-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for MariaDB. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Privat slutpunkt ska vara aktiverad för MySQL-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for MySQL. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Privat slutpunkt ska vara aktiverad för PostgreSQL-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for PostgreSQL. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Tillhandahålla sekretessutbildning CMA_0415 – Tillhandahålla sekretessutbildning Manuell, inaktiverad 1.1.0
Lagringskonton bör begränsa nätverksåtkomsten Nätverksåtkomst till lagringskonton bör begränsas. Konfigurera nätverksregler så att endast program från tillåtna nätverk kan komma åt lagringskontot. För att tillåta anslutningar från specifika Internet- eller lokala klienter kan åtkomst beviljas till trafik från specifika virtuella Azure-nätverk eller till offentliga IP-adressintervall för Internet Granska, neka, inaktiverad 1.1.1
Lagringskonton bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt lagringskonto minskas risken för dataläckage. Läs mer om privata länkar på - https://aka.ms/azureprivatelinkoverview AuditIfNotExists, inaktiverad 2.0.0
Mallar för VM Image Builder ska använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina vm Image Builder-byggresurser minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet. Granska, inaktiverad, Neka 1.1.0

Automatiserad övervakning/kontroll

ID: FedRAMP Moderate AC-17 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
[Inaktuell]: Azure Cognitive tjänsten Search bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Cognitive Search minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Granskning, inaktiverad 1.0.1-inaktuell
[Inaktuell]: Cognitive Services bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Cognitive Services minskar du risken för dataläckage. Läs mer om privata länkar på: https://go.microsoft.com/fwlink/?linkid=2129800. Granskning, inaktiverad 3.0.1-inaktuell
Lägg till systemtilldelad hanterad identitet för att aktivera gästkonfigurationstilldelningar på virtuella datorer utan identiteter Den här principen lägger till en systemtilldelad hanterad identitet till virtuella datorer som finns i Azure och som stöds av gästkonfiguration men som inte har några hanterade identiteter. En systemtilldelad hanterad identitet är en förutsättning för alla gästkonfigurationstilldelningar och måste läggas till på datorer innan du använder några principdefinitioner för gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. modify 4.1.0
Lägg till systemtilldelad hanterad identitet för att aktivera gästkonfigurationstilldelningar på virtuella datorer med en användartilldelad identitet Den här principen lägger till en systemtilldelad hanterad identitet till virtuella datorer i Azure som stöds av gästkonfiguration och som har minst en användartilldelad identitet men som inte har någon systemtilldelad hanterad identitet. En systemtilldelad hanterad identitet är en förutsättning för alla gästkonfigurationstilldelningar och måste läggas till på datorer innan du använder några principdefinitioner för gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. modify 4.1.0
Appkonfiguration bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina appkonfigurationsinstanser i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/appconfig/private-endpoint. AuditIfNotExists, inaktiverad 1.0.2
App Service-appar bör ha fjärrfelsökning inaktiverat Fjärrfelsökning kräver att inkommande portar öppnas i en App Service-app. Fjärrfelsökning ska stängas av. AuditIfNotExists, inaktiverad 2.0.0
Granska Linux-datorer som tillåter fjärranslutningar från konton utan lösenord Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om Linux-datorer som tillåter fjärranslutningar från konton utan lösenord AuditIfNotExists, inaktiverad 3.1.0
Azure API för FHIR bör använda privat länk Azure API för FHIR bör ha minst en godkänd privat slutpunktsanslutning. Klienter i ett virtuellt nätverk kan på ett säkert sätt komma åt resurser som har privata slutpunktsanslutningar via privata länkar. Mer information finns i: https://aka.ms/fhir-privatelink. Granskning, inaktiverad 1.0.0
Azure Cache for Redis bör använda privat länk Med privata slutpunkter kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Genom att mappa privata slutpunkter till dina Azure Cache for Redis-instanser minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link. AuditIfNotExists, inaktiverad 1.0.0
Azure Cognitive tjänsten Search bör använda en SKU som stöder privat länk Med SKU:er som stöds i Azure Cognitive Search kan du med Azure Private Link ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din tjänsten Search minskas risken för dataläckage. Läs mer på: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Granska, neka, inaktiverad 1.0.0
Azure Data Factory bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Data Factory minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/data-factory/data-factory-private-link. AuditIfNotExists, inaktiverad 1.0.0
Azure Event Grid-domäner bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din Event Grid-domän i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/privateendpoints. Granskning, inaktiverad 1.0.2
Azure Event Grid-ämnen bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt Event Grid-ämne i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/privateendpoints. Granskning, inaktiverad 1.0.2
Azure File Sync bör använda privat länk När du skapar en privat slutpunkt för den angivna Storage Sync Service-resursen kan du adressera din Storage Sync Service-resurs inifrån det privata IP-adressutrymmet i organisationens nätverk i stället för via den internettillgängliga offentliga slutpunkten. Att skapa en privat slutpunkt av sig själv inaktiverar inte den offentliga slutpunkten. AuditIfNotExists, inaktiverad 1.0.0
Azure Key Vaults bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till nyckelvalvet kan du minska risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/akvprivatelink. [parameters('audit_effect')] 1.2.1
Azure Machine Learning-arbetsytor bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Machine Learning-arbetsytor minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link. Granskning, inaktiverad 1.0.0
Azure Service Bus-namnområden bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Service Bus-namnområden minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service. AuditIfNotExists, inaktiverad 1.0.0
Azure SignalR Service bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din Azure SignalR Service-resurs i stället för hela tjänsten minskar du risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/asrs/privatelink. Granskning, inaktiverad 1.0.0
Azure Spring Cloud bör använda nätverksinmatning Azure Spring Cloud-instanser bör använda inmatning av virtuella nätverk i följande syften: 1. Isolera Azure Spring Cloud från Internet. 2. Aktivera Azure Spring Cloud för att interagera med system i antingen lokala datacenter eller Azure-tjänsten i andra virtuella nätverk. 3. Ge kunderna möjlighet att styra inkommande och utgående nätverkskommunikation för Azure Spring Cloud. Granska, inaktiverad, Neka 1.2.0
Azure Synapse-arbetsytor bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Synapse-arbetsytan minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links. Granskning, inaktiverad 1.0.1
Azure Web PubSub Service bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Web PubSub Service kan du minska risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/awps/privatelink. Granskning, inaktiverad 1.0.0
Containerregister bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina containerregister i stället för hela tjänsten skyddas du också mot dataläckagerisker. Läs mer på: https://aka.ms/acr/private-link. Granskning, inaktiverad 1.0.1
CosmosDB-konton bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt CosmosDB-konto minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints. Granskning, inaktiverad 1.0.0
Distribuera Linux-gästkonfigurationstillägget för att aktivera gästkonfigurationstilldelningar på virtuella Linux-datorer Den här principen distribuerar Linux-gästkonfigurationstillägget till virtuella Linux-datorer i Azure som stöds av gästkonfiguration. Linux-gästkonfigurationstillägget är en förutsättning för alla Linux-gästkonfigurationstilldelningar och måste distribueras till datorer innan du använder någon principdefinition för Linux-gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. deployIfNotExists 3.1.0
Distribuera Windows-gästkonfigurationstillägget för att aktivera gästkonfigurationstilldelningar på virtuella Windows-datorer Den här principen distribuerar Windows-gästkonfigurationstillägget till virtuella Windows-datorer i Azure som stöds av gästkonfiguration. Windows-gästkonfigurationstillägget är en förutsättning för alla Windows-gästkonfigurationstilldelningar och måste distribueras till datorer innan du använder någon principdefinition för Windows-gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. deployIfNotExists 1.2.0
Diskåtkomstresurser bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till diskAccesses minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/disksprivatelinksdoc. AuditIfNotExists, inaktiverad 1.0.0
Event Hub-namnområden bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Event Hub-namnområden minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/event-hubs/private-link-service. AuditIfNotExists, inaktiverad 1.0.0
Funktionsappar bör ha fjärrfelsökning inaktiverat Fjärrfelsökning kräver att inkommande portar öppnas i funktionsappar. Fjärrfelsökning ska stängas av. AuditIfNotExists, inaktiverad 2.0.0
IoT Hub-enhetsetableringstjänstinstanser bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till IoT Hub-enhetsetableringstjänsten minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/iotdpsvnet. Granskning, inaktiverad 1.0.0
Övervaka åtkomst i hela organisationen CMA_0376 – Övervaka åtkomst i hela organisationen Manuell, inaktiverad 1.1.0
Privata slutpunktsanslutningar i Azure SQL Database ska vara aktiverade Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure SQL Database. Granskning, inaktiverad 1.1.0
Privat slutpunkt ska vara aktiverad för MariaDB-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for MariaDB. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Privat slutpunkt ska vara aktiverad för MySQL-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for MySQL. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Privat slutpunkt ska vara aktiverad för PostgreSQL-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for PostgreSQL. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Lagringskonton bör begränsa nätverksåtkomsten Nätverksåtkomst till lagringskonton bör begränsas. Konfigurera nätverksregler så att endast program från tillåtna nätverk kan komma åt lagringskontot. För att tillåta anslutningar från specifika Internet- eller lokala klienter kan åtkomst beviljas till trafik från specifika virtuella Azure-nätverk eller till offentliga IP-adressintervall för Internet Granska, neka, inaktiverad 1.1.1
Lagringskonton bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt lagringskonto minskas risken för dataläckage. Läs mer om privata länkar på - https://aka.ms/azureprivatelinkoverview AuditIfNotExists, inaktiverad 2.0.0
Mallar för VM Image Builder ska använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina vm Image Builder-byggresurser minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet. Granska, inaktiverad, Neka 1.1.0

Skydd av konfidentialitet/integritet med kryptering

ID: FedRAMP Moderate AC-17 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Meddela användare om systeminloggning eller åtkomst CMA_0382 – Meddela användare om systeminloggning eller åtkomst Manuell, inaktiverad 1.1.0
Skydda data under överföring med hjälp av kryptering CMA_0403 – Skydda data under överföring med kryptering Manuell, inaktiverad 1.1.0

Hanterade åtkomstkontrollpunkter

ID: FedRAMP Moderate AC-17 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dirigera trafik via hanterade nätverksåtkomstpunkter CMA_0484 – Dirigera trafik via hanterade nätverksåtkomstpunkter Manuell, inaktiverad 1.1.0

Privilegierade kommandon/åtkomst

ID: FedRAMP Moderate AC-17 (4) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Auktorisera fjärråtkomst CMA_0024 – Auktorisera fjärråtkomst Manuell, inaktiverad 1.1.0
Auktorisera fjärråtkomst till privilegierade kommandon CMA_C1064 – Auktorisera fjärråtkomst till privilegierade kommandon Manuell, inaktiverad 1.1.0
Dokumentera riktlinjer för fjärråtkomst CMA_0196 – Dokumentera riktlinjer för fjärråtkomst Manuell, inaktiverad 1.1.0
Implementera kontroller för att skydda alternativa arbetsplatser CMA_0315 – Implementera kontroller för att skydda alternativa arbetsplatser Manuell, inaktiverad 1.1.0
Tillhandahålla sekretessutbildning CMA_0415 – Tillhandahålla sekretessutbildning Manuell, inaktiverad 1.1.0

Koppla från/inaktivera åtkomst

ID: FedRAMP Moderate AC-17 (9) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Ge möjlighet att koppla från eller inaktivera fjärråtkomst CMA_C1066 – Ge möjlighet att koppla från eller inaktivera fjärråtkomst Manuell, inaktiverad 1.1.0

Trådlös åtkomst

ID: FedRAMP Moderate AC-18 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dokumentera och implementera riktlinjer för trådlös åtkomst CMA_0190 – Dokumentera och implementera riktlinjer för trådlös åtkomst Manuell, inaktiverad 1.1.0
Skydda trådlös åtkomst CMA_0411 – Skydda trådlös åtkomst Manuell, inaktiverad 1.1.0

Autentisering och kryptering

ID: FedRAMP Moderate AC-18 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dokumentera och implementera riktlinjer för trådlös åtkomst CMA_0190 – Dokumentera och implementera riktlinjer för trådlös åtkomst Manuell, inaktiverad 1.1.0
Identifiera och autentisera nätverksenheter CMA_0296 – Identifiera och autentisera nätverksenheter Manuell, inaktiverad 1.1.0
Skydda trådlös åtkomst CMA_0411 – Skydda trådlös åtkomst Manuell, inaktiverad 1.1.0

Åtkomstkontroll för mobila enheter

ID: FedRAMP Moderate AC-19 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Definiera krav för mobila enheter CMA_0122 – Definiera krav för mobila enheter Manuell, inaktiverad 1.1.0

Fullständig enhet/containerbaserad kryptering

ID: FedRAMP Moderate AC-19 (5) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Definiera krav för mobila enheter CMA_0122 – Definiera krav för mobila enheter Manuell, inaktiverad 1.1.0
Skydda data under överföring med hjälp av kryptering CMA_0403 – Skydda data under överföring med kryptering Manuell, inaktiverad 1.1.0

Användning av externa informationssystem

ID: FedRAMP Moderate AC-20 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Upprätta villkor för åtkomst till resurser CMA_C1076 – Upprätta villkor för åtkomst till resurser Manuell, inaktiverad 1.1.0
Upprätta villkor för bearbetning av resurser CMA_C1077 – Upprätta villkor för bearbetning av resurser Manuell, inaktiverad 1.1.0

Gränser för auktoriserad användning

ID: FedRAMP Moderate AC-20 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Verifiera säkerhetskontroller för externa informationssystem CMA_0541 – Verifiera säkerhetskontroller för externa informationssystem Manuell, inaktiverad 1.1.0

Bärbara lagringsenheter

ID: FedRAMP Moderate AC-20 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Blockera ej betrodda och osignerade processer som körs från USB CMA_0050 – Blockera obetrodda och osignerade processer som körs från USB Manuell, inaktiverad 1.1.0
Kontrollera användningen av bärbara lagringsenheter CMA_0083 – Styra användningen av bärbara lagringsenheter Manuell, inaktiverad 1.1.0
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0

Informationsdelning

ID: FedRAMP Moderate AC-21 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Automatisera beslut om informationsdelning CMA_0028 – Automatisera beslut om informationsdelning Manuell, inaktiverad 1.1.0
Underlätta informationsdelning CMA_0284 – Underlätta informationsdelning Manuell, inaktiverad 1.1.0

Offentligt tillgängligt innehåll

ID: FedRAMP Moderate AC-22 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utse behörig personal att publicera offentligt tillgänglig information CMA_C1083 – Utse behörig personal att publicera offentligt tillgänglig information Manuell, inaktiverad 1.1.0
Granska innehåll innan du publicerar offentligt tillgänglig information CMA_C1085 – Granska innehåll innan du publicerar offentligt tillgänglig information Manuell, inaktiverad 1.1.0
Granska offentligt tillgängligt innehåll för icke-offentlig information CMA_C1086 – Granska offentligt tillgängligt innehåll för icke-offentlig information Manuell, inaktiverad 1.1.0
Utbilda personal om utlämnande av icke-offentlig information CMA_C1084 – Utbilda personal om utlämnande av icke-offentlig information Manuell, inaktiverad 1.1.0

Medvetenhet och utbildning

Policy och procedurer för säkerhetsmedvetenhet och utbildning

ID: FedRAMP Måttligt AT-1-ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dokumentera utbildningsaktiviteter för säkerhet och sekretess CMA_0198 – Dokumentera utbildningsaktiviteter för säkerhet och sekretess Manuell, inaktiverad 1.1.0
Uppdatera säkerhetsprinciper för information CMA_0518 – Uppdatera säkerhetsprinciper för information Manuell, inaktiverad 1.1.0

Utbildning för säkerhetsmedvetenhet

ID: FedRAMP Måttligt AT-2-ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Tillhandahålla regelbunden utbildning för säkerhetsmedvetenhet CMA_C1091 – Tillhandahålla regelbunden utbildning om säkerhetsmedvetenhet Manuell, inaktiverad 1.1.0
Tillhandahålla säkerhetsutbildning för nya användare CMA_0419 – Tillhandahålla säkerhetsutbildning för nya användare Manuell, inaktiverad 1.1.0
Tillhandahålla uppdaterad utbildning för säkerhetsmedvetenhet CMA_C1090 – Tillhandahålla uppdaterad utbildning för säkerhetsmedvetenhet Manuell, inaktiverad 1.1.0

Insiderhot

ID: FedRAMP Måttlig AT-2 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Tillhandahålla utbildning i säkerhetsmedvetenhet för insiderhot CMA_0417 – Tillhandahålla utbildning i säkerhetsmedvetenhet för insiderhot Manuell, inaktiverad 1.1.0

Rollbaserad säkerhetsutbildning

ID: FedRAMP Måttligt AT-3-ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Tillhandahålla regelbunden rollbaserad säkerhetsutbildning CMA_C1095 – Tillhandahålla regelbunden rollbaserad säkerhetsutbildning Manuell, inaktiverad 1.1.0
Tillhandahålla rollbaserad säkerhetsutbildning CMA_C1094 – Tillhandahålla rollbaserad säkerhetsutbildning Manuell, inaktiverad 1.1.0
Tillhandahålla säkerhetsutbildning innan du ger åtkomst CMA_0418 – Tillhandahålla säkerhetsutbildning innan du ger åtkomst Manuell, inaktiverad 1.1.0

Säkerhetsträningsposter

ID: FedRAMP Måttligt AT-4-ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dokumentera utbildningsaktiviteter för säkerhet och sekretess CMA_0198 – Dokumentera utbildningsaktiviteter för säkerhet och sekretess Manuell, inaktiverad 1.1.0
Övervaka slutförande av säkerhets- och sekretessutbildning CMA_0379 – Övervaka slutförande av säkerhets- och sekretessutbildning Manuell, inaktiverad 1.1.0
Behålla träningsposter CMA_0456 – Behålla träningsposter Manuell, inaktiverad 1.1.0

Granskning och ansvarsskyldighet

Principer och procedurer för granskning och ansvarsskyldighet

ID: FedRAMP Moderate AU-1 Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utveckla principer och procedurer för granskning och ansvarsskyldighet CMA_0154 – Utveckla principer och procedurer för granskning och ansvarsskyldighet Manuell, inaktiverad 1.1.0
Utveckla principer och procedurer för informationssäkerhet CMA_0158 – Utveckla principer och procedurer för informationssäkerhet Manuell, inaktiverad 1.1.0
Styra principer och procedurer CMA_0292 – Styra principer och procedurer Manuell, inaktiverad 1.1.0
Uppdatera säkerhetsprinciper för information CMA_0518 – Uppdatera säkerhetsprinciper för information Manuell, inaktiverad 1.1.0

Granskningshändelser

ID: FedRAMP Moderate AU-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Fastställa granskningsbara händelser CMA_0137 – Fastställa granskningsbara händelser Manuell, inaktiverad 1.1.0

Recensioner och uppdateringar

ID: FedRAMP Moderate AU-2 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera händelserna som definierats i AU-02 CMA_C1106 – Granska och uppdatera händelserna som definierats i AU-02 Manuell, inaktiverad 1.1.0

Innehåll i granskningsposter

ID: FedRAMP Moderate AU-3 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Fastställa granskningsbara händelser CMA_0137 – Fastställa granskningsbara händelser Manuell, inaktiverad 1.1.0

Ytterligare granskningsinformation

ID: FedRAMP Moderate AU-3 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Konfigurera Azure-granskningsfunktioner CMA_C1108 – Konfigurera Azure Audit-funktioner Manuell, inaktiverad 1.1.1

Granska lagringskapacitet

ID: FedRAMP Moderate AU-4 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Styra och övervaka granskningsbearbetningsaktiviteter CMA_0289 – Styra och övervaka granskningsbearbetningsaktiviteter Manuell, inaktiverad 1.1.0

Svar på granskningsbearbetningsfel

ID: FedRAMP Moderate AU-5 Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Styra och övervaka granskningsbearbetningsaktiviteter CMA_0289 – Styra och övervaka granskningsbearbetningsaktiviteter Manuell, inaktiverad 1.1.0

Granskning, analys och rapportering

ID: FedRAMP Moderate AU-6 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
[Förhandsversion]: Azure Arc-aktiverade Kubernetes-kluster bör ha Microsoft Defender för molnet-tillägget installerat Microsoft Defender för molnet-tillägget för Azure Arc ger skydd mot hot för dina Arc-aktiverade Kubernetes-kluster. Tillägget samlar in data från alla noder i klustret och skickar dem till Azure Defender för Kubernetes-serverdelen i molnet för ytterligare analys. Läs mer i https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc. AuditIfNotExists, inaktiverad 6.0.0-preview
[Förhandsversion]: Datainsamlingsagenten för nätverkstrafik bör installeras på virtuella Linux-datorer Security Center använder Microsoft Dependency-agenten för att samla in nätverkstrafikdata från dina virtuella Azure-datorer för att aktivera avancerade nätverksskyddsfunktioner som trafikvisualisering på nätverkskartan, rekommendationer för nätverkshärdning och specifika nätverkshot. AuditIfNotExists, inaktiverad 1.0.2-förhandsversion
[Förhandsversion]: Datainsamlingsagenten för nätverkstrafik bör installeras på virtuella Windows-datorer Security Center använder Microsoft Dependency-agenten för att samla in nätverkstrafikdata från dina virtuella Azure-datorer för att aktivera avancerade nätverksskyddsfunktioner som trafikvisualisering på nätverkskartan, rekommendationer för nätverkshärdning och specifika nätverkshot. AuditIfNotExists, inaktiverad 1.0.2-förhandsversion
Azure Defender för App Service ska vara aktiverat Azure Defender för App Service utnyttjar molnets skala och den synlighet som Azure har som molnleverantör för att övervaka vanliga webbappattacker. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Azure SQL Database-servrar ska vara aktiverade Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för Key Vault ska vara aktiverat Azure Defender för Key Vault ger ytterligare ett lager av skydd och säkerhetsinformation genom att identifiera ovanliga och potentiellt skadliga försök att komma åt eller utnyttja key vault-konton. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Resource Manager ska vara aktiverat Azure Defender för Resource Manager övervakar automatiskt resurshanteringsåtgärderna i din organisation. Azure Defender identifierar hot och varnar dig om misstänkt aktivitet. Läs mer om funktionerna i Azure Defender för Resource Manager på https://aka.ms/defender-for-resource-manager . Om du aktiverar den här Azure Defender-planen resulterar det i avgifter. Läs mer om prisinformationen per region på Security Centers prissida: https://aka.ms/pricing-security-center . AuditIfNotExists, inaktiverad 1.0.0
Azure Defender för servrar ska vara aktiverat Azure Defender för servrar ger skydd mot hot i realtid för serverarbetsbelastningar och genererar härdningsrekommendationer samt aviseringar om misstänkta aktiviteter. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för SQL-servrar på datorer ska vara aktiverat Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för SQL ska vara aktiverat för oskyddade Azure SQL-servrar Granska SQL-servrar utan Advanced Data Security AuditIfNotExists, inaktiverad 2.0.1
Azure Defender för SQL ska vara aktiverat för oskyddade SQL Managed Instances Granska varje SQL Managed Instance utan avancerad datasäkerhet. AuditIfNotExists, inaktiverad 1.0.2
Korrelera granskningsposter CMA_0087 – Korrelera granskningsposter Manuell, inaktiverad 1.1.0
Upprätta krav för granskningsgranskning och rapportering CMA_0277 – Upprätta krav för granskning och rapportering Manuell, inaktiverad 1.1.0
Integrera granskning, analys och rapportering CMA_0339 – Integrera granskning, analys och rapportering Manuell, inaktiverad 1.1.0
Integrera molnappsäkerhet med en siem CMA_0340 – Integrera molnappsäkerhet med en siem Manuell, inaktiverad 1.1.0
Microsoft Defender för containrar ska vara aktiverat Microsoft Defender för containrar ger härdning, sårbarhetsbedömning och körningsskydd för dina Azure-, hybrid- och kubernetes-miljöer i flera moln. AuditIfNotExists, inaktiverad 1.0.0
Microsoft Defender för Storage ska vara aktiverat Microsoft Defender för Storage identifierar potentiella hot mot dina lagringskonton. Det hjälper till att förhindra de tre stora effekterna på dina data och din arbetsbelastning: skadliga filuppladdningar, exfiltrering av känsliga data och skadade data. Den nya Defender for Storage-planen innehåller skanning av skadlig kod och hotidentifiering av känsliga data. Den här planen ger också en förutsägbar prisstruktur (per lagringskonto) för kontroll över täckning och kostnader. AuditIfNotExists, inaktiverad 1.0.0
Network Watcher ska vara aktiverat Network Watcher är en regional tjänst som gör att du kan övervaka och diagnostisera villkor på nätverksscenarionivå i, till och från Azure. Med övervakning på scenarionivå kan du diagnostisera problem i en vy på nätverksnivå från slutpunkt till slutpunkt. Det krävs att en resursgrupp för nätverksbevakare skapas i varje region där ett virtuellt nätverk finns. En avisering aktiveras om en resursgrupp för nätverksbevakare inte är tillgänglig i en viss region. AuditIfNotExists, inaktiverad 3.0.0
Granska kontoetableringsloggar CMA_0460 – Granska kontoetableringsloggar Manuell, inaktiverad 1.1.0
Granska administratörstilldelningar varje vecka CMA_0461 – Granska administratörstilldelningar varje vecka Manuell, inaktiverad 1.1.0
Granska granskningsdata CMA_0466 – Granska granskningsdata Manuell, inaktiverad 1.1.0
Översikt över molnidentitetsrapport CMA_0468 – Granska översikt över molnidentitetsrapport Manuell, inaktiverad 1.1.0
Granska kontrollerade mappåtkomsthändelser CMA_0471 – Granska kontrollerade mappåtkomsthändelser Manuell, inaktiverad 1.1.0
Granska fil- och mappaktivitet CMA_0473 – Granska fil- och mappaktivitet Manuell, inaktiverad 1.1.0
Granska ändringar i rollgrupper varje vecka CMA_0476 – Granska ändringar i rollgruppen varje vecka Manuell, inaktiverad 1.1.0

Processintegration

ID: FedRAMP Moderate AU-6 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Korrelera granskningsposter CMA_0087 – Korrelera granskningsposter Manuell, inaktiverad 1.1.0
Upprätta krav för granskningsgranskning och rapportering CMA_0277 – Upprätta krav för granskning och rapportering Manuell, inaktiverad 1.1.0
Integrera granskning, analys och rapportering CMA_0339 – Integrera granskning, analys och rapportering Manuell, inaktiverad 1.1.0
Integrera molnappsäkerhet med en siem CMA_0340 – Integrera molnappsäkerhet med en siem Manuell, inaktiverad 1.1.0
Granska kontoetableringsloggar CMA_0460 – Granska kontoetableringsloggar Manuell, inaktiverad 1.1.0
Granska administratörstilldelningar varje vecka CMA_0461 – Granska administratörstilldelningar varje vecka Manuell, inaktiverad 1.1.0
Granska granskningsdata CMA_0466 – Granska granskningsdata Manuell, inaktiverad 1.1.0
Översikt över molnidentitetsrapport CMA_0468 – Granska översikt över molnidentitetsrapport Manuell, inaktiverad 1.1.0
Granska kontrollerade mappåtkomsthändelser CMA_0471 – Granska kontrollerade mappåtkomsthändelser Manuell, inaktiverad 1.1.0
Granska fil- och mappaktivitet CMA_0473 – Granska fil- och mappaktivitet Manuell, inaktiverad 1.1.0
Granska ändringar i rollgrupper varje vecka CMA_0476 – Granska ändringar i rollgruppen varje vecka Manuell, inaktiverad 1.1.0

Korrelera granskningsdatabaser

ID: FedRAMP Moderate AU-6 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Korrelera granskningsposter CMA_0087 – Korrelera granskningsposter Manuell, inaktiverad 1.1.0
Integrera molnappsäkerhet med en siem CMA_0340 – Integrera molnappsäkerhet med en siem Manuell, inaktiverad 1.1.0

Granskningsminskning och rapportgenerering

ID: FedRAMP Moderate AU-7 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera att granskningsposter inte ändras CMA_C1125 – Se till att granskningsposter inte ändras Manuell, inaktiverad 1.1.0
Tillhandahålla gransknings-, analys- och rapporteringsfunktioner CMA_C1124 – Tillhandahålla gransknings-, analys- och rapporteringsfunktioner Manuell, inaktiverad 1.1.0

Automatisk bearbetning

ID: FedRAMP Moderate AU-7 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Ge möjlighet att bearbeta kundkontrollerade granskningsposter CMA_C1126 – Ge möjlighet att bearbeta kundkontrollerade granskningsposter Manuell, inaktiverad 1.1.0

Tidsstämplar

ID: FedRAMP Moderate AU-8 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Använda systemklockor för granskningsposter CMA_0535 – Använda systemklockor för granskningsposter Manuell, inaktiverad 1.1.0

Synkronisering med auktoritativ tidskälla

ID: FedRAMP Moderate AU-8 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Använda systemklockor för granskningsposter CMA_0535 – Använda systemklockor för granskningsposter Manuell, inaktiverad 1.1.0

Skydd av granskningsinformation

ID: FedRAMP Moderate AU-9 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Aktivera dubbel eller gemensam auktorisering CMA_0226 – Aktivera dubbelt eller gemensamt auktorisering Manuell, inaktiverad 1.1.0
Skydda granskningsinformation CMA_0401 – Skydda granskningsinformation Manuell, inaktiverad 1.1.0

Granska säkerhetskopiering på separata fysiska system/komponenter

ID: FedRAMP Moderate AU-9 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Upprätta principer och procedurer för säkerhetskopiering CMA_0268 – Upprätta principer och procedurer för säkerhetskopiering Manuell, inaktiverad 1.1.0

Åtkomst efter delmängd av privilegierade användare

ID: FedRAMP Moderate AU-9 (4) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Skydda granskningsinformation CMA_0401 – Skydda granskningsinformation Manuell, inaktiverad 1.1.0

Kvarhållning av granskningsposter

ID: FedRAMP Moderate AU-11 Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Följ de definierade kvarhållningsperioderna CMA_0004 – Följ de kvarhållningsperioder som definierats Manuell, inaktiverad 1.1.0
Behålla säkerhetsprinciper och procedurer CMA_0454 – Behålla säkerhetsprinciper och procedurer Manuell, inaktiverad 1.1.0
Behålla avslutade användardata CMA_0455 – Behåll avslutade användardata Manuell, inaktiverad 1.1.0
SQL-servrar med granskning till lagringskontomål ska konfigureras med kvarhållning på 90 dagar eller senare I incidentundersökningssyfte rekommenderar vi att du anger datakvarhållningen för SQL Server-granskning till lagringskontots mål till minst 90 dagar. Bekräfta att du uppfyller de nödvändiga kvarhållningsreglerna för de regioner där du arbetar. Detta krävs ibland för efterlevnad av regelstandarder. AuditIfNotExists, inaktiverad 3.0.0

Granskningsgenerering

ID: FedRAMP Moderate AU-12 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
[Förhandsversion]: Azure Arc-aktiverade Kubernetes-kluster bör ha Microsoft Defender för molnet-tillägget installerat Microsoft Defender för molnet-tillägget för Azure Arc ger skydd mot hot för dina Arc-aktiverade Kubernetes-kluster. Tillägget samlar in data från alla noder i klustret och skickar dem till Azure Defender för Kubernetes-serverdelen i molnet för ytterligare analys. Läs mer i https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc. AuditIfNotExists, inaktiverad 6.0.0-preview
[Förhandsversion]: Log Analytics-tillägget bör installeras på dina Linux Azure Arc-datorer Den här principen granskar Linux Azure Arc-datorer om Log Analytics-tillägget inte är installerat. AuditIfNotExists, inaktiverad 1.0.1-förhandsversion
[Förhandsversion]: Log Analytics-tillägget bör installeras på dina Windows Azure Arc-datorer Den här principen granskar Windows Azure Arc-datorer om Log Analytics-tillägget inte är installerat. AuditIfNotExists, inaktiverad 1.0.1-förhandsversion
[Förhandsversion]: Datainsamlingsagenten för nätverkstrafik bör installeras på virtuella Linux-datorer Security Center använder Microsoft Dependency-agenten för att samla in nätverkstrafikdata från dina virtuella Azure-datorer för att aktivera avancerade nätverksskyddsfunktioner som trafikvisualisering på nätverkskartan, rekommendationer för nätverkshärdning och specifika nätverkshot. AuditIfNotExists, inaktiverad 1.0.2-förhandsversion
[Förhandsversion]: Datainsamlingsagenten för nätverkstrafik bör installeras på virtuella Windows-datorer Security Center använder Microsoft Dependency-agenten för att samla in nätverkstrafikdata från dina virtuella Azure-datorer för att aktivera avancerade nätverksskyddsfunktioner som trafikvisualisering på nätverkskartan, rekommendationer för nätverkshärdning och specifika nätverkshot. AuditIfNotExists, inaktiverad 1.0.2-förhandsversion
App Service-appar ska ha resursloggar aktiverade Granska aktivering av resursloggar i appen. På så sätt kan du återskapa aktivitetsspår i undersökningssyfte om en säkerhetsincident inträffar eller om nätverket har komprometterats. AuditIfNotExists, inaktiverad 2.0.1
Granska privilegierade funktioner CMA_0019 – Granska privilegierade funktioner Manuell, inaktiverad 1.1.0
Granska användarkontostatus CMA_0020 – Granska användarkontostatus Manuell, inaktiverad 1.1.0
Granskning på SQL-servern ska vara aktiverad Granskning på SQL Server bör aktiveras för att spåra databasaktiviteter över alla databaser på servern och spara dem i en granskningslogg. AuditIfNotExists, inaktiverad 2.0.0
Azure Defender för App Service ska vara aktiverat Azure Defender för App Service utnyttjar molnets skala och den synlighet som Azure har som molnleverantör för att övervaka vanliga webbappattacker. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Azure SQL Database-servrar ska vara aktiverade Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för Key Vault ska vara aktiverat Azure Defender för Key Vault ger ytterligare ett lager av skydd och säkerhetsinformation genom att identifiera ovanliga och potentiellt skadliga försök att komma åt eller utnyttja key vault-konton. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Resource Manager ska vara aktiverat Azure Defender för Resource Manager övervakar automatiskt resurshanteringsåtgärderna i din organisation. Azure Defender identifierar hot och varnar dig om misstänkt aktivitet. Läs mer om funktionerna i Azure Defender för Resource Manager på https://aka.ms/defender-for-resource-manager . Om du aktiverar den här Azure Defender-planen resulterar det i avgifter. Läs mer om prisinformationen per region på Security Centers prissida: https://aka.ms/pricing-security-center . AuditIfNotExists, inaktiverad 1.0.0
Azure Defender för servrar ska vara aktiverat Azure Defender för servrar ger skydd mot hot i realtid för serverarbetsbelastningar och genererar härdningsrekommendationer samt aviseringar om misstänkta aktiviteter. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för SQL-servrar på datorer ska vara aktiverat Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för SQL ska vara aktiverat för oskyddade Azure SQL-servrar Granska SQL-servrar utan Advanced Data Security AuditIfNotExists, inaktiverad 2.0.1
Azure Defender för SQL ska vara aktiverat för oskyddade SQL Managed Instances Granska varje SQL Managed Instance utan avancerad datasäkerhet. AuditIfNotExists, inaktiverad 1.0.2
Fastställa granskningsbara händelser CMA_0137 – Fastställa granskningsbara händelser Manuell, inaktiverad 1.1.0
Gästkonfigurationstillägget ska installeras på dina datorer Installera gästkonfigurationstillägget för att säkerställa säkra konfigurationer av gästinställningar på datorn. Gästinställningar som tilläggsövervakarna inkluderar konfigurationen av operativsystemet, programkonfiguration eller närvaro samt miljöinställningar. När de har installerats är gästprinciper tillgängliga, till exempel "Windows Exploit guard ska vara aktiverat". Läs mer på https://aka.ms/gcpol. AuditIfNotExists, inaktiverad 1.0.3
Microsoft Defender för containrar ska vara aktiverat Microsoft Defender för containrar ger härdning, sårbarhetsbedömning och körningsskydd för dina Azure-, hybrid- och kubernetes-miljöer i flera moln. AuditIfNotExists, inaktiverad 1.0.0
Microsoft Defender för Storage ska vara aktiverat Microsoft Defender för Storage identifierar potentiella hot mot dina lagringskonton. Det hjälper till att förhindra de tre stora effekterna på dina data och din arbetsbelastning: skadliga filuppladdningar, exfiltrering av känsliga data och skadade data. Den nya Defender for Storage-planen innehåller skanning av skadlig kod och hotidentifiering av känsliga data. Den här planen ger också en förutsägbar prisstruktur (per lagringskonto) för kontroll över täckning och kostnader. AuditIfNotExists, inaktiverad 1.0.0
Network Watcher ska vara aktiverat Network Watcher är en regional tjänst som gör att du kan övervaka och diagnostisera villkor på nätverksscenarionivå i, till och från Azure. Med övervakning på scenarionivå kan du diagnostisera problem i en vy på nätverksnivå från slutpunkt till slutpunkt. Det krävs att en resursgrupp för nätverksbevakare skapas i varje region där ett virtuellt nätverk finns. En avisering aktiveras om en resursgrupp för nätverksbevakare inte är tillgänglig i en viss region. AuditIfNotExists, inaktiverad 3.0.0
Resursloggar i Azure Data Lake Store ska vara aktiverade Granska aktivering av resursloggar. På så sätt kan du återskapa aktivitetsspår som ska användas i undersökningssyfte. när en säkerhetsincident inträffar eller när nätverket komprometteras AuditIfNotExists, inaktiverad 5.0.0
Resursloggar i Azure Stream Analytics ska vara aktiverade Granska aktivering av resursloggar. På så sätt kan du återskapa aktivitetsspår som ska användas i undersökningssyfte. när en säkerhetsincident inträffar eller när nätverket komprometteras AuditIfNotExists, inaktiverad 5.0.0
Resursloggar i Batch-konton ska vara aktiverade Granska aktivering av resursloggar. På så sätt kan du återskapa aktivitetsspår som ska användas i undersökningssyfte. när en säkerhetsincident inträffar eller när nätverket komprometteras AuditIfNotExists, inaktiverad 5.0.0
Resursloggar i Data Lake Analytics ska vara aktiverade Granska aktivering av resursloggar. På så sätt kan du återskapa aktivitetsspår som ska användas i undersökningssyfte. när en säkerhetsincident inträffar eller när nätverket komprometteras AuditIfNotExists, inaktiverad 5.0.0
Resursloggar i Händelsehubb ska vara aktiverade Granska aktivering av resursloggar. På så sätt kan du återskapa aktivitetsspår som ska användas i undersökningssyfte. när en säkerhetsincident inträffar eller när nätverket komprometteras AuditIfNotExists, inaktiverad 5.0.0
Resursloggar i IoT Hub ska vara aktiverade Granska aktivering av resursloggar. På så sätt kan du återskapa aktivitetsspår som ska användas i undersökningssyfte. när en säkerhetsincident inträffar eller när nätverket komprometteras AuditIfNotExists, inaktiverad 3.1.0
Resursloggar i Key Vault ska vara aktiverade Granska aktivering av resursloggar. På så sätt kan du återskapa aktivitetsspår som ska användas i undersökningssyfte när en säkerhetsincident inträffar eller när nätverket komprometteras AuditIfNotExists, inaktiverad 5.0.0
Resursloggar i Logic Apps ska vara aktiverade Granska aktivering av resursloggar. På så sätt kan du återskapa aktivitetsspår som ska användas i undersökningssyfte. när en säkerhetsincident inträffar eller när nätverket komprometteras AuditIfNotExists, inaktiverad 5.1.0
Resursloggar i tjänsten Search ska vara aktiverade Granska aktivering av resursloggar. På så sätt kan du återskapa aktivitetsspår som ska användas i undersökningssyfte. när en säkerhetsincident inträffar eller när nätverket komprometteras AuditIfNotExists, inaktiverad 5.0.0
Resursloggar i Service Bus ska vara aktiverade Granska aktivering av resursloggar. På så sätt kan du återskapa aktivitetsspår som ska användas i undersökningssyfte. när en säkerhetsincident inträffar eller när nätverket komprometteras AuditIfNotExists, inaktiverad 5.0.0
Granska granskningsdata CMA_0466 – Granska granskningsdata Manuell, inaktiverad 1.1.0
Gästkonfigurationstillägget för virtuella datorer ska distribueras med systemtilldelad hanterad identitet Gästkonfigurationstillägget kräver en systemtilldelad hanterad identitet. Virtuella Azure-datorer i omfånget för den här principen kommer att vara inkompatibla när gästkonfigurationstillägget är installerat men inte har någon systemtilldelad hanterad identitet. Läs mer på https://aka.ms/gcpol AuditIfNotExists, inaktiverad 1.0.1

Säkerhetsbedömning och auktorisering

Principer och procedurer för säkerhetsbedömning och auktorisering

ID: FedRAMP Moderate CA-1 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska principer och procedurer för säkerhetsbedömning och auktorisering CMA_C1143 – Granska principer och procedurer för säkerhetsbedömning och auktorisering Manuell, inaktiverad 1.1.0

Säkerhetsutvärderingar

ID: FedRAMP Moderate CA-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utvärdera säkerhetskontroller CMA_C1145 – Utvärdera säkerhetskontroller Manuell, inaktiverad 1.1.0
Leverera resultat från säkerhetsutvärdering CMA_C1147 – Leverera resultat för säkerhetsutvärdering Manuell, inaktiverad 1.1.0
Utveckla en plan för säkerhetsbedömning CMA_C1144 – Utveckla en plan för säkerhetsbedömning Manuell, inaktiverad 1.1.0
Skapa en rapport för säkerhetsutvärdering CMA_C1146 – Skapa en rapport om säkerhetsbedömning Manuell, inaktiverad 1.1.0

Oberoende bedömare

ID: FedRAMP Moderate CA-2 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Använda oberoende bedömare för att utföra säkerhetskontrollutvärderingar CMA_C1148 – Anlita oberoende bedömare för att utföra säkerhetskontrollutvärderingar Manuell, inaktiverad 1.1.0

Specialiserade utvärderingar

ID: FedRAMP Moderate CA-2 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Välj ytterligare testning för utvärderingar av säkerhetskontroll CMA_C1149 – Välj ytterligare testning för säkerhetskontrollutvärderingar Manuell, inaktiverad 1.1.0

Externa organisationer

ID: FedRAMP Moderate CA-2 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Acceptera utvärderingsresultat CMA_C1150 – Acceptera utvärderingsresultat Manuell, inaktiverad 1.1.0

Systemsammankopplingar

ID: FedRAMP Moderate CA-3 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kräv säkerhetsavtal för sammankoppling CMA_C1151 – Kräv säkerhetsavtal för sammankoppling Manuell, inaktiverad 1.1.0
Uppdatera säkerhetsavtal för sammankoppling CMA_0519 – Uppdatera säkerhetsavtal för sammankoppling Manuell, inaktiverad 1.1.0

Oklassificerade icke-nationella säkerhetssystemanslutningar

ID: FedRAMP Moderate CA-3 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera systemgränsskydd CMA_0328 – Implementera systemgränsskydd Manuell, inaktiverad 1.1.0

Begränsningar för externa systemanslutningar

ID: FedRAMP Moderate CA-3 (5) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Använda begränsningar för externa systemanslutningar CMA_C1155 – Använda begränsningar för externa systemanslutningar Manuell, inaktiverad 1.1.0

Åtgärdsplan och milstolpar

ID: FedRAMP Moderate CA-5 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utveckla POA&M CMA_C1156 – Utveckla POA&M Manuell, inaktiverad 1.1.0
Uppdatera POA&M-objekt CMA_C1157 – Uppdatera POA&M-objekt Manuell, inaktiverad 1.1.0

Säkerhetsauktorisering

ID: FedRAMP Moderate CA-6 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Tilldela en auktoriserande tjänsteman (AO) CMA_C1158 – Tilldela en auktoriserande tjänsteman (AO) Manuell, inaktiverad 1.1.0
Se till att resurserna är auktoriserade CMA_C1159 – Se till att resurserna är auktoriserade Manuell, inaktiverad 1.1.0
Uppdatera säkerhetsauktoriseringen CMA_C1160 – Uppdatera säkerhetsauktoriseringen Manuell, inaktiverad 1.1.0

Kontinuerlig övervakning

ID: FedRAMP Moderate CA-7 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Konfigurera vitlista för identifiering CMA_0068 – Konfigurera vitlista för identifiering Manuell, inaktiverad 1.1.0
Aktivera sensorer för slutpunktssäkerhetslösning CMA_0514 – Aktivera sensorer för slutpunktssäkerhetslösning Manuell, inaktiverad 1.1.0
Genomgå oberoende säkerhetsgranskning CMA_0515 – Genomgå oberoende säkerhetsgranskning Manuell, inaktiverad 1.1.0

Oberoende utvärdering

ID: FedRAMP Moderate CA-7 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Anställa oberoende bedömare för kontinuerlig övervakning CMA_C1168 – Anställa oberoende bedömare för kontinuerlig övervakning Manuell, inaktiverad 1.1.0

Oberoende intrångsagent eller team

ID: FedRAMP Moderate CA-8 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Anställa oberoende team för intrångstestning CMA_C1171 – Anställa oberoende team för penetrationstestning Manuell, inaktiverad 1.1.0

Interna systemanslutningar

ID: FedRAMP Moderate CA-9 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera sekretess och säkerhetsefterlevnad innan du upprättar interna anslutningar CMA_0053 – Kontrollera sekretess och säkerhetsefterlevnad innan du upprättar interna anslutningar Manuell, inaktiverad 1.1.0

Konfigurationshantering

Princip och procedurer för konfigurationshantering

ID: FedRAMP Moderate CM-1 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera principer och procedurer för konfigurationshantering CMA_C1175 – Granska och uppdatera principer och procedurer för konfigurationshantering Manuell, inaktiverad 1.1.0

Baslinjekonfiguration

ID: FedRAMP Moderate CM-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Konfigurera åtgärder för inkompatibla enheter CMA_0062 – Konfigurera åtgärder för inkompatibla enheter Manuell, inaktiverad 1.1.0
Utveckla och underhålla baslinjekonfigurationer CMA_0153 – Utveckla och underhålla baslinjekonfigurationer Manuell, inaktiverad 1.1.0
Framtvinga inställningar för säkerhetskonfiguration CMA_0249 – Framtvinga inställningar för säkerhetskonfiguration Manuell, inaktiverad 1.1.0
Upprätta en kontrolltavla för konfiguration CMA_0254 – Upprätta en kontrolltavla för konfiguration Manuell, inaktiverad 1.1.0
Upprätta och dokumentera en konfigurationshanteringsplan CMA_0264 – Upprätta och dokumentera en konfigurationshanteringsplan Manuell, inaktiverad 1.1.0
Implementera ett automatiserat konfigurationshanteringsverktyg CMA_0311 – Implementera ett automatiserat konfigurationshanteringsverktyg Manuell, inaktiverad 1.1.0

Automation-stöd för noggrannhet/valuta

ID: FedRAMP Måttlig CM-2 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Konfigurera åtgärder för inkompatibla enheter CMA_0062 – Konfigurera åtgärder för inkompatibla enheter Manuell, inaktiverad 1.1.0
Utveckla och underhålla baslinjekonfigurationer CMA_0153 – Utveckla och underhålla baslinjekonfigurationer Manuell, inaktiverad 1.1.0
Framtvinga inställningar för säkerhetskonfiguration CMA_0249 – Framtvinga inställningar för säkerhetskonfiguration Manuell, inaktiverad 1.1.0
Upprätta en kontrolltavla för konfiguration CMA_0254 – Upprätta en kontrolltavla för konfiguration Manuell, inaktiverad 1.1.0
Upprätta och dokumentera en konfigurationshanteringsplan CMA_0264 – Upprätta och dokumentera en konfigurationshanteringsplan Manuell, inaktiverad 1.1.0
Implementera ett automatiserat konfigurationshanteringsverktyg CMA_0311 – Implementera ett automatiserat konfigurationshanteringsverktyg Manuell, inaktiverad 1.1.0

Kvarhållning av tidigare konfigurationer

ID: FedRAMP Måttlig CM-2 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Behåll tidigare versioner av baslinjekonfigurationer CMA_C1181 – Behåll tidigare versioner av baslinjekonfigurationer Manuell, inaktiverad 1.1.0

Konfigurera system, komponenter eller enheter för högriskområden

ID: FedRAMP Måttlig CM-2 (7) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Se till att säkerhetsskyddet inte behövs när individerna återvänder CMA_C1183 – Se till att säkerhetsskyddet inte behövs när individerna återvänder Manuell, inaktiverad 1.1.0
Tillåt inte att informationssystem medföljer enskilda personer CMA_C1182 – Tillåt inte att informationssystem medföljer enskilda personer Manuell, inaktiverad 1.1.0

Ändringskontroll för konfiguration

ID: FedRAMP Moderate CM-3 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utföra en analys av säkerhetspåverkan CMA_0057 – Utföra en analys av säkerhetspåverkan Manuell, inaktiverad 1.1.0
Utveckla och underhålla en hantering av säkerhetsrisker standard CMA_0152 – Utveckla och underhålla en hantering av säkerhetsrisker standard Manuell, inaktiverad 1.1.0
Upprätta en riskhanteringsstrategi CMA_0258 – Upprätta en riskhanteringsstrategi Manuell, inaktiverad 1.1.0
Upprätta och dokumentera ändringskontrollprocesser CMA_0265 – Upprätta och dokumentera ändringskontrollprocesser Manuell, inaktiverad 1.1.0
Upprätta konfigurationshanteringskrav för utvecklare CMA_0270 – Upprätta konfigurationshanteringskrav för utvecklare Manuell, inaktiverad 1.1.0
Utföra en sekretesskonsekvensbedömning CMA_0387 – Utföra en sekretesskonsekvensbedömning Manuell, inaktiverad 1.1.0
Utföra en riskbedömning CMA_0388 – Utföra en riskbedömning Manuell, inaktiverad 1.1.0
Utföra granskning för konfigurationsändringskontroll CMA_0390 – Utföra granskning för konfigurationsändringskontroll Manuell, inaktiverad 1.1.0

Analys av säkerhetspåverkan

ID: FedRAMP Moderate CM-4 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utföra en analys av säkerhetspåverkan CMA_0057 – Utföra en analys av säkerhetspåverkan Manuell, inaktiverad 1.1.0
Utveckla och underhålla en hantering av säkerhetsrisker standard CMA_0152 – Utveckla och underhålla en hantering av säkerhetsrisker standard Manuell, inaktiverad 1.1.0
Upprätta en riskhanteringsstrategi CMA_0258 – Upprätta en riskhanteringsstrategi Manuell, inaktiverad 1.1.0
Upprätta och dokumentera ändringskontrollprocesser CMA_0265 – Upprätta och dokumentera ändringskontrollprocesser Manuell, inaktiverad 1.1.0
Upprätta konfigurationshanteringskrav för utvecklare CMA_0270 – Upprätta konfigurationshanteringskrav för utvecklare Manuell, inaktiverad 1.1.0
Utföra en sekretesskonsekvensbedömning CMA_0387 – Utföra en sekretesskonsekvensbedömning Manuell, inaktiverad 1.1.0
Utföra en riskbedömning CMA_0388 – Utföra en riskbedömning Manuell, inaktiverad 1.1.0
Utföra granskning för konfigurationsändringskontroll CMA_0390 – Utföra granskning för konfigurationsändringskontroll Manuell, inaktiverad 1.1.0

Åtkomstbegränsningar för ändring

ID: FedRAMP Moderate CM-5 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Upprätta och dokumentera ändringskontrollprocesser CMA_0265 – Upprätta och dokumentera ändringskontrollprocesser Manuell, inaktiverad 1.1.0

Automatisk åtkomsttillämpning/granskning

ID: FedRAMP Måttlig CM-5 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Framtvinga och granska åtkomstbegränsningar CMA_C1203 – Framtvinga och granska åtkomstbegränsningar Manuell, inaktiverad 1.1.0

Signerade komponenter

ID: FedRAMP Måttlig CM-5 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Begränsa obehörig installation av programvara och inbyggd programvara CMA_C1205 – Begränsa obehörig installation av programvara och inbyggd programvara Manuell, inaktiverad 1.1.0

Begränsa produktion/driftbehörigheter

ID: FedRAMP Måttlig CM-5 (5) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Begränsa behörigheter för att göra ändringar i produktionsmiljön CMA_C1206 – Begränsa behörigheter för att göra ändringar i produktionsmiljön Manuell, inaktiverad 1.1.0
Granska och omvärdera privilegier CMA_C1207 – Granska och omvärdera privilegier Manuell, inaktiverad 1.1.0

Konfigurationsinställningar

ID: FedRAMP Moderate CM-6 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
[Inaktuell]: Funktionsappar bör ha "Klientcertifikat (inkommande klientcertifikat)" aktiverat Med klientcertifikat kan appen begära ett certifikat för inkommande begäranden. Endast klienter med giltiga certifikat kan nå appen. Den här principen har ersatts av en ny princip med samma namn eftersom Http 2.0 inte stöder klientcertifikat. Granskning, inaktiverad 3.1.0-inaktuell
App Service-appar ska ha klientcertifikat (inkommande klientcertifikat) aktiverade Med klientcertifikat kan appen begära ett certifikat för inkommande begäranden. Endast klienter som har ett giltigt certifikat kan nå appen. Den här principen gäller för appar med Http-versionen inställd på 1.1. AuditIfNotExists, inaktiverad 1.0.0
App Service-appar bör ha fjärrfelsökning inaktiverat Fjärrfelsökning kräver att inkommande portar öppnas i en App Service-app. Fjärrfelsökning ska stängas av. AuditIfNotExists, inaktiverad 2.0.0
App Service-appar bör inte ha CORS konfigurerat för att tillåta varje resurs att komma åt dina appar Resursdelning för korsande ursprung (CORS) bör inte tillåta att alla domäner får åtkomst till din app. Tillåt endast att nödvändiga domäner interagerar med din app. AuditIfNotExists, inaktiverad 2.0.0
Azure Policy-tillägg för Kubernetes-tjänsten (AKS) bör installeras och aktiveras i dina kluster Azure Policy-tillägget för Kubernetes-tjänsten (AKS) utökar Gatekeeper v3, en webhook för antagningskontrollanter för Open Policy Agent (OPA), för att tillämpa skalbara tillämpningsåtgärder och skydd på dina kluster på ett centraliserat och konsekvent sätt. Granskning, inaktiverad 1.0.2
Framtvinga inställningar för säkerhetskonfiguration CMA_0249 – Framtvinga inställningar för säkerhetskonfiguration Manuell, inaktiverad 1.1.0
Funktionsappar bör ha fjärrfelsökning inaktiverat Fjärrfelsökning kräver att inkommande portar öppnas i funktionsappar. Fjärrfelsökning ska stängas av. AuditIfNotExists, inaktiverad 2.0.0
Funktionsappar bör inte ha CORS konfigurerat för att tillåta att alla resurser får åtkomst till dina appar Cors (Cross-Origin Resource Sharing) bör inte tillåta att alla domäner får åtkomst till funktionsappen. Tillåt endast att nödvändiga domäner interagerar med funktionsappen. AuditIfNotExists, inaktiverad 2.0.0
Kubernetes-klustercontainrar CPU- och minnesresursgränser får inte överskrida de angivna gränserna Framtvinga cpu- och minnesresursgränser för containrar för att förhindra resursöverbelastningsattacker i ett Kubernetes-kluster. Den här principen är allmänt tillgänglig för Kubernetes Service (AKS) och förhandsversion för Azure Arc-aktiverade Kubernetes. Mer information finns i https://aka.ms/kubepolicydoc. audit, Audit, deny, Deny, disabled, Disabled 9.3.0
Kubernetes-klustercontainrar bör inte dela värdprocess-ID eller värd-IPC-namnområde Blockera poddcontainrar från att dela värdprocess-ID-namnområdet och värd-IPC-namnområdet i ett Kubernetes-kluster. Den här rekommendationen är en del av CIS 5.2.2 och CIS 5.2.3 som är avsedda att förbättra säkerheten i dina Kubernetes-miljöer. Den här principen är allmänt tillgänglig för Kubernetes Service (AKS) och förhandsversion för Azure Arc-aktiverade Kubernetes. Mer information finns i https://aka.ms/kubepolicydoc. audit, Audit, deny, Deny, disabled, Disabled 5.2.0
Kubernetes-klustercontainrar bör endast använda tillåtna AppArmor-profiler Containrar bör endast använda tillåtna AppArmor-profiler i ett Kubernetes-kluster. Den här principen är allmänt tillgänglig för Kubernetes Service (AKS) och förhandsversion för Azure Arc-aktiverade Kubernetes. Mer information finns i https://aka.ms/kubepolicydoc. audit, Audit, deny, Deny, disabled, Disabled 6.2.0
Kubernetes-klustercontainrar bör endast använda tillåtna funktioner Begränsa funktionerna för att minska attackytan för containrar i ett Kubernetes-kluster. Den här rekommendationen är en del av CIS 5.2.8 och CIS 5.2.9 som är avsedda att förbättra säkerheten i dina Kubernetes-miljöer. Den här principen är allmänt tillgänglig för Kubernetes Service (AKS) och förhandsversion för Azure Arc-aktiverade Kubernetes. Mer information finns i https://aka.ms/kubepolicydoc. audit, Audit, deny, Deny, disabled, Disabled 6.2.0
Kubernetes-klustercontainrar bör endast använda tillåtna avbildningar Använd bilder från betrodda register för att minska Kubernetes-klustrets exponeringsrisk för okända sårbarheter, säkerhetsproblem och skadliga bilder. Mer information finns i https://aka.ms/kubepolicydoc. audit, Audit, deny, Deny, disabled, Disabled 9.3.0
Kubernetes-klustercontainrar ska köras med ett skrivskyddat rotfilsystem Kör containrar med ett skrivskyddat rotfilsystem för att skydda mot ändringar vid körning med skadliga binärfiler som läggs till i PATH i ett Kubernetes-kluster. Den här principen är allmänt tillgänglig för Kubernetes Service (AKS) och förhandsversion för Azure Arc-aktiverade Kubernetes. Mer information finns i https://aka.ms/kubepolicydoc. audit, Audit, deny, Deny, disabled, Disabled 6.3.0
Kubernetes-klusterpoddens hostPath-volymer bör endast använda tillåtna värdsökvägar Begränsa poddens HostPath-volymmonteringar till tillåtna värdsökvägar i ett Kubernetes-kluster. Den här principen är allmänt tillgänglig för Kubernetes Service (AKS) och Azure Arc-aktiverade Kubernetes. Mer information finns i https://aka.ms/kubepolicydoc. audit, Audit, deny, Deny, disabled, Disabled 6.2.0
Kubernetes-klusterpoddar och -containrar ska endast köras med godkända användar- och grupp-ID:er Kontrollera användar-, primärgrupp-, tilläggs- och filsystemgrupp-ID:t som poddar och containrar kan använda för att köras i ett Kubernetes-kluster. Den här principen är allmänt tillgänglig för Kubernetes Service (AKS) och förhandsversion för Azure Arc-aktiverade Kubernetes. Mer information finns i https://aka.ms/kubepolicydoc. audit, Audit, deny, Deny, disabled, Disabled 6.2.0
Kubernetes-klusterpoddar bör endast använda godkänt värdnätverk och portintervall Begränsa poddåtkomsten till värdnätverket och det tillåtna värdportintervallet i ett Kubernetes-kluster. Den här rekommendationen är en del av CIS 5.2.4 som är avsedd att förbättra säkerheten i dina Kubernetes-miljöer. Den här principen är allmänt tillgänglig för Kubernetes Service (AKS) och förhandsversion för Azure Arc-aktiverade Kubernetes. Mer information finns i https://aka.ms/kubepolicydoc. audit, Audit, deny, Deny, disabled, Disabled 6.2.0
Kubernetes-klustertjänster bör endast lyssna på tillåtna portar Begränsa tjänster till att endast lyssna på tillåtna portar för att skydda åtkomsten till Kubernetes-klustret. Den här principen är allmänt tillgänglig för Kubernetes Service (AKS) och förhandsversion för Azure Arc-aktiverade Kubernetes. Mer information finns i https://aka.ms/kubepolicydoc. audit, Audit, deny, Deny, disabled, Disabled 8.2.0
Kubernetes-kluster bör inte tillåta privilegierade containrar Tillåt inte att privilegierade containrar skapas i ett Kubernetes-kluster. Den här rekommendationen är en del av CIS 5.2.1 som är avsedd att förbättra säkerheten i dina Kubernetes-miljöer. Den här principen är allmänt tillgänglig för Kubernetes Service (AKS) och förhandsversion för Azure Arc-aktiverade Kubernetes. Mer information finns i https://aka.ms/kubepolicydoc. audit, Audit, deny, Deny, disabled, Disabled 9.2.0
Kubernetes-kluster bör inte tillåta eskalering av containerprivilegier Tillåt inte att containrar körs med behörighetseskalering till roten i ett Kubernetes-kluster. Den här rekommendationen är en del av CIS 5.2.5 som är avsedd att förbättra säkerheten i dina Kubernetes-miljöer. Den här principen är allmänt tillgänglig för Kubernetes Service (AKS) och förhandsversion för Azure Arc-aktiverade Kubernetes. Mer information finns i https://aka.ms/kubepolicydoc. audit, Audit, deny, Deny, disabled, Disabled 7.2.0
Linux-datorer bör uppfylla kraven för Säkerhetsbaslinjen för Azure-beräkning Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om datorn inte är korrekt konfigurerad för någon av rekommendationerna i Säkerhetsbaslinjen för Azure-beräkning. AuditIfNotExists, inaktiverad 2.2.0
Åtgärda fel i informationssystemet CMA_0427 – Åtgärda fel i informationssystemet Manuell, inaktiverad 1.1.0
Windows-datorer bör uppfylla kraven för Azure-beräkningssäkerhetsbaslinjen Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om datorn inte är korrekt konfigurerad för någon av rekommendationerna i Säkerhetsbaslinjen för Azure-beräkning. AuditIfNotExists, inaktiverad 2.0.0

Automatiserad central hantering/program/verifiering

ID: FedRAMP Måttlig CM-6 (1) Ägarskap: Delad

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Framtvinga inställningar för säkerhetskonfiguration CMA_0249 – Framtvinga inställningar för säkerhetskonfiguration Manuell, inaktiverad 1.1.0
Styra efterlevnaden för molntjänstleverantörer CMA_0290 – Styra efterlevnaden för molntjänstleverantörer Manuell, inaktiverad 1.1.0
Visa och konfigurera systemdiagnostikdata CMA_0544 – Visa och konfigurera systemdiagnostikdata Manuell, inaktiverad 1.1.0

Minst funktionalitet

ID: FedRAMP Moderate CM-7 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Azure Defender för servrar ska vara aktiverat Azure Defender för servrar ger skydd mot hot i realtid för serverarbetsbelastningar och genererar härdningsrekommendationer samt aviseringar om misstänkta aktiviteter. AuditIfNotExists, inaktiverad 1.0.3

Information System Component Inventory

ID: FedRAMP Moderate CM-8 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Skapa en datainventering CMA_0096 – Skapa en datainventering Manuell, inaktiverad 1.1.0
Upprätthålla register över bearbetning av personuppgifter CMA_0353 – Upprätthålla register över bearbetning av personuppgifter Manuell, inaktiverad 1.1.0

Uppdateringar under installationer/borttagningar

ID: FedRAMP Måttlig CM-8 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Skapa en datainventering CMA_0096 – Skapa en datainventering Manuell, inaktiverad 1.1.0
Upprätthålla register över bearbetning av personuppgifter CMA_0353 – Upprätthålla register över bearbetning av personuppgifter Manuell, inaktiverad 1.1.0

Automatisk identifiering av obehöriga komponenter

ID: FedRAMP Måttlig CM-8 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Aktivera identifiering av nätverksenheter CMA_0220 – Aktivera identifiering av nätverksenheter Manuell, inaktiverad 1.1.0
Ange automatiserade meddelanden för nya och populära molnprogram i din organisation CMA_0495 – Ange automatiserade meddelanden för nya och populära molnprogram i din organisation Manuell, inaktiverad 1.1.0

Konfigurationshanteringsplan

ID: FedRAMP Moderate CM-9 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Skapa skydd för konfigurationsplan CMA_C1233 – Skapa skydd för konfigurationsplan Manuell, inaktiverad 1.1.0
Utveckla och underhålla baslinjekonfigurationer CMA_0153 – Utveckla och underhålla baslinjekonfigurationer Manuell, inaktiverad 1.1.0
Utveckla identifieringsplan för konfigurationsobjekt CMA_C1231 – Utveckla en plan för identifiering av konfigurationsobjekt Manuell, inaktiverad 1.1.0
Utveckla konfigurationshanteringsplan CMA_C1232 – Utveckla konfigurationshanteringsplan Manuell, inaktiverad 1.1.0
Upprätta och dokumentera en konfigurationshanteringsplan CMA_0264 – Upprätta och dokumentera en konfigurationshanteringsplan Manuell, inaktiverad 1.1.0
Implementera ett automatiserat konfigurationshanteringsverktyg CMA_0311 – Implementera ett automatiserat konfigurationshanteringsverktyg Manuell, inaktiverad 1.1.0

Begränsningar för programvaruanvändning

ID: FedRAMP Moderate CM-10 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kräv efterlevnad av immateriella rättigheter CMA_0432 – Kräv efterlevnad av immateriella rättigheter Manuell, inaktiverad 1.1.0
Spåra användning av programvarulicenser CMA_C1235 – Spåra programvarulicensanvändning Manuell, inaktiverad 1.1.0

Programvara med öppen källkod

ID: FedRAMP Moderate CM-10 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Begränsa användningen av öppen källkod programvara CMA_C1237 – Begränsa användningen av öppen källkod programvara Manuell, inaktiverad 1.1.0

Beredskapsplanering

Policy och procedurer för beredskapsplanering

ID: FedRAMP Moderate CP-1 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera principer och procedurer för beredskapsplanering CMA_C1243 – Granska och uppdatera principer och procedurer för beredskapsplanering Manuell, inaktiverad 1.1.0

Reservplan

ID: FedRAMP Måttlig CP-2-ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kommunicera ändringar i beredskapsplanen CMA_C1249 – Kommunicera ändringar i beredskapsplanen Manuell, inaktiverad 1.1.0
Samordna beredskapsplaner med relaterade planer CMA_0086 – Samordna beredskapsplaner med relaterade planer Manuell, inaktiverad 1.1.0
Utveckla och dokumentera en plan för affärskontinuitet och haveriberedskap CMA_0146 – Utveckla och dokumentera en plan för affärskontinuitet och haveriberedskap Manuell, inaktiverad 1.1.0
Utveckla beredskapsplan CMA_C1244 – Utveckla beredskapsplan Manuell, inaktiverad 1.1.0
Utveckla principer och procedurer för beredskapsplanering CMA_0156 – Utveckla principer och procedurer för beredskapsplanering Manuell, inaktiverad 1.1.0
Distribuera principer och procedurer CMA_0185 – Distribuera principer och procedurer Manuell, inaktiverad 1.1.0
Granska beredskapsplan CMA_C1247 – Granska beredskapsplan Manuell, inaktiverad 1.1.0
Uppdatera beredskapsplan CMA_C1248 – Uppdatera beredskapsplan Manuell, inaktiverad 1.1.0

ID: FedRAMP Måttlig CP-2 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Samordna beredskapsplaner med relaterade planer CMA_0086 – Samordna beredskapsplaner med relaterade planer Manuell, inaktiverad 1.1.0

Kapacitetsplanering

ID: FedRAMP Måttlig CP-2 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Genomföra kapacitetsplanering CMA_C1252 – Genomföra kapacitetsplanering Manuell, inaktiverad 1.1.0

Återuppta viktiga uppdrag/affärsfunktioner

ID: FedRAMP Måttlig CP-2 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Planera för återupptagande av viktiga affärsfunktioner CMA_C1253 – Planera för återupptagande av viktiga affärsfunktioner Manuell, inaktiverad 1.1.0

Identifiera kritiska tillgångar

ID: FedRAMP Moderate CP-2 (8) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utföra en utvärdering av affärspåverkan och utvärdering av programkritiskhet CMA_0386 – Utföra en utvärdering av affärspåverkan och programkritiskhet Manuell, inaktiverad 1.1.0

Beredskapsträning

ID: FedRAMP Moderate CP-3 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Tillhandahålla beredskapsträning CMA_0412 – Tillhandahålla beredskapsträning Manuell, inaktiverad 1.1.0

Testning av beredskapsplan

ID: FedRAMP Moderate CP-4 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Initiera åtgärdstestning av beredskapsplan CMA_C1263 – Initiera korrigeringsåtgärder för beredskapsplanstestning Manuell, inaktiverad 1.1.0
Granska resultatet av testning av beredskapsplaner CMA_C1262 – Granska resultatet av testning av beredskapsplaner Manuell, inaktiverad 1.1.0
Testa planen för affärskontinuitet och haveriberedskap CMA_0509 – Testa planen för affärskontinuitet och haveriberedskap Manuell, inaktiverad 1.1.0

ID: FedRAMP Måttlig CP-4 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Samordna beredskapsplaner med relaterade planer CMA_0086 – Samordna beredskapsplaner med relaterade planer Manuell, inaktiverad 1.1.0

Alternativ lagringsplats

ID: FedRAMP Moderate CP-6 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Se till att alternativa skydd för lagringsplats motsvarar den primära platsen CMA_C1268 – Se till att alternativa skydd för lagringsplatsen motsvarar den primära platsen Manuell, inaktiverad 1.1.0
Upprätta en alternativ lagringsplats för att lagra och hämta säkerhetskopieringsinformation CMA_C1267 – Upprätta en alternativ lagringsplats för att lagra och hämta säkerhetskopieringsinformation Manuell, inaktiverad 1.1.0
Geo-redundant säkerhetskopiering ska vara aktiverat för Azure Database for MariaDB Med Azure Database for MariaDB kan du välja redundansalternativet för databasservern. Den kan ställas in på en geo-redundant lagring där data inte bara lagras i den region där servern finns, utan också replikeras till en länkad region för att tillhandahålla återställningsalternativ vid ett regionfel. Konfiguration av geo-redundant lagring av säkerhetskopior tillåts endast under skapandet av servern. Granskning, inaktiverad 1.0.1
Geo-redundant säkerhetskopiering ska vara aktiverat för Azure Database for MySQL Med Azure Database for MySQL kan du välja redundansalternativet för databasservern. Den kan ställas in på en geo-redundant lagring där data inte bara lagras i den region där servern finns, utan också replikeras till en länkad region för att tillhandahålla återställningsalternativ vid ett regionfel. Konfiguration av geo-redundant lagring av säkerhetskopior tillåts endast under skapandet av servern. Granskning, inaktiverad 1.0.1
Geo-redundant säkerhetskopiering bör aktiveras för Azure Database for PostgreSQL Med Azure Database for PostgreSQL kan du välja redundansalternativet för databasservern. Den kan ställas in på en geo-redundant lagring där data inte bara lagras i den region där servern finns, utan också replikeras till en länkad region för att tillhandahålla återställningsalternativ vid ett regionfel. Konfiguration av geo-redundant lagring av säkerhetskopior tillåts endast under skapandet av servern. Granskning, inaktiverad 1.0.1
Geo-redundant lagring ska vara aktiverat för lagringskonton Använda geo-redundans för att skapa program med hög tillgänglighet Granskning, inaktiverad 1.0.0
Långsiktig geo-redundant säkerhetskopiering bör aktiveras för Azure SQL Databases Den här principen granskar alla Azure SQL Database-databaser med långsiktig geo-redundant säkerhetskopiering som inte är aktiverad. AuditIfNotExists, inaktiverad 2.0.0

Separation från primär plats

ID: FedRAMP Moderate CP-6 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Skapa separata alternativa och primära lagringsplatser CMA_C1269 – Skapa separata alternativa och primära lagringsplatser Manuell, inaktiverad 1.1.0
Geo-redundant säkerhetskopiering ska vara aktiverat för Azure Database for MariaDB Med Azure Database for MariaDB kan du välja redundansalternativet för databasservern. Den kan ställas in på en geo-redundant lagring där data inte bara lagras i den region där servern finns, utan också replikeras till en länkad region för att tillhandahålla återställningsalternativ vid ett regionfel. Konfiguration av geo-redundant lagring av säkerhetskopior tillåts endast under skapandet av servern. Granskning, inaktiverad 1.0.1
Geo-redundant säkerhetskopiering ska vara aktiverat för Azure Database for MySQL Med Azure Database for MySQL kan du välja redundansalternativet för databasservern. Den kan ställas in på en geo-redundant lagring där data inte bara lagras i den region där servern finns, utan också replikeras till en länkad region för att tillhandahålla återställningsalternativ vid ett regionfel. Konfiguration av geo-redundant lagring av säkerhetskopior tillåts endast under skapandet av servern. Granskning, inaktiverad 1.0.1
Geo-redundant säkerhetskopiering bör aktiveras för Azure Database for PostgreSQL Med Azure Database for PostgreSQL kan du välja redundansalternativet för databasservern. Den kan ställas in på en geo-redundant lagring där data inte bara lagras i den region där servern finns, utan också replikeras till en länkad region för att tillhandahålla återställningsalternativ vid ett regionfel. Konfiguration av geo-redundant lagring av säkerhetskopior tillåts endast under skapandet av servern. Granskning, inaktiverad 1.0.1
Geo-redundant lagring ska vara aktiverat för lagringskonton Använda geo-redundans för att skapa program med hög tillgänglighet Granskning, inaktiverad 1.0.0
Långsiktig geo-redundant säkerhetskopiering bör aktiveras för Azure SQL Databases Den här principen granskar alla Azure SQL Database-databaser med långsiktig geo-redundant säkerhetskopiering som inte är aktiverad. AuditIfNotExists, inaktiverad 2.0.0

Tillgänglighet

ID: FedRAMP Måttlig CP-6 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Identifiera och åtgärda potentiella problem på en alternativ lagringsplats CMA_C1271 – Identifiera och åtgärda potentiella problem på en annan lagringsplats Manuell, inaktiverad 1.1.0

Alternativ bearbetningsplats

ID: FedRAMP Moderate CP-7 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska virtuella datorer utan att haveriberedskap har konfigurerats Granska virtuella datorer som inte har konfigurerat haveriberedskap. Mer information om haveriberedskap finns i https://aka.ms/asr-doc. auditIfNotExists 1.0.0
Upprätta en alternativ bearbetningsplats CMA_0262 – Upprätta en alternativ bearbetningsplats Manuell, inaktiverad 1.1.0

Separation från primär plats

ID: FedRAMP Moderate CP-7 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Upprätta en alternativ bearbetningsplats CMA_0262 – Upprätta en alternativ bearbetningsplats Manuell, inaktiverad 1.1.0

Tillgänglighet

ID: FedRAMP Måttlig CP-7 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Upprätta en alternativ bearbetningsplats CMA_0262 – Upprätta en alternativ bearbetningsplats Manuell, inaktiverad 1.1.0

Tjänstens prioritet

ID: FedRAMP Måttlig CP-7 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Upprätta en alternativ bearbetningsplats CMA_0262 – Upprätta en alternativ bearbetningsplats Manuell, inaktiverad 1.1.0
Upprätta krav för internetleverantörer CMA_0278 – Upprätta krav för internetleverantörer Manuell, inaktiverad 1.1.0

Prioritet för tjänstbestämmelser

ID: FedRAMP Moderate CP-8 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Upprätta krav för internetleverantörer CMA_0278 – Upprätta krav för internetleverantörer Manuell, inaktiverad 1.1.0

Säkerhetskopiering av informationssystem

ID: FedRAMP Moderate CP-9 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Azure Backup ska vara aktiverat för virtuella datorer Skydda dina virtuella Azure-datorer genom att aktivera Azure Backup. Azure Backup är en säker och kostnadseffektiv dataskyddslösning för Azure. AuditIfNotExists, inaktiverad 3.0.0
Utföra säkerhetskopiering av dokumentation om informationssystem CMA_C1289 – Genomföra säkerhetskopiering av dokumentation om informationssystem Manuell, inaktiverad 1.1.0
Upprätta principer och procedurer för säkerhetskopiering CMA_0268 – Upprätta principer och procedurer för säkerhetskopiering Manuell, inaktiverad 1.1.0
Geo-redundant säkerhetskopiering ska vara aktiverat för Azure Database for MariaDB Med Azure Database for MariaDB kan du välja redundansalternativet för databasservern. Den kan ställas in på en geo-redundant lagring där data inte bara lagras i den region där servern finns, utan också replikeras till en länkad region för att tillhandahålla återställningsalternativ vid ett regionfel. Konfiguration av geo-redundant lagring av säkerhetskopior tillåts endast under skapandet av servern. Granskning, inaktiverad 1.0.1
Geo-redundant säkerhetskopiering ska vara aktiverat för Azure Database for MySQL Med Azure Database for MySQL kan du välja redundansalternativet för databasservern. Den kan ställas in på en geo-redundant lagring där data inte bara lagras i den region där servern finns, utan också replikeras till en länkad region för att tillhandahålla återställningsalternativ vid ett regionfel. Konfiguration av geo-redundant lagring av säkerhetskopior tillåts endast under skapandet av servern. Granskning, inaktiverad 1.0.1
Geo-redundant säkerhetskopiering bör aktiveras för Azure Database for PostgreSQL Med Azure Database for PostgreSQL kan du välja redundansalternativet för databasservern. Den kan ställas in på en geo-redundant lagring där data inte bara lagras i den region där servern finns, utan också replikeras till en länkad region för att tillhandahålla återställningsalternativ vid ett regionfel. Konfiguration av geo-redundant lagring av säkerhetskopior tillåts endast under skapandet av servern. Granskning, inaktiverad 1.0.1
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0
Nyckelvalv bör ha borttagningsskydd aktiverat Skadlig borttagning av ett nyckelvalv kan leda till permanent dataförlust. Du kan förhindra permanent dataförlust genom att aktivera rensningsskydd och mjuk borttagning. Rensningsskydd skyddar dig mot insiderattacker genom att framtvinga en obligatorisk kvarhållningsperiod för mjuka borttagna nyckelvalv. Ingen i din organisation eller Microsoft kommer att kunna rensa dina nyckelvalv under kvarhållningsperioden för mjuk borttagning. Tänk på att nyckelvalv som skapats efter den 1 september 2019 har mjuk borttagning aktiverat som standard. Granska, neka, inaktiverad 2.1.0
Nyckelvalv bör ha mjuk borttagning aktiverat Om du tar bort ett nyckelvalv utan mjuk borttagning tas alla hemligheter, nycklar och certifikat som lagras i nyckelvalvet bort permanent. Oavsiktlig borttagning av ett nyckelvalv kan leda till permanent dataförlust. Med mjuk borttagning kan du återställa ett nyckelvalv som tagits bort av misstag under en konfigurerbar kvarhållningsperiod. Granska, neka, inaktiverad 3.0.0

Separat lagring för viktig information

ID: FedRAMP Moderate CP-9 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Lagra säkerhetskopieringsinformation separat CMA_C1293 – Lagra säkerhetskopieringsinformation separat Manuell, inaktiverad 1.1.0

Återställning och återställning av informationssystem

ID: FedRAMP Moderate CP-10 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Återställa och återskapa resurser efter eventuella avbrott CMA_C1295 – Återställa och återskapa resurser efter eventuella avbrott Manuell, inaktiverad 1.1.1

Transaktionsåterställning

ID: FedRAMP Måttlig CP-10 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera transaktionsbaserad återställning CMA_C1296 – Implementera transaktionsbaserad återställning Manuell, inaktiverad 1.1.0

Identifiering och autentisering

Principer och procedurer för identifiering och autentisering

ID: FedRAMP Moderate IA-1 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera principer och procedurer för identifiering och autentisering CMA_C1299 – Granska och uppdatera principer och procedurer för identifiering och autentisering Manuell, inaktiverad 1.1.0

Identifiering och autentisering (organisationsanvändare)

ID: FedRAMP Moderate IA-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Konton med ägarbehörigheter för Azure-resurser ska vara MFA-aktiverade Multi-Factor Authentication (MFA) bör aktiveras för alla prenumerationskonton med ägarbehörighet för att förhindra intrång i konton eller resurser. AuditIfNotExists, inaktiverad 1.0.0
Konton med läsbehörigheter för Azure-resurser ska vara MFA-aktiverade Multi-Factor Authentication (MFA) bör aktiveras för alla prenumerationskonton med läsbehörighet för att förhindra intrång i konton eller resurser. AuditIfNotExists, inaktiverad 1.0.0
Konton med skrivbehörighet för Azure-resurser ska vara MFA-aktiverade Multi-Factor Authentication (MFA) ska aktiveras för alla prenumerationskonton med skrivbehörighet för att förhindra intrång i konton eller resurser. AuditIfNotExists, inaktiverad 1.0.0
En Azure Active Directory-administratör bör etableras för SQL-servrar Granska etableringen av en Azure Active Directory-administratör för SQL-servern för att aktivera Azure AD-autentisering. Azure AD-autentisering möjliggör förenklad behörighetshantering och centraliserad identitetshantering för databasanvändare och andra Microsoft-tjänster AuditIfNotExists, inaktiverad 1.0.0
App Service-appar bör använda hanterad identitet Använda en hanterad identitet för förbättrad autentiseringssäkerhet AuditIfNotExists, inaktiverad 3.0.0
Azure AI Services-resurser bör ha nyckelåtkomst inaktiverad (inaktivera lokal autentisering) Nyckelåtkomst (lokal autentisering) rekommenderas att inaktiveras för säkerhet. Azure OpenAI Studio, som vanligtvis används i utveckling/testning, kräver nyckelåtkomst och fungerar inte om nyckelåtkomst är inaktiverad. Efter inaktivering blir Microsoft Entra-ID den enda åtkomstmetoden, vilket gör det möjligt att upprätthålla minimiprivilegier och detaljerad kontroll. Läs mer på: https://aka.ms/AI/auth Granska, neka, inaktiverad 1.1.0
Framtvinga användar unikhet CMA_0250 – Framtvinga användar unikhet Manuell, inaktiverad 1.1.0
Funktionsappar bör använda hanterad identitet Använda en hanterad identitet för förbättrad autentiseringssäkerhet AuditIfNotExists, inaktiverad 3.0.0
Service Fabric-kluster bör endast använda Azure Active Directory för klientautentisering Granska endast användning av klientautentisering via Azure Active Directory i Service Fabric Granska, neka, inaktiverad 1.1.0
Stöd för autentiseringsuppgifter för personlig verifiering som utfärdats av juridiska myndigheter CMA_0507 – Stöd för autentiseringsuppgifter för personlig verifiering som utfärdats av juridiska myndigheter Manuell, inaktiverad 1.1.0

Nätverksåtkomst till privilegierade konton

ID: FedRAMP Moderate IA-2 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Konton med ägarbehörigheter för Azure-resurser ska vara MFA-aktiverade Multi-Factor Authentication (MFA) bör aktiveras för alla prenumerationskonton med ägarbehörighet för att förhindra intrång i konton eller resurser. AuditIfNotExists, inaktiverad 1.0.0
Konton med skrivbehörighet för Azure-resurser ska vara MFA-aktiverade Multi-Factor Authentication (MFA) ska aktiveras för alla prenumerationskonton med skrivbehörighet för att förhindra intrång i konton eller resurser. AuditIfNotExists, inaktiverad 1.0.0
Använda mekanismer för biometrisk autentisering CMA_0005 – Använda mekanismer för biometrisk autentisering Manuell, inaktiverad 1.1.0

Nätverksåtkomst till icke-privilegierade konton

ID: FedRAMP Moderate IA-2 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Konton med läsbehörigheter för Azure-resurser ska vara MFA-aktiverade Multi-Factor Authentication (MFA) bör aktiveras för alla prenumerationskonton med läsbehörighet för att förhindra intrång i konton eller resurser. AuditIfNotExists, inaktiverad 1.0.0
Använda mekanismer för biometrisk autentisering CMA_0005 – Använda mekanismer för biometrisk autentisering Manuell, inaktiverad 1.1.0

Lokal åtkomst till privilegierade konton

ID: FedRAMP Moderate IA-2 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Använda mekanismer för biometrisk autentisering CMA_0005 – Använda mekanismer för biometrisk autentisering Manuell, inaktiverad 1.1.0

Gruppautentisering

ID: FedRAMP Moderate IA-2 (5) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kräv användning av enskilda autentiserare CMA_C1305 – Kräva användning av enskilda autentiserare Manuell, inaktiverad 1.1.0

Fjärråtkomst – separat enhet

ID: FedRAMP Moderate IA-2 (11) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Använda mekanismer för biometrisk autentisering CMA_0005 – Använda mekanismer för biometrisk autentisering Manuell, inaktiverad 1.1.0
Identifiera och autentisera nätverksenheter CMA_0296 – Identifiera och autentisera nätverksenheter Manuell, inaktiverad 1.1.0

Godkännande av Piv-autentiseringsuppgifter

ID: FedRAMP Moderate IA-2 (12) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Stöd för autentiseringsuppgifter för personlig verifiering som utfärdats av juridiska myndigheter CMA_0507 – Stöd för autentiseringsuppgifter för personlig verifiering som utfärdats av juridiska myndigheter Manuell, inaktiverad 1.1.0

Hantering av identifierare

ID: FedRAMP Moderate IA-4 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
En Azure Active Directory-administratör bör etableras för SQL-servrar Granska etableringen av en Azure Active Directory-administratör för SQL-servern för att aktivera Azure AD-autentisering. Azure AD-autentisering möjliggör förenklad behörighetshantering och centraliserad identitetshantering för databasanvändare och andra Microsoft-tjänster AuditIfNotExists, inaktiverad 1.0.0
App Service-appar bör använda hanterad identitet Använda en hanterad identitet för förbättrad autentiseringssäkerhet AuditIfNotExists, inaktiverad 3.0.0
Tilldela systemidentifierare CMA_0018 – Tilldela systemidentifierare Manuell, inaktiverad 1.1.0
Azure AI Services-resurser bör ha nyckelåtkomst inaktiverad (inaktivera lokal autentisering) Nyckelåtkomst (lokal autentisering) rekommenderas att inaktiveras för säkerhet. Azure OpenAI Studio, som vanligtvis används i utveckling/testning, kräver nyckelåtkomst och fungerar inte om nyckelåtkomst är inaktiverad. Efter inaktivering blir Microsoft Entra-ID den enda åtkomstmetoden, vilket gör det möjligt att upprätthålla minimiprivilegier och detaljerad kontroll. Läs mer på: https://aka.ms/AI/auth Granska, neka, inaktiverad 1.1.0
Funktionsappar bör använda hanterad identitet Använda en hanterad identitet för förbättrad autentiseringssäkerhet AuditIfNotExists, inaktiverad 3.0.0
Förhindra återanvändning av identifierare för den definierade tidsperioden CMA_C1314 – Förhindra återanvändning av identifierare för den definierade tidsperioden Manuell, inaktiverad 1.1.0
Service Fabric-kluster bör endast använda Azure Active Directory för klientautentisering Granska endast användning av klientautentisering via Azure Active Directory i Service Fabric Granska, neka, inaktiverad 1.1.0

Identifiera användarstatus

ID: FedRAMP Moderate IA-4 (4) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Identifiera status för enskilda användare CMA_C1316 – Identifiera status för enskilda användare Manuell, inaktiverad 1.1.0

Autentiseringshantering

ID: FedRAMP Moderate IA-5 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Lägg till systemtilldelad hanterad identitet för att aktivera gästkonfigurationstilldelningar på virtuella datorer utan identiteter Den här principen lägger till en systemtilldelad hanterad identitet till virtuella datorer som finns i Azure och som stöds av gästkonfiguration men som inte har några hanterade identiteter. En systemtilldelad hanterad identitet är en förutsättning för alla gästkonfigurationstilldelningar och måste läggas till på datorer innan du använder några principdefinitioner för gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. modify 4.1.0
Lägg till systemtilldelad hanterad identitet för att aktivera gästkonfigurationstilldelningar på virtuella datorer med en användartilldelad identitet Den här principen lägger till en systemtilldelad hanterad identitet till virtuella datorer i Azure som stöds av gästkonfiguration och som har minst en användartilldelad identitet men som inte har någon systemtilldelad hanterad identitet. En systemtilldelad hanterad identitet är en förutsättning för alla gästkonfigurationstilldelningar och måste läggas till på datorer innan du använder några principdefinitioner för gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. modify 4.1.0
Granska Linux-datorer som inte har passwd-filbehörigheter inställda på 0644 Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om Linux-datorer som inte har behörighet för passwd-filen har angetts till 0644 AuditIfNotExists, inaktiverad 3.1.0
Granska Windows-datorer som inte lagrar lösenord med omvändbar kryptering Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om Windows-datorer som inte lagrar lösenord med reversibel kryptering AuditIfNotExists, inaktiverad 2.0.0
Autentisering till Linux-datorer bör kräva SSH-nycklar Även om SSH själv ger en krypterad anslutning, gör användning av lösenord med SSH fortfarande den virtuella datorn sårbar för råstyrkeattacker. Det säkraste alternativet för att autentisera till en virtuell Azure Linux-dator via SSH är med ett offentligt-privat nyckelpar, även kallat SSH-nycklar. Läs mer: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed. AuditIfNotExists, inaktiverad 3.2.0
Certifikaten ska ha den angivna maximala giltighetsperioden Hantera organisationens efterlevnadskrav genom att ange den maximala tid som ett certifikat kan vara giltigt i ditt nyckelvalv. audit, Audit, deny, Deny, disabled, Disabled 2.2.1
Distribuera Linux-gästkonfigurationstillägget för att aktivera gästkonfigurationstilldelningar på virtuella Linux-datorer Den här principen distribuerar Linux-gästkonfigurationstillägget till virtuella Linux-datorer i Azure som stöds av gästkonfiguration. Linux-gästkonfigurationstillägget är en förutsättning för alla Linux-gästkonfigurationstilldelningar och måste distribueras till datorer innan du använder någon principdefinition för Linux-gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. deployIfNotExists 3.1.0
Distribuera Windows-gästkonfigurationstillägget för att aktivera gästkonfigurationstilldelningar på virtuella Windows-datorer Den här principen distribuerar Windows-gästkonfigurationstillägget till virtuella Windows-datorer i Azure som stöds av gästkonfiguration. Windows-gästkonfigurationstillägget är en förutsättning för alla Windows-gästkonfigurationstilldelningar och måste distribueras till datorer innan du använder någon principdefinition för Windows-gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. deployIfNotExists 1.2.0
Upprätta autentiseringstyper och processer CMA_0267 – Upprätta autentiseringstyper och processer Manuell, inaktiverad 1.1.0
Upprätta procedurer för inledande autentiseringsdistribution CMA_0276 – Upprätta procedurer för inledande autentiseringsdistribution Manuell, inaktiverad 1.1.0
Implementera utbildning för att skydda autentiserare CMA_0329 – Implementera utbildning för att skydda autentiserare Manuell, inaktiverad 1.1.0
Key Vault-nycklar bör ha ett utgångsdatum Kryptografiska nycklar ska ha ett definierat förfallodatum och inte vara permanenta. Nycklar som är giltiga för alltid ger en potentiell angripare mer tid att kompromettera nyckeln. Vi rekommenderar att du anger förfallodatum för kryptografiska nycklar. Granska, neka, inaktiverad 1.0.2
Key Vault-hemligheter bör ha ett utgångsdatum Hemligheter bör ha ett definierat förfallodatum och inte vara permanenta. Hemligheter som är giltiga för alltid ger en potentiell angripare mer tid att kompromettera dem. Vi rekommenderar att du anger förfallodatum för hemligheter. Granska, neka, inaktiverad 1.0.2
Hantera autentiseringens livslängd och återanvändning CMA_0355 – Hantera autentiseringslivslängd och återanvändning Manuell, inaktiverad 1.1.0
Hantera autentiserare CMA_C1321 – Hantera autentiserare Manuell, inaktiverad 1.1.0
Uppdatera autentiserare CMA_0425 – Uppdatera autentiserare Manuell, inaktiverad 1.1.0
Återutge autentiserare för ändrade grupper och konton CMA_0426 – Återutge autentiserare för ändrade grupper och konton Manuell, inaktiverad 1.1.0
Verifiera identiteten innan du distribuerar autentiserare CMA_0538 – Verifiera identiteten innan du distribuerar autentiserare Manuell, inaktiverad 1.1.0

Lösenordsbaserad autentisering

ID: FedRAMP Moderate IA-5 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Lägg till systemtilldelad hanterad identitet för att aktivera gästkonfigurationstilldelningar på virtuella datorer utan identiteter Den här principen lägger till en systemtilldelad hanterad identitet till virtuella datorer som finns i Azure och som stöds av gästkonfiguration men som inte har några hanterade identiteter. En systemtilldelad hanterad identitet är en förutsättning för alla gästkonfigurationstilldelningar och måste läggas till på datorer innan du använder några principdefinitioner för gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. modify 4.1.0
Lägg till systemtilldelad hanterad identitet för att aktivera gästkonfigurationstilldelningar på virtuella datorer med en användartilldelad identitet Den här principen lägger till en systemtilldelad hanterad identitet till virtuella datorer i Azure som stöds av gästkonfiguration och som har minst en användartilldelad identitet men som inte har någon systemtilldelad hanterad identitet. En systemtilldelad hanterad identitet är en förutsättning för alla gästkonfigurationstilldelningar och måste läggas till på datorer innan du använder några principdefinitioner för gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. modify 4.1.0
Granska Linux-datorer som inte har passwd-filbehörigheter inställda på 0644 Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om Linux-datorer som inte har behörighet för passwd-filen har angetts till 0644 AuditIfNotExists, inaktiverad 3.1.0
Granska Windows-datorer som tillåter återanvändning av lösenorden efter det angivna antalet unika lösenord Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om Windows-datorer som tillåter återanvändning av lösenorden efter det angivna antalet unika lösenord. Standardvärdet för unika lösenord är 24 AuditIfNotExists, inaktiverad 2.1.0
Granska Windows-datorer som inte har den högsta lösenordsåldern inställd på angivet antal dagar Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om Windows-datorer som inte har den högsta lösenordsåldern inställda på angivet antal dagar. Standardvärdet för maximal lösenordsålder är 70 dagar AuditIfNotExists, inaktiverad 2.1.0
Granska Windows-datorer som inte har den lägsta lösenordsåldern inställd på angivet antal dagar Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om Windows-datorer som inte har den lägsta lösenordsåldern inställda på angivet antal dagar. Standardvärdet för lägsta lösenordsålder är 1 dag AuditIfNotExists, inaktiverad 2.1.0
Granska Windows-datorer som inte har inställningen för lösenordskomplexitet aktiverad Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om Windows-datorer som inte har inställningen för lösenordskomplexitet aktiverad AuditIfNotExists, inaktiverad 2.0.0
Granska Windows-datorer som inte begränsar den minsta lösenordslängden till angivet antal tecken Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om Windows-datorer som inte begränsar minsta längd på lösenord till angivet antal tecken. Standardvärdet för minsta längd på lösenord är 14 tecken AuditIfNotExists, inaktiverad 2.1.0
Granska Windows-datorer som inte lagrar lösenord med omvändbar kryptering Kräver att förutsättningarna distribueras till principtilldelningsomfånget. Mer information finns i https://aka.ms/gcpol. Datorer är inkompatibla om Windows-datorer som inte lagrar lösenord med reversibel kryptering AuditIfNotExists, inaktiverad 2.0.0
Distribuera Linux-gästkonfigurationstillägget för att aktivera gästkonfigurationstilldelningar på virtuella Linux-datorer Den här principen distribuerar Linux-gästkonfigurationstillägget till virtuella Linux-datorer i Azure som stöds av gästkonfiguration. Linux-gästkonfigurationstillägget är en förutsättning för alla Linux-gästkonfigurationstilldelningar och måste distribueras till datorer innan du använder någon principdefinition för Linux-gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. deployIfNotExists 3.1.0
Distribuera Windows-gästkonfigurationstillägget för att aktivera gästkonfigurationstilldelningar på virtuella Windows-datorer Den här principen distribuerar Windows-gästkonfigurationstillägget till virtuella Windows-datorer i Azure som stöds av gästkonfiguration. Windows-gästkonfigurationstillägget är en förutsättning för alla Windows-gästkonfigurationstilldelningar och måste distribueras till datorer innan du använder någon principdefinition för Windows-gästkonfiguration. Mer information om gästkonfiguration finns i https://aka.ms/gcpol. deployIfNotExists 1.2.0
Dokumentera krav på säkerhetsstyrka i förvärvskontrakt CMA_0203 – Dokumentera krav på säkerhetsstyrka i förvärvskontrakt Manuell, inaktiverad 1.1.0
Upprätta en lösenordsprincip CMA_0256 – Upprätta en lösenordsprincip Manuell, inaktiverad 1.1.0
Implementera parametrar för memorerade hemliga kontrollanter CMA_0321 – Implementera parametrar för memorerade hemliga kontrollanter Manuell, inaktiverad 1.1.0
Skydda lösenord med kryptering CMA_0408 – Skydda lösenord med kryptering Manuell, inaktiverad 1.1.0

Pki-baserad autentisering

ID: FedRAMP Moderate IA-5 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Binda autentiserare och identiteter dynamiskt CMA_0035 – Binda autentiserare och identiteter dynamiskt Manuell, inaktiverad 1.1.0
Upprätta autentiseringstyper och processer CMA_0267 – Upprätta autentiseringstyper och processer Manuell, inaktiverad 1.1.0
Upprätta parametrar för att söka efter hemliga autentiserare och kontrollanter CMA_0274 – Upprätta parametrar för sökning efter hemliga autentiserare och verifierare Manuell, inaktiverad 1.1.0
Upprätta procedurer för inledande autentiseringsdistribution CMA_0276 – Upprätta procedurer för inledande autentiseringsdistribution Manuell, inaktiverad 1.1.0
Mappa autentiserade identiteter till individer CMA_0372 – Mappa autentiserade identiteter till individer Manuell, inaktiverad 1.1.0
Begränsa åtkomsten till privata nycklar CMA_0445 – Begränsa åtkomsten till privata nycklar Manuell, inaktiverad 1.1.0
Verifiera identiteten innan du distribuerar autentiserare CMA_0538 – Verifiera identiteten innan du distribuerar autentiserare Manuell, inaktiverad 1.1.0

Personlig eller betrodd registrering från tredje part

ID: FedRAMP Måttlig IA-5 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Distribuera autentiserare CMA_0184 – Distribuera autentisering Manuell, inaktiverad 1.1.0

Automatiserat stöd för bestämning av lösenordsstyrka

ID: FedRAMP Moderate IA-5 (4) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dokumentera krav på säkerhetsstyrka i förvärvskontrakt CMA_0203 – Dokumentera krav på säkerhetsstyrka i förvärvskontrakt Manuell, inaktiverad 1.1.0
Upprätta en lösenordsprincip CMA_0256 – Upprätta en lösenordsprincip Manuell, inaktiverad 1.1.0
Implementera parametrar för memorerade hemliga kontrollanter CMA_0321 – Implementera parametrar för memorerade hemliga kontrollanter Manuell, inaktiverad 1.1.0

Skydd av autentiserare

ID: FedRAMP Moderate IA-5 (6) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Se till att behöriga användare skyddar angivna autentiserare CMA_C1339 – Se till att behöriga användare skyddar angivna autentiserare Manuell, inaktiverad 1.1.0

Inga inbäddade okrypterade statiska autentiserare

ID: FedRAMP Moderate IA-5 (7) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera att det inte finns några okrypterade statiska autentiserare CMA_C1340 – Se till att det inte finns några okrypterade statiska autentiserare Manuell, inaktiverad 1.1.0

Maskinvarutokenbaserad autentisering

ID: FedRAMP Moderate IA-5 (11) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Uppfylla kvalitetskraven för token CMA_0487 – Uppfylla kvalitetskraven för token Manuell, inaktiverad 1.1.0

Feedback om autentisering

ID: FedRAMP Moderate IA-6 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dölj feedbackinformation under autentiseringsprocessen CMA_C1344 – Obskyr feedbackinformation under autentiseringsprocessen Manuell, inaktiverad 1.1.0

Autentisering av kryptografisk modul

ID: FedRAMP Moderate IA-7 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Autentisera till kryptografisk modul CMA_0021 – Autentisera till kryptografisk modul Manuell, inaktiverad 1.1.0

Identifiering och autentisering (icke-organisatoriska användare)

ID: FedRAMP Moderate IA-8 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Identifiera och autentisera icke-organisationsanvändare CMA_C1346 – Identifiera och autentisera icke-organisationsanvändare Manuell, inaktiverad 1.1.0

Godkännande av Piv-autentiseringsuppgifter från andra byråer

ID: FedRAMP Moderate IA-8 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Acceptera PIV-autentiseringsuppgifter CMA_C1347 – Acceptera PIV-autentiseringsuppgifter Manuell, inaktiverad 1.1.0

Godkännande av autentiseringsuppgifter från tredje part

ID: FedRAMP Moderate IA-8 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Acceptera endast FICAM-godkända autentiseringsuppgifter från tredje part CMA_C1348 – Acceptera endast FICAM-godkända autentiseringsuppgifter från tredje part Manuell, inaktiverad 1.1.0

Användning av Ficam-godkända produkter

ID: FedRAMP Moderate IA-8 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Använda FICAM-godkända resurser för att acceptera autentiseringsuppgifter från tredje part CMA_C1349 – Använda FICAM-godkända resurser för att acceptera autentiseringsuppgifter från tredje part Manuell, inaktiverad 1.1.0

Användning av Ficam-utfärdade profiler

ID: FedRAMP Moderate IA-8 (4) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Anpassa dig till FICAM-utfärdade profiler CMA_C1350 – Anpassa sig till FICAM-utfärdade profiler Manuell, inaktiverad 1.1.0

Incidentsvar

Policy och procedurer för incidenthantering

ID: FedRAMP Moderate IR-1 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera principer och procedurer för incidenthantering CMA_C1352 – Granska och uppdatera principer och procedurer för incidenthantering Manuell, inaktiverad 1.1.0

Incidenthanteringsträning

ID: FedRAMP Moderate IR-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Tillhandahålla informationsspillträning CMA_0413 – Tillhandahålla informationsspillträning Manuell, inaktiverad 1.1.0

Incidenthanteringstestning

ID: FedRAMP Moderate IR-3 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utföra incidenthanteringstestning CMA_0060 – Utföra incidenthanteringstestning Manuell, inaktiverad 1.1.0
Upprätta ett informationssäkerhetsprogram CMA_0263 – Upprätta ett informationssäkerhetsprogram Manuell, inaktiverad 1.1.0
Köra simuleringsattacker CMA_0486 – Köra simuleringsattacker Manuell, inaktiverad 1.1.0

ID: FedRAMP Moderate IR-3 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utföra incidenthanteringstestning CMA_0060 – Utföra incidenthanteringstestning Manuell, inaktiverad 1.1.0
Upprätta ett informationssäkerhetsprogram CMA_0263 – Upprätta ett informationssäkerhetsprogram Manuell, inaktiverad 1.1.0
Köra simuleringsattacker CMA_0486 – Köra simuleringsattacker Manuell, inaktiverad 1.1.0

Incidenthantering

ID: FedRAMP Moderate IR-4 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utvärdera informationssäkerhetshändelser CMA_0013 – Utvärdera informationssäkerhetshändelser Manuell, inaktiverad 1.1.0
Azure Defender för App Service ska vara aktiverat Azure Defender för App Service utnyttjar molnets skala och den synlighet som Azure har som molnleverantör för att övervaka vanliga webbappattacker. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Azure SQL Database-servrar ska vara aktiverade Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för Key Vault ska vara aktiverat Azure Defender för Key Vault ger ytterligare ett lager av skydd och säkerhetsinformation genom att identifiera ovanliga och potentiellt skadliga försök att komma åt eller utnyttja key vault-konton. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Resource Manager ska vara aktiverat Azure Defender för Resource Manager övervakar automatiskt resurshanteringsåtgärderna i din organisation. Azure Defender identifierar hot och varnar dig om misstänkt aktivitet. Läs mer om funktionerna i Azure Defender för Resource Manager på https://aka.ms/defender-for-resource-manager . Om du aktiverar den här Azure Defender-planen resulterar det i avgifter. Läs mer om prisinformationen per region på Security Centers prissida: https://aka.ms/pricing-security-center . AuditIfNotExists, inaktiverad 1.0.0
Azure Defender för servrar ska vara aktiverat Azure Defender för servrar ger skydd mot hot i realtid för serverarbetsbelastningar och genererar härdningsrekommendationer samt aviseringar om misstänkta aktiviteter. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för SQL-servrar på datorer ska vara aktiverat Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för SQL ska vara aktiverat för oskyddade Azure SQL-servrar Granska SQL-servrar utan Advanced Data Security AuditIfNotExists, inaktiverad 2.0.1
Azure Defender för SQL ska vara aktiverat för oskyddade SQL Managed Instances Granska varje SQL Managed Instance utan avancerad datasäkerhet. AuditIfNotExists, inaktiverad 1.0.2
Samordna beredskapsplaner med relaterade planer CMA_0086 – Samordna beredskapsplaner med relaterade planer Manuell, inaktiverad 1.1.0
Utveckla en plan för incidenthantering CMA_0145 – Utveckla en plan för incidenthantering Manuell, inaktiverad 1.1.0
Utveckla säkerhetsskydd CMA_0161 – Utveckla säkerhetsskydd Manuell, inaktiverad 1.1.0
E-postavisering för aviseringar med hög allvarlighetsgrad ska vara aktiverat Aktivera e-postaviseringar för aviseringar med hög allvarlighetsgrad i Security Center för att säkerställa att relevanta personer i din organisation meddelas när det finns ett potentiellt säkerhetsintrång i en av dina prenumerationer. AuditIfNotExists, inaktiverad 1.2.0
E-postavisering till prenumerationsägare för aviseringar med hög allvarlighetsgrad ska aktiveras För att säkerställa att dina prenumerationsägare meddelas när det finns en potentiell säkerhetsöverträdelse i prenumerationen anger du e-postaviseringar till prenumerationsägare för aviseringar med hög allvarlighetsgrad i Security Center. AuditIfNotExists, inaktiverad 2.1.0
Aktivera nätverksskydd CMA_0238 – Aktivera nätverksskydd Manuell, inaktiverad 1.1.0
Utrota kontaminerad information CMA_0253 – Utrota kontaminerad information Manuell, inaktiverad 1.1.0
Köra åtgärder som svar på informationsutsläpp CMA_0281 – Köra åtgärder som svar på informationsutsläpp Manuell, inaktiverad 1.1.0
Implementera incidenthantering CMA_0318 – Implementera incidenthantering Manuell, inaktiverad 1.1.0
Underhålla en plan för incidenthantering CMA_0352 – Underhålla en plan för incidenthantering Manuell, inaktiverad 1.1.0
Microsoft Defender för containrar ska vara aktiverat Microsoft Defender för containrar ger härdning, sårbarhetsbedömning och körningsskydd för dina Azure-, hybrid- och kubernetes-miljöer i flera moln. AuditIfNotExists, inaktiverad 1.0.0
Microsoft Defender för Storage ska vara aktiverat Microsoft Defender för Storage identifierar potentiella hot mot dina lagringskonton. Det hjälper till att förhindra de tre stora effekterna på dina data och din arbetsbelastning: skadliga filuppladdningar, exfiltrering av känsliga data och skadade data. Den nya Defender for Storage-planen innehåller skanning av skadlig kod och hotidentifiering av känsliga data. Den här planen ger också en förutsägbar prisstruktur (per lagringskonto) för kontroll över täckning och kostnader. AuditIfNotExists, inaktiverad 1.0.0
Utföra en trendanalys av hot CMA_0389 – Utföra en trendanalys av hot Manuell, inaktiverad 1.1.0
Prenumerationer bör ha en kontakt-e-postadress för säkerhetsproblem För att säkerställa att relevanta personer i din organisation meddelas när det finns ett potentiellt säkerhetsintrång i en av dina prenumerationer anger du att en säkerhetskontakt ska ta emot e-postaviseringar från Security Center. AuditIfNotExists, inaktiverad 1.0.1
Visa och undersöka begränsade användare CMA_0545 – Visa och undersöka begränsade användare Manuell, inaktiverad 1.1.0

Automatiserade processer för incidenthantering

ID: FedRAMP Moderate IR-4 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utveckla en plan för incidenthantering CMA_0145 – Utveckla en plan för incidenthantering Manuell, inaktiverad 1.1.0
Aktivera nätverksskydd CMA_0238 – Aktivera nätverksskydd Manuell, inaktiverad 1.1.0
Implementera incidenthantering CMA_0318 – Implementera incidenthantering Manuell, inaktiverad 1.1.0

Incidentövervakning

ID: FedRAMP Moderate IR-5 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Azure Defender för App Service ska vara aktiverat Azure Defender för App Service utnyttjar molnets skala och den synlighet som Azure har som molnleverantör för att övervaka vanliga webbappattacker. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Azure SQL Database-servrar ska vara aktiverade Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för Key Vault ska vara aktiverat Azure Defender för Key Vault ger ytterligare ett lager av skydd och säkerhetsinformation genom att identifiera ovanliga och potentiellt skadliga försök att komma åt eller utnyttja key vault-konton. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Resource Manager ska vara aktiverat Azure Defender för Resource Manager övervakar automatiskt resurshanteringsåtgärderna i din organisation. Azure Defender identifierar hot och varnar dig om misstänkt aktivitet. Läs mer om funktionerna i Azure Defender för Resource Manager på https://aka.ms/defender-for-resource-manager . Om du aktiverar den här Azure Defender-planen resulterar det i avgifter. Läs mer om prisinformationen per region på Security Centers prissida: https://aka.ms/pricing-security-center . AuditIfNotExists, inaktiverad 1.0.0
Azure Defender för servrar ska vara aktiverat Azure Defender för servrar ger skydd mot hot i realtid för serverarbetsbelastningar och genererar härdningsrekommendationer samt aviseringar om misstänkta aktiviteter. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för SQL-servrar på datorer ska vara aktiverat Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för SQL ska vara aktiverat för oskyddade Azure SQL-servrar Granska SQL-servrar utan Advanced Data Security AuditIfNotExists, inaktiverad 2.0.1
Azure Defender för SQL ska vara aktiverat för oskyddade SQL Managed Instances Granska varje SQL Managed Instance utan avancerad datasäkerhet. AuditIfNotExists, inaktiverad 1.0.2
E-postavisering för aviseringar med hög allvarlighetsgrad ska vara aktiverat Aktivera e-postaviseringar för aviseringar med hög allvarlighetsgrad i Security Center för att säkerställa att relevanta personer i din organisation meddelas när det finns ett potentiellt säkerhetsintrång i en av dina prenumerationer. AuditIfNotExists, inaktiverad 1.2.0
E-postavisering till prenumerationsägare för aviseringar med hög allvarlighetsgrad ska aktiveras För att säkerställa att dina prenumerationsägare meddelas när det finns en potentiell säkerhetsöverträdelse i prenumerationen anger du e-postaviseringar till prenumerationsägare för aviseringar med hög allvarlighetsgrad i Security Center. AuditIfNotExists, inaktiverad 2.1.0
Microsoft Defender för containrar ska vara aktiverat Microsoft Defender för containrar ger härdning, sårbarhetsbedömning och körningsskydd för dina Azure-, hybrid- och kubernetes-miljöer i flera moln. AuditIfNotExists, inaktiverad 1.0.0
Microsoft Defender för Storage ska vara aktiverat Microsoft Defender för Storage identifierar potentiella hot mot dina lagringskonton. Det hjälper till att förhindra de tre stora effekterna på dina data och din arbetsbelastning: skadliga filuppladdningar, exfiltrering av känsliga data och skadade data. Den nya Defender for Storage-planen innehåller skanning av skadlig kod och hotidentifiering av känsliga data. Den här planen ger också en förutsägbar prisstruktur (per lagringskonto) för kontroll över täckning och kostnader. AuditIfNotExists, inaktiverad 1.0.0
Prenumerationer bör ha en kontakt-e-postadress för säkerhetsproblem För att säkerställa att relevanta personer i din organisation meddelas när det finns ett potentiellt säkerhetsintrång i en av dina prenumerationer anger du att en säkerhetskontakt ska ta emot e-postaviseringar från Security Center. AuditIfNotExists, inaktiverad 1.0.1

Automatiserad rapportering

ID: FedRAMP Moderate IR-6 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dokumentsäkerhetsåtgärder CMA_0202 – Dokumentsäkerhetsåtgärder Manuell, inaktiverad 1.1.0

Hjälp med incidenthantering

ID: FedRAMP Moderate IR-7 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dokumentsäkerhetsåtgärder CMA_0202 – Dokumentsäkerhetsåtgärder Manuell, inaktiverad 1.1.0

Automation-stöd för tillgänglighet för information/support

ID: FedRAMP Moderate IR-7 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utveckla en plan för incidenthantering CMA_0145 – Utveckla en plan för incidenthantering Manuell, inaktiverad 1.1.0
Aktivera nätverksskydd CMA_0238 – Aktivera nätverksskydd Manuell, inaktiverad 1.1.0
Utrota kontaminerad information CMA_0253 – Utrota kontaminerad information Manuell, inaktiverad 1.1.0
Köra åtgärder som svar på informationsutsläpp CMA_0281 – Köra åtgärder som svar på informationsutsläpp Manuell, inaktiverad 1.1.0
Implementera incidenthantering CMA_0318 – Implementera incidenthantering Manuell, inaktiverad 1.1.0
Utföra en trendanalys av hot CMA_0389 – Utföra en trendanalys av hot Manuell, inaktiverad 1.1.0
Visa och undersöka begränsade användare CMA_0545 – Visa och undersöka begränsade användare Manuell, inaktiverad 1.1.0

Samordning med externa leverantörer

ID: FedRAMP Moderate IR-7 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Upprätta en relation mellan incidenthanteringsfunktionen och externa leverantörer CMA_C1376 – Upprätta en relation mellan incidenthanteringskapacitet och externa leverantörer Manuell, inaktiverad 1.1.0
Identifiera personal för incidenthantering CMA_0301 – Identifiera personal för incidenthantering Manuell, inaktiverad 1.1.0

Incidenthanteringsplan

ID: FedRAMP Moderate IR-8 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utvärdera informationssäkerhetshändelser CMA_0013 – Utvärdera informationssäkerhetshändelser Manuell, inaktiverad 1.1.0
Utveckla en plan för incidenthantering CMA_0145 – Utveckla en plan för incidenthantering Manuell, inaktiverad 1.1.0
Implementera incidenthantering CMA_0318 – Implementera incidenthantering Manuell, inaktiverad 1.1.0
Underhålla dataintrångsposter CMA_0351 – Underhålla dataintrångsposter Manuell, inaktiverad 1.1.0
Underhålla en plan för incidenthantering CMA_0352 – Underhålla en plan för incidenthantering Manuell, inaktiverad 1.1.0
Skydda planen för incidenthantering CMA_0405 – Skydda planen för incidenthantering Manuell, inaktiverad 1.1.0

Svar på informationsspill

ID: FedRAMP Moderate IR-9 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Aviseringspersonal om informationsspill CMA_0007 – Avisera personal om informationsspill Manuell, inaktiverad 1.1.0
Utveckla en plan för incidenthantering CMA_0145 – Utveckla en plan för incidenthantering Manuell, inaktiverad 1.1.0
Utrota kontaminerad information CMA_0253 – Utrota kontaminerad information Manuell, inaktiverad 1.1.0
Köra åtgärder som svar på informationsutsläpp CMA_0281 – Köra åtgärder som svar på informationsutsläpp Manuell, inaktiverad 1.1.0
Identifiera förorenade system och komponenter CMA_0300 – Identifiera förorenade system och komponenter Manuell, inaktiverad 1.1.0
Identifiera spilld information CMA_0303 – Identifiera spilld information Manuell, inaktiverad 1.1.0
Isolera informationsutsläpp CMA_0346 – Isolera informationsutsläpp Manuell, inaktiverad 1.1.0

Ansvarig personal

ID: FedRAMP Moderate IR-9 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Identifiera personal för incidenthantering CMA_0301 – Identifiera personal för incidenthantering Manuell, inaktiverad 1.1.0

Utbildning

ID: FedRAMP Moderate IR-9 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Tillhandahålla informationsspillträning CMA_0413 – Tillhandahålla informationsspillträning Manuell, inaktiverad 1.1.0

Åtgärder efter spill

ID: FedRAMP Moderate IR-9 (3) Ägarskap: Delad

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utveckla åtgärder för spill CMA_0162 – Utveckla åtgärder för spill Manuell, inaktiverad 1.1.0

Exponering för obehörig personal

ID: FedRAMP Moderate IR-9 (4) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utveckla säkerhetsskydd CMA_0161 – Utveckla säkerhetsskydd Manuell, inaktiverad 1.1.0

Underhåll

Principer och procedurer för systemunderhåll

ID: FedRAMP Moderate MA-1 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera principer och procedurer för systemunderhåll CMA_C1395 – Granska och uppdatera principer och procedurer för systemunderhåll Manuell, inaktiverad 1.1.0

Kontrollerat underhåll

ID: FedRAMP Moderate MA-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera underhålls- och reparationsaktiviteter CMA_0080 – Kontrollera underhålls- och reparationsaktiviteter Manuell, inaktiverad 1.1.0
Använda en mekanism för mediesanering CMA_0208 – Använda en mekanism för mediesanering Manuell, inaktiverad 1.1.0
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0
Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter CMA_0364 – Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter Manuell, inaktiverad 1.1.0

Underhållsverktyg

ID: FedRAMP Moderate MA-3 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera underhålls- och reparationsaktiviteter CMA_0080 – Kontrollera underhålls- och reparationsaktiviteter Manuell, inaktiverad 1.1.0
Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter CMA_0364 – Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter Manuell, inaktiverad 1.1.0

Granska verktyg

ID: FedRAMP Moderate MA-3 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera underhålls- och reparationsaktiviteter CMA_0080 – Kontrollera underhålls- och reparationsaktiviteter Manuell, inaktiverad 1.1.0
Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter CMA_0364 – Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter Manuell, inaktiverad 1.1.0

Granska media

ID: FedRAMP Moderate MA-3 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera underhålls- och reparationsaktiviteter CMA_0080 – Kontrollera underhålls- och reparationsaktiviteter Manuell, inaktiverad 1.1.0
Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter CMA_0364 – Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter Manuell, inaktiverad 1.1.0

Förhindra obehörig borttagning

ID: FedRAMP Moderate MA-3 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera underhålls- och reparationsaktiviteter CMA_0080 – Kontrollera underhålls- och reparationsaktiviteter Manuell, inaktiverad 1.1.0
Använda en mekanism för mediesanering CMA_0208 – Använda en mekanism för mediesanering Manuell, inaktiverad 1.1.0
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0
Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter CMA_0364 – Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter Manuell, inaktiverad 1.1.0

Ej lokaliserat underhåll

ID: FedRAMP Moderate MA-4 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter CMA_0364 – Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter Manuell, inaktiverad 1.1.0

Dokumentera icke-lokaliserat underhåll

ID: FedRAMP Moderate MA-4 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter CMA_0364 – Hantera icke-lokaliserade underhålls- och diagnostikaktiviteter Manuell, inaktiverad 1.1.0

Underhållspersonal

ID: FedRAMP Moderate MA-5 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utse personal som ska övervaka obehöriga underhållsaktiviteter CMA_C1422 – Utse personal som ska övervaka obehöriga underhållsaktiviteter Manuell, inaktiverad 1.1.0
Underhålla en lista över auktoriserade fjärrunderhållspersonal CMA_C1420 – Underhålla en lista över auktoriserade fjärrunderhållspersonal Manuell, inaktiverad 1.1.0
Hantera underhållspersonal CMA_C1421 – Hantera underhållspersonal Manuell, inaktiverad 1.1.0

Individer utan lämplig åtkomst

ID: FedRAMP Moderate MA-5 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Använda en mekanism för mediesanering CMA_0208 – Använda en mekanism för mediesanering Manuell, inaktiverad 1.1.0
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0

Underhåll i tid

ID: FedRAMP Moderate MA-6 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Ge stöd för underhåll i tid CMA_C1425 – Ge support för underhåll i tid Manuell, inaktiverad 1.1.0

Medieskydd

Principer och procedurer för medieskydd

ID: FedRAMP Moderate MP-1 Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera principer och procedurer för medieskydd CMA_C1427 – Granska och uppdatera principer och procedurer för medieskydd Manuell, inaktiverad 1.1.0

Medieåtkomst

ID: FedRAMP Moderate MP-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0

Mediemarkering

ID: FedRAMP Moderate MP-3 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0

Medielagring

ID: FedRAMP Moderate MP-4 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Använda en mekanism för mediesanering CMA_0208 – Använda en mekanism för mediesanering Manuell, inaktiverad 1.1.0
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0

Medietransport

ID: FedRAMP Moderate MP-5 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0
Hantera transport av tillgångar CMA_0370 – Hantera transport av tillgångar Manuell, inaktiverad 1.1.0

Kryptografiskt skydd

ID: FedRAMP Moderate MP-5 (4) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0
Hantera transport av tillgångar CMA_0370 – Hantera transport av tillgångar Manuell, inaktiverad 1.1.0

Mediesanering

ID: FedRAMP Moderate MP-6 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Använda en mekanism för mediesanering CMA_0208 – Använda en mekanism för mediesanering Manuell, inaktiverad 1.1.0
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0

Utrustningstestning

ID: FedRAMP Moderate MP-6 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Använda en mekanism för mediesanering CMA_0208 – Använda en mekanism för mediesanering Manuell, inaktiverad 1.1.0
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0

Medieanvändning

ID: FedRAMP Moderate MP-7 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Blockera ej betrodda och osignerade processer som körs från USB CMA_0050 – Blockera obetrodda och osignerade processer som körs från USB Manuell, inaktiverad 1.1.0
Kontrollera användningen av bärbara lagringsenheter CMA_0083 – Styra användningen av bärbara lagringsenheter Manuell, inaktiverad 1.1.0
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0
Begränsa medieanvändning CMA_0450 – Begränsa medieanvändning Manuell, inaktiverad 1.1.0

Förhindra användning utan ägare

ID: FedRAMP Moderate MP-7 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Blockera ej betrodda och osignerade processer som körs från USB CMA_0050 – Blockera obetrodda och osignerade processer som körs från USB Manuell, inaktiverad 1.1.0
Kontrollera användningen av bärbara lagringsenheter CMA_0083 – Styra användningen av bärbara lagringsenheter Manuell, inaktiverad 1.1.0
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0
Begränsa medieanvändning CMA_0450 – Begränsa medieanvändning Manuell, inaktiverad 1.1.0

Fysiskt och miljöskydd

Politik och förfaranden för fysiskt och miljöskydd

ID: FedRAMP Moderate PE-1 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera fysiska och miljömässiga principer och procedurer CMA_C1446 – Granska och uppdatera fysiska och miljömässiga principer och förfaranden Manuell, inaktiverad 1.1.0

Auktoriseringar för fysisk åtkomst

ID: FedRAMP Måttlig PE-2-ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera fysisk åtkomst CMA_0081 – Kontrollera fysisk åtkomst Manuell, inaktiverad 1.1.0

Fysisk åtkomstkontroll

ID: FedRAMP Moderate PE-3 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera fysisk åtkomst CMA_0081 – Kontrollera fysisk åtkomst Manuell, inaktiverad 1.1.0
Definiera en process för hantering av fysiska nycklar CMA_0115 – Definiera en process för hantering av fysiska nycklar Manuell, inaktiverad 1.1.0
Upprätta och underhålla en tillgångsinventering CMA_0266 – Upprätta och underhålla en tillgångsinventering Manuell, inaktiverad 1.1.0
Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden CMA_0323 – Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden Manuell, inaktiverad 1.1.0

Åtkomstkontroll för överföringsmedium

ID: FedRAMP Moderate PE-4 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera fysisk åtkomst CMA_0081 – Kontrollera fysisk åtkomst Manuell, inaktiverad 1.1.0
Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden CMA_0323 – Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden Manuell, inaktiverad 1.1.0

Åtkomstkontroll för utdataenheter

ID: FedRAMP Moderate PE-5 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera fysisk åtkomst CMA_0081 – Kontrollera fysisk åtkomst Manuell, inaktiverad 1.1.0
Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden CMA_0323 – Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden Manuell, inaktiverad 1.1.0
Hantera indata, utdata, bearbetning och lagring av data CMA_0369 – Hantera indata, utdata, bearbetning och lagring av data Manuell, inaktiverad 1.1.0

Intrångslarm/övervakningsutrustning

ID: FedRAMP Moderate PE-6 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Installera ett larmsystem CMA_0338 – Installera ett larmsystem Manuell, inaktiverad 1.1.0
Hantera ett säkert övervakningskamerasystem CMA_0354 – Hantera ett säkert övervakningskamerasystem Manuell, inaktiverad 1.1.0

Besökaråtkomstposter

ID: FedRAMP Moderate PE-8 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera fysisk åtkomst CMA_0081 – Kontrollera fysisk åtkomst Manuell, inaktiverad 1.1.0
Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden CMA_0323 – Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden Manuell, inaktiverad 1.1.0

Nödbelysning

ID: FedRAMP Moderate PE-12 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Använda automatisk nödbelysning CMA_0209 – Använda automatisk nödbelysning Manuell, inaktiverad 1.1.0

Brandskydd

ID: FedRAMP Moderate PE-13 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden CMA_0323 – Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden Manuell, inaktiverad 1.1.0

Undertryckningsenheter/system

ID: FedRAMP Moderate PE-13 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden CMA_0323 – Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden Manuell, inaktiverad 1.1.0

Automatisk undertryckning av brand

ID: FedRAMP Måttlig PE-13 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden CMA_0323 – Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden Manuell, inaktiverad 1.1.0

Temperatur- och luftfuktighetskontroller

ID: FedRAMP Moderate PE-14 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden CMA_0323 – Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden Manuell, inaktiverad 1.1.0

Övervakning med larm/meddelanden

ID: FedRAMP Moderate PE-14 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden CMA_0323 – Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden Manuell, inaktiverad 1.1.0
Installera ett larmsystem CMA_0338 – Installera ett larmsystem Manuell, inaktiverad 1.1.0

Skydd mot vattenskador

ID: FedRAMP Moderate PE-15 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden CMA_0323 – Implementera fysisk säkerhet för kontor, arbetsytor och säkra områden Manuell, inaktiverad 1.1.0

Leverans och borttagning

ID: FedRAMP Moderate PE-16 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Definiera krav för att hantera tillgångar CMA_0125 – Definiera krav för hantering av tillgångar Manuell, inaktiverad 1.1.0
Hantera transport av tillgångar CMA_0370 – Hantera transport av tillgångar Manuell, inaktiverad 1.1.0

Alternativ arbetswebbplats

ID: FedRAMP Moderate PE-17 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera kontroller för att skydda alternativa arbetsplatser CMA_0315 – Implementera kontroller för att skydda alternativa arbetsplatser Manuell, inaktiverad 1.1.0

Planerad

Policy och procedurer för säkerhetsplanering

ID: FedRAMP Moderate PL-1 Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera planeringsprinciper och procedurer CMA_C1491 – Granska och uppdatera planeringsprinciper och procedurer Manuell, inaktiverad 1.1.0

Systemsäkerhetsplan

ID: FedRAMP Moderate PL-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utveckla och upprätta en systemsäkerhetsplan CMA_0151 – Utveckla och upprätta en systemsäkerhetsplan Manuell, inaktiverad 1.1.0
Utveckla principer och procedurer för informationssäkerhet CMA_0158 – Utveckla principer och procedurer för informationssäkerhet Manuell, inaktiverad 1.1.0
Utveckla SSP som uppfyller kriterierna CMA_C1492 – Utveckla SSP som uppfyller kriterierna Manuell, inaktiverad 1.1.0
Upprätta ett sekretessprogram CMA_0257 – Upprätta ett sekretessprogram Manuell, inaktiverad 1.1.0
Upprätta säkerhetskrav för tillverkning av anslutna enheter CMA_0279 – Fastställa säkerhetskrav för tillverkning av anslutna enheter Manuell, inaktiverad 1.1.0
Implementera säkerhetstekniska principer för informationssystem CMA_0325 – Implementera säkerhetstekniska principer för informationssystem Manuell, inaktiverad 1.1.0

Planera/samordna med andra organisationsentiteter

ID: FedRAMP Moderate PL-2 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utveckla och upprätta en systemsäkerhetsplan CMA_0151 – Utveckla och upprätta en systemsäkerhetsplan Manuell, inaktiverad 1.1.0
Upprätta säkerhetskrav för tillverkning av anslutna enheter CMA_0279 – Fastställa säkerhetskrav för tillverkning av anslutna enheter Manuell, inaktiverad 1.1.0
Implementera säkerhetstekniska principer för informationssystem CMA_0325 – Implementera säkerhetstekniska principer för informationssystem Manuell, inaktiverad 1.1.0

Beteenderegler

ID: FedRAMP Moderate PL-4 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utveckla principer och procedurer för godtagbar användning CMA_0143 – Utveckla principer och procedurer för godtagbar användning Manuell, inaktiverad 1.1.0
Utveckla organisationens policy för uppförandekod CMA_0159 – Utveckla organisationens uppförandekod Manuell, inaktiverad 1.1.0
Dokumentera personalens godkännande av sekretesskrav CMA_0193 – Dokumentera personalens godkännande av sekretesskrav Manuell, inaktiverad 1.1.0
Framtvinga regler för beteende- och åtkomstavtal CMA_0248 – Framtvinga regler för beteende- och åtkomstavtal Manuell, inaktiverad 1.1.0
Förbjuda illojala metoder CMA_0396 – Förbjuda otillbörliga metoder Manuell, inaktiverad 1.1.0
Granska och signera ändrade beteenderegler CMA_0465 – Granska och underteckna ändrade beteenderegler Manuell, inaktiverad 1.1.0
Uppdatera säkerhetsprinciper för information CMA_0518 – Uppdatera säkerhetsprinciper för information Manuell, inaktiverad 1.1.0
Uppdatera regler för beteende- och åtkomstavtal CMA_0521 – Uppdatera regler för beteende- och åtkomstavtal Manuell, inaktiverad 1.1.0
Uppdatera regler för beteende och åtkomstavtal vart tredje år CMA_0522 – Uppdatera regler för beteende- och åtkomstavtal vart tredje år Manuell, inaktiverad 1.1.0

Begränsningar för sociala medier och nätverk

ID: FedRAMP Moderate PL-4 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utveckla principer och procedurer för godtagbar användning CMA_0143 – Utveckla principer och procedurer för godtagbar användning Manuell, inaktiverad 1.1.0

Arkitektur för informationssäkerhet

ID: FedRAMP Moderate PL-8 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utveckla ett driftskoncept (CONOPS) CMA_0141 – Utveckla ett verksamhetsbegrepp (CONOPS) Manuell, inaktiverad 1.1.0
Granska och uppdatera informationssäkerhetsarkitekturen CMA_C1504 – Granska och uppdatera informationssäkerhetsarkitekturen Manuell, inaktiverad 1.1.0

Personalsäkerhet

Policy och procedurer för personalsäkerhet

ID: FedRAMP Moderate PS-1 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera säkerhetsprinciper och procedurer för personalsäkerhet CMA_C1507 – Granska och uppdatera säkerhetsprinciper och procedurer för personalsäkerhet Manuell, inaktiverad 1.1.0

Placeringsriskbeteckning

ID: FedRAMP Moderate PS-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Tilldela riskbeteckningar CMA_0016 – Tilldela riskbeteckningar Manuell, inaktiverad 1.1.0

Personalkontroll

ID: FedRAMP Måttlig PS-3-ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Rensa personal med tillgång till sekretessbelagd information CMA_0054 – Rensa personal med tillgång till sekretessbelagd information Manuell, inaktiverad 1.1.0
Implementera personalkontroll CMA_0322 – Implementera personalkontroll Manuell, inaktiverad 1.1.0
Omskärma individer med en definierad frekvens CMA_C1512 – Omskärma individer med en definierad frekvens Manuell, inaktiverad 1.1.0

Information med särskilda skyddsåtgärder

ID: FedRAMP Moderate PS-3 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Skydda särskild information CMA_0409 – Skydda särskild information Manuell, inaktiverad 1.1.0

Personalavslut

ID: FedRAMP Måttlig PS-4-ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Genomför exit-intervju vid uppsägning CMA_0058 - Genomföra exit intervju vid uppsägning Manuell, inaktiverad 1.1.0
Inaktivera autentiserare vid avslutning CMA_0169 – Inaktivera autentisering vid avslutning Manuell, inaktiverad 1.1.0
Meddela vid uppsägning eller överföring CMA_0381 – Meddela vid uppsägning eller överföring Manuell, inaktiverad 1.1.0
Skydda mot och förhindra datastöld från avgående anställda CMA_0398 – Skydda mot och förhindra datastöld från avgående anställda Manuell, inaktiverad 1.1.0
Behålla avslutade användardata CMA_0455 – Behåll avslutade användardata Manuell, inaktiverad 1.1.0

Personalöverföring

ID: FedRAMP Moderate PS-5 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Initiera överförings- eller omtilldelningsåtgärder CMA_0333 – Initiera överförings- eller omtilldelningsåtgärder Manuell, inaktiverad 1.1.0
Ändra åtkomstauktoriseringar vid personalöverföring CMA_0374 – Ändra åtkomstauktoriseringar vid personalöverföring Manuell, inaktiverad 1.1.0
Meddela vid uppsägning eller överföring CMA_0381 – Meddela vid uppsägning eller överföring Manuell, inaktiverad 1.1.0
Omvärdera åtkomst vid personalöverföring CMA_0424 – Omvärdera åtkomst vid personalöverföring Manuell, inaktiverad 1.1.0

Åtkomstavtal

ID: FedRAMP Moderate PS-6 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dokumentera organisationens åtkomstavtal CMA_0192 – Dokumentera organisationsåtkomstavtal Manuell, inaktiverad 1.1.0
Framtvinga regler för beteende- och åtkomstavtal CMA_0248 – Framtvinga regler för beteende- och åtkomstavtal Manuell, inaktiverad 1.1.0
Se till att åtkomstavtal undertecknas eller avsags i tid CMA_C1528 – Se till att åtkomstavtal undertecknas eller avsägs i tid Manuell, inaktiverad 1.1.0
Kräv att användare signerar åtkomstavtal CMA_0440 – Kräv att användare signerar åtkomstavtal Manuell, inaktiverad 1.1.0
Uppdatera organisationens åtkomstavtal CMA_0520 – Uppdatera organisationens åtkomstavtal Manuell, inaktiverad 1.1.0

Personalsäkerhet från tredje part

ID: FedRAMP Moderate PS-7 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dokumentera säkerhetskrav för personal från tredje part CMA_C1531 – Dokumentera säkerhetskrav för tredje part Manuell, inaktiverad 1.1.0
Upprätta säkerhetskrav för personal från tredje part CMA_C1529 – Upprätta säkerhetskrav för tredje part Manuell, inaktiverad 1.1.0
Övervaka tredjepartsleverantörsefterlevnad CMA_C1533 – Övervaka tredjepartsleverantörsefterlevnad Manuell, inaktiverad 1.1.0
Kräv meddelande om överföring eller uppsägning av personal från tredje part CMA_C1532 – Kräv meddelande om överföring eller uppsägning av personal från tredje part Manuell, inaktiverad 1.1.0
Kräv att tredjepartsleverantörer följer personalsäkerhetsprinciper och -procedurer CMA_C1530 – Kräv att tredjepartsleverantörer följer säkerhetsprinciper och procedurer för personal Manuell, inaktiverad 1.1.0

Personalpåföljder

ID: FedRAMP Moderate PS-8 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera formell sanktionsprocess CMA_0317 – Genomföra formell sanktionsprocess Manuell, inaktiverad 1.1.0
Meddela personalen om sanktioner CMA_0380 – Meddela personalen om sanktioner Manuell, inaktiverad 1.1.0

Riskbedömning

Policy och procedurer för riskbedömning

ID: FedRAMP Moderate RA-1 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera principer och procedurer för riskbedömning CMA_C1537 – Granska och uppdatera principer och förfaranden för riskbedömning Manuell, inaktiverad 1.1.0

Säkerhetskategorisering

ID: FedRAMP Moderate RA-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kategorisera information CMA_0052 – Kategorisera information Manuell, inaktiverad 1.1.0
Utveckla affärsklassificeringsscheman CMA_0155 – Utveckla affärsklassificeringssystem Manuell, inaktiverad 1.1.0
Se till att säkerhetskategorisering är godkänd CMA_C1540 – Se till att säkerhetskategorisering godkänns Manuell, inaktiverad 1.1.0
Granska etikettaktivitet och analys CMA_0474 – Granska etikettaktivitet och analys Manuell, inaktiverad 1.1.0

Riskbedömning

ID: FedRAMP Moderate RA-3 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Genomföra riskbedömning CMA_C1543 – Genomföra riskbedömning Manuell, inaktiverad 1.1.0
Genomför riskbedömning och distribuera resultaten CMA_C1544 – Genomföra riskbedömning och distribuera resultaten Manuell, inaktiverad 1.1.0
Genomföra riskbedömning och dokumentera resultaten CMA_C1542 – Genomföra riskbedömning och dokumentera resultaten Manuell, inaktiverad 1.1.0
Utföra en riskbedömning CMA_0388 – Utföra en riskbedömning Manuell, inaktiverad 1.1.0

Sårbarhetsgenomsökning

ID: FedRAMP Moderate RA-5 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
En lösning för sårbarhetsbedömning ska vara aktiverad på dina virtuella datorer Granskar virtuella datorer för att identifiera om de kör en lösning för sårbarhetsbedömning som stöds. En viktig komponent i varje cyberrisk- och säkerhetsprogram är identifiering och analys av sårbarheter. Azure Security Centers standardprisnivå innehåller sårbarhetsgenomsökning för dina virtuella datorer utan extra kostnad. Dessutom kan Security Center automatiskt distribuera det här verktyget åt dig. AuditIfNotExists, inaktiverad 3.0.0
Azure Defender för App Service ska vara aktiverat Azure Defender för App Service utnyttjar molnets skala och den synlighet som Azure har som molnleverantör för att övervaka vanliga webbappattacker. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Azure SQL Database-servrar ska vara aktiverade Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för Key Vault ska vara aktiverat Azure Defender för Key Vault ger ytterligare ett lager av skydd och säkerhetsinformation genom att identifiera ovanliga och potentiellt skadliga försök att komma åt eller utnyttja key vault-konton. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Resource Manager ska vara aktiverat Azure Defender för Resource Manager övervakar automatiskt resurshanteringsåtgärderna i din organisation. Azure Defender identifierar hot och varnar dig om misstänkt aktivitet. Läs mer om funktionerna i Azure Defender för Resource Manager på https://aka.ms/defender-for-resource-manager . Om du aktiverar den här Azure Defender-planen resulterar det i avgifter. Läs mer om prisinformationen per region på Security Centers prissida: https://aka.ms/pricing-security-center . AuditIfNotExists, inaktiverad 1.0.0
Azure Defender för servrar ska vara aktiverat Azure Defender för servrar ger skydd mot hot i realtid för serverarbetsbelastningar och genererar härdningsrekommendationer samt aviseringar om misstänkta aktiviteter. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för SQL-servrar på datorer ska vara aktiverat Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för SQL ska vara aktiverat för oskyddade Azure SQL-servrar Granska SQL-servrar utan Advanced Data Security AuditIfNotExists, inaktiverad 2.0.1
Azure Defender för SQL ska vara aktiverat för oskyddade SQL Managed Instances Granska varje SQL Managed Instance utan avancerad datasäkerhet. AuditIfNotExists, inaktiverad 1.0.2
Microsoft Defender för containrar ska vara aktiverat Microsoft Defender för containrar ger härdning, sårbarhetsbedömning och körningsskydd för dina Azure-, hybrid- och kubernetes-miljöer i flera moln. AuditIfNotExists, inaktiverad 1.0.0
Microsoft Defender för Storage ska vara aktiverat Microsoft Defender för Storage identifierar potentiella hot mot dina lagringskonton. Det hjälper till att förhindra de tre stora effekterna på dina data och din arbetsbelastning: skadliga filuppladdningar, exfiltrering av känsliga data och skadade data. Den nya Defender for Storage-planen innehåller skanning av skadlig kod och hotidentifiering av känsliga data. Den här planen ger också en förutsägbar prisstruktur (per lagringskonto) för kontroll över täckning och kostnader. AuditIfNotExists, inaktiverad 1.0.0
Utföra sårbarhetsgenomsökningar CMA_0393 – Utföra sårbarhetsgenomsökningar Manuell, inaktiverad 1.1.0
Åtgärda fel i informationssystemet CMA_0427 – Åtgärda fel i informationssystemet Manuell, inaktiverad 1.1.0
SQL-databaser bör lösa sårbarhetsresultat Övervaka resultat av sårbarhetsbedömningsgenomsökning och rekommendationer för hur du åtgärdar sårbarheter i databasen. AuditIfNotExists, inaktiverad 4.1.0
SQL-servrar på datorer bör ha sårbarhetsresultat lösta SQL-sårbarhetsbedömning söker igenom databasen efter säkerhetsrisker och exponerar eventuella avvikelser från bästa praxis, till exempel felkonfigurationer, överdrivna behörigheter och oskyddade känsliga data. Att lösa de sårbarheter som hittas kan avsevärt förbättra databasens säkerhetsstatus. AuditIfNotExists, inaktiverad 1.0.0
Säkerhetsrisker i säkerhetskonfigurationen på dina datorer bör åtgärdas Servrar som inte uppfyller den konfigurerade baslinjen övervakas av Azure Security Center som rekommendationer AuditIfNotExists, inaktiverad 3.1.0
Sårbarhetsbedömning ska aktiveras på SQL Managed Instance Granska varje SQL Managed Instance som inte har återkommande sårbarhetsbedömningsgenomsökningar aktiverade. Sårbarhetsbedömning kan identifiera, spåra och hjälpa dig att åtgärda potentiella sårbarheter i databasen. AuditIfNotExists, inaktiverad 1.0.1
Sårbarhetsbedömning bör aktiveras på dina SQL-servrar Granska Azure SQL-servrar som inte har en korrekt konfigurerad sårbarhetsbedömning. Sårbarhetsbedömning kan identifiera, spåra och hjälpa dig att åtgärda potentiella sårbarheter i databasen. AuditIfNotExists, inaktiverad 3.0.0
Sårbarhetsbedömning ska aktiveras på dina Synapse-arbetsytor Identifiera, spåra och åtgärda potentiella säkerhetsrisker genom att konfigurera återkommande genomsökningar av SQL-sårbarhetsbedömningar på dina Synapse-arbetsytor. AuditIfNotExists, inaktiverad 1.0.0

Uppdateringsverktygsfunktion

ID: FedRAMP Moderate RA-5 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utföra sårbarhetsgenomsökningar CMA_0393 – Utföra sårbarhetsgenomsökningar Manuell, inaktiverad 1.1.0
Åtgärda fel i informationssystemet CMA_0427 – Åtgärda fel i informationssystemet Manuell, inaktiverad 1.1.0

Uppdatera efter frekvens/före ny genomsökning/när den identifieras

ID: FedRAMP Moderate RA-5 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utföra sårbarhetsgenomsökningar CMA_0393 – Utföra sårbarhetsgenomsökningar Manuell, inaktiverad 1.1.0
Åtgärda fel i informationssystemet CMA_0427 – Åtgärda fel i informationssystemet Manuell, inaktiverad 1.1.0

Bredd/täckningsdjup

ID: FedRAMP Moderate RA-5 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utföra sårbarhetsgenomsökningar CMA_0393 – Utföra sårbarhetsgenomsökningar Manuell, inaktiverad 1.1.0
Åtgärda fel i informationssystemet CMA_0427 – Åtgärda fel i informationssystemet Manuell, inaktiverad 1.1.0

Privilegierad åtkomst

ID: FedRAMP Moderate RA-5 (5) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera privilegierad åtkomst för att köra aktiviteter för sårbarhetsgenomsökning CMA_C1555 – Implementera privilegierad åtkomst för körning av sårbarhetsgenomsökningsaktiviteter Manuell, inaktiverad 1.1.0

Automatiserade trendanalyser

ID: FedRAMP Moderate RA-5 (6) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Observera och rapportera säkerhetsbrister CMA_0384 – Observera och rapportera säkerhetsbrister Manuell, inaktiverad 1.1.0
Utföra en trendanalys av hot CMA_0389 – Utföra en trendanalys av hot Manuell, inaktiverad 1.1.0
Utföra hotmodellering CMA_0392 – Utföra hotmodellering Manuell, inaktiverad 1.1.0
Utföra sårbarhetsgenomsökningar CMA_0393 – Utföra sårbarhetsgenomsökningar Manuell, inaktiverad 1.1.0
Åtgärda fel i informationssystemet CMA_0427 – Åtgärda fel i informationssystemet Manuell, inaktiverad 1.1.0

Granska historiska granskningsloggar

ID: FedRAMP Moderate RA-5 (8) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska privilegierade funktioner CMA_0019 – Granska privilegierade funktioner Manuell, inaktiverad 1.1.0
Granska användarkontostatus CMA_0020 – Granska användarkontostatus Manuell, inaktiverad 1.1.0
Korrelera granskningsposter CMA_0087 – Korrelera granskningsposter Manuell, inaktiverad 1.1.0
Fastställa granskningsbara händelser CMA_0137 – Fastställa granskningsbara händelser Manuell, inaktiverad 1.1.0
Upprätta krav för granskningsgranskning och rapportering CMA_0277 – Upprätta krav för granskning och rapportering Manuell, inaktiverad 1.1.0
Integrera granskning, analys och rapportering CMA_0339 – Integrera granskning, analys och rapportering Manuell, inaktiverad 1.1.0
Integrera molnappsäkerhet med en siem CMA_0340 – Integrera molnappsäkerhet med en siem Manuell, inaktiverad 1.1.0
Granska kontoetableringsloggar CMA_0460 – Granska kontoetableringsloggar Manuell, inaktiverad 1.1.0
Granska administratörstilldelningar varje vecka CMA_0461 – Granska administratörstilldelningar varje vecka Manuell, inaktiverad 1.1.0
Granska granskningsdata CMA_0466 – Granska granskningsdata Manuell, inaktiverad 1.1.0
Översikt över molnidentitetsrapport CMA_0468 – Granska översikt över molnidentitetsrapport Manuell, inaktiverad 1.1.0
Granska kontrollerade mappåtkomsthändelser CMA_0471 – Granska kontrollerade mappåtkomsthändelser Manuell, inaktiverad 1.1.0
Granska exploateringsskyddshändelser CMA_0472 – Granska händelser för exploateringsskydd Manuell, inaktiverad 1.1.0
Granska fil- och mappaktivitet CMA_0473 – Granska fil- och mappaktivitet Manuell, inaktiverad 1.1.0
Granska ändringar i rollgrupper varje vecka CMA_0476 – Granska ändringar i rollgruppen varje vecka Manuell, inaktiverad 1.1.0

Förvärv av system och tjänster

Policy och procedurer för förvärv av system och tjänster

ID: FedRAMP Moderate SA-1 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera principer och procedurer för system- och tjänsteförvärv CMA_C1560 – Granska och uppdatera principer och procedurer för system- och tjänsteförvärv Manuell, inaktiverad 1.1.0

Allokering av resurser

ID: FedRAMP Moderate SA-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Anpassa affärsmål och IT-mål CMA_0008 – Anpassa affärsmål och IT-mål Manuell, inaktiverad 1.1.0
Allokera resurser för att fastställa informationssystemkrav CMA_C1561 – Allokera resurser för att fastställa informationssystemkrav Manuell, inaktiverad 1.1.0
Upprätta en diskret radpost i budgeteringsdokumentationen CMA_C1563 – Upprätta ett diskret radobjekt i budgeteringsdokumentationen Manuell, inaktiverad 1.1.0
Upprätta ett sekretessprogram CMA_0257 – Upprätta ett sekretessprogram Manuell, inaktiverad 1.1.0
Styra allokeringen av resurser CMA_0293 – Styra resursallokeringen Manuell, inaktiverad 1.1.0
Skydda engagemang från ledningen CMA_0489 – Säkert engagemang från ledningen Manuell, inaktiverad 1.1.0

Livscykel för systemutveckling

ID: FedRAMP Moderate SA-3 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Definiera informationssäkerhetsroller och ansvarsområden CMA_C1565 – Definiera säkerhetsroller och ansvarsområden för information Manuell, inaktiverad 1.1.0
Identifiera personer med säkerhetsroller och ansvarsområden CMA_C1566 – Identifiera personer med säkerhetsroller och ansvarsområden Manuell, inaktiverad 1.1.1
Integrera riskhanteringsprocessen i SDLC CMA_C1567 – Integrera riskhanteringsprocessen i SDLC Manuell, inaktiverad 1.1.0

Förvärvsprocess

ID: FedRAMP Moderate SA-4 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Fastställa leverantörskontraktsförpliktelser CMA_0140 – Fastställa leverantörskontraktsförpliktelser Manuell, inaktiverad 1.1.0
Kriterier för godkännande av dokumentförvärvskontrakt CMA_0187 – Kriterier för godkännande av dokumentförvärvskontrakt Manuell, inaktiverad 1.1.0
Dokumentskydd av personuppgifter i förvärvsavtal CMA_0194 – Dokumentskydd av personuppgifter i förvärvsavtal Manuell, inaktiverad 1.1.0
Dokumentera skydd av säkerhetsinformation i förvärvsavtal CMA_0195 – Dokumentskydd av säkerhetsinformation i förvärvsavtal Manuell, inaktiverad 1.1.0
Dokumentkrav för användning av delade data i kontrakt CMA_0197 – Dokumentkrav för användning av delade data i kontrakt Manuell, inaktiverad 1.1.0
Dokumentera säkerhetskrav i förvärvskontrakt CMA_0199 – Dokumentera säkerhetskrav i förvärvskontrakt Manuell, inaktiverad 1.1.0
Dokumentsäkerhetsdokumentationskrav i förvärvskontrakt CMA_0200 – Dokumentera krav på säkerhetsdokumentation i förvärvskontrakt Manuell, inaktiverad 1.1.0
Dokumentera funktionskrav för säkerhet i förvärvskontrakt CMA_0201 – Dokumentera säkerhetsfunktionskrav i förvärvskontrakt Manuell, inaktiverad 1.1.0
Dokumentera krav på säkerhetsstyrka i förvärvskontrakt CMA_0203 – Dokumentera krav på säkerhetsstyrka i förvärvskontrakt Manuell, inaktiverad 1.1.0
Dokumentera informationssystemmiljön i förvärvskontrakt CMA_0205 – Dokumentera informationssystemmiljön i förvärvskontrakt Manuell, inaktiverad 1.1.0
Dokumentera skyddet av korthållardata i kontrakt från tredje part CMA_0207 – Dokumentera skyddet av korthållardata i tredjepartskontrakt Manuell, inaktiverad 1.1.0

Funktionella egenskaper för säkerhetskontroller

ID: FedRAMP Moderate SA-4 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Hämta funktionella egenskaper för säkerhetskontroller CMA_C1575 – Hämta funktionella egenskaper för säkerhetskontroller Manuell, inaktiverad 1.1.0

Design-/implementeringsinformation för säkerhetskontroller

ID: FedRAMP Moderate SA-4 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Hämta design- och implementeringsinformation för säkerhetskontrollerna CMA_C1576 – Hämta information om design och implementering för säkerhetskontrollerna Manuell, inaktiverad 1.1.1

Plan för kontinuerlig övervakning

ID: FedRAMP Moderate SA-4 (8) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Hämta en plan för kontinuerlig övervakning för säkerhetskontroller CMA_C1577 – Få en kontinuerlig övervakningsplan för säkerhetskontroller Manuell, inaktiverad 1.1.0

Funktioner/portar/protokoll/Tjänster som används

ID: FedRAMP Moderate SA-4 (9) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kräv att utvecklaren identifierar SDLC-portar, protokoll och tjänster CMA_C1578 – Kräv att utvecklaren identifierar SDLC-portar, protokoll och tjänster Manuell, inaktiverad 1.1.0

Användning av godkända Piv-produkter

ID: FedRAMP Moderate SA-4 (10) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Använda FIPS 201-godkänd teknik för PIV CMA_C1579 – Använda FIPS 201-godkänd teknik för PIV Manuell, inaktiverad 1.1.0

Dokumentation om informationssystem

ID: FedRAMP Moderate SA-5 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Distribuera dokumentation om informationssystem CMA_C1584 – Distribuera dokumentation om informationssystem Manuell, inaktiverad 1.1.0
Dokumentera kunddefinierade åtgärder CMA_C1582 – Dokumentera kunddefinierade åtgärder Manuell, inaktiverad 1.1.0
Hämta administratörsdokumentation CMA_C1580 – Hämta administratörsdokumentation Manuell, inaktiverad 1.1.0
Hämta dokumentation om användarsäkerhetsfunktionen CMA_C1581 – Hämta dokumentation om användarsäkerhetsfunktionen Manuell, inaktiverad 1.1.0
Skydda administratörs- och användardokumentation CMA_C1583 – Skydda administratörs- och användardokumentation Manuell, inaktiverad 1.1.0

Tjänster för externt informationssystem

ID: FedRAMP Moderate SA-9 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Definiera och dokumentera myndighetstillsyn CMA_C1587 – Definiera och dokumentera myndighetstillsyn Manuell, inaktiverad 1.1.0
Kräv att externa tjänstleverantörer uppfyller säkerhetskraven CMA_C1586 – Kräv att externa tjänstleverantörer uppfyller säkerhetskraven Manuell, inaktiverad 1.1.0
Granska molntjänstleverantörens efterlevnad av principer och avtal CMA_0469 – Granska molntjänstleverantörens efterlevnad av principer och avtal Manuell, inaktiverad 1.1.0
Genomgå oberoende säkerhetsgranskning CMA_0515 – Genomgå oberoende säkerhetsgranskning Manuell, inaktiverad 1.1.0

Riskbedömningar/organisationsgodkännanden

ID: FedRAMP Moderate SA-9 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utvärdera risker i relationer från tredje part CMA_0014 – Utvärdera risker i relationer från tredje part Manuell, inaktiverad 1.1.0
Få godkännanden för förvärv och outsourcing CMA_C1590 – Få godkännanden för förvärv och outsourcing Manuell, inaktiverad 1.1.0

Identifiering av funktioner/portar/protokoll/tjänster

ID: FedRAMP Moderate SA-9 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Identifiera externa tjänstleverantörer CMA_C1591 – Identifiera externa tjänstleverantörer Manuell, inaktiverad 1.1.0

Konsekventa intressen för konsumenter och leverantörer

ID: FedRAMP Moderate SA-9 (4) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Se till att externa leverantörer konsekvent uppfyller kundernas intressen CMA_C1592 – Se till att externa leverantörer konsekvent uppfyller kundernas intressen Manuell, inaktiverad 1.1.0

Bearbetning, lagring och tjänstplats

ID: FedRAMP Moderate SA-9 (5) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Begränsa platsen för informationsbearbetning, lagring och tjänster CMA_C1593 – Begränsa platsen för informationsbearbetning, lagring och tjänster Manuell, inaktiverad 1.1.0

Konfigurationshantering för utvecklare

ID: FedRAMP Moderate SA-10 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Åtgärda säkerhetsrisker för kodning CMA_0003 – Åtgärda säkerhetsrisker för kodning Manuell, inaktiverad 1.1.0
Utveckla och dokumentera programsäkerhetskrav CMA_0148 – Utveckla och dokumentera programsäkerhetskrav Manuell, inaktiverad 1.1.0
Dokumentera informationssystemmiljön i förvärvskontrakt CMA_0205 – Dokumentera informationssystemmiljön i förvärvskontrakt Manuell, inaktiverad 1.1.0
Upprätta ett säkert program för programutveckling CMA_0259 – Upprätta ett säkert program för programvaruutveckling Manuell, inaktiverad 1.1.0
Utföra sårbarhetsgenomsökningar CMA_0393 – Utföra sårbarhetsgenomsökningar Manuell, inaktiverad 1.1.0
Åtgärda fel i informationssystemet CMA_0427 – Åtgärda fel i informationssystemet Manuell, inaktiverad 1.1.0
Kräv att utvecklare dokumenterar godkända ändringar och potentiell påverkan CMA_C1597 – Kräv att utvecklare dokumenterar godkända ändringar och potentiell påverkan Manuell, inaktiverad 1.1.0
Kräv att utvecklare endast implementerar godkända ändringar CMA_C1596 – Kräv att utvecklare endast implementerar godkända ändringar Manuell, inaktiverad 1.1.0
Kräv att utvecklare hanterar ändringsintegritet CMA_C1595 – Kräv att utvecklare hanterar ändringsintegritet Manuell, inaktiverad 1.1.0

Integritetsverifiering av programvara/inbyggd programvara

ID: FedRAMP Moderate SA-10 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Verifiera programvara, inbyggd programvara och informationsintegritet CMA_0542 – Verifiera programvara, inbyggd programvara och informationsintegritet Manuell, inaktiverad 1.1.0

Säkerhetstestning och utvärdering för utvecklare

ID: FedRAMP Moderate SA-11 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utföra sårbarhetsgenomsökningar CMA_0393 – Utföra sårbarhetsgenomsökningar Manuell, inaktiverad 1.1.0
Åtgärda fel i informationssystemet CMA_0427 – Åtgärda fel i informationssystemet Manuell, inaktiverad 1.1.0
Kräv att utvecklare ska ta fram bevis för körning av säkerhetsbedömningsplan CMA_C1602 – Kräv att utvecklare skapar bevis för körning av säkerhetsbedömningsplan Manuell, inaktiverad 1.1.0

System- och kommunikationsskydd

Principer och procedurer för system- och kommunikationsskydd

ID: FedRAMP Moderate SC-1 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera principer och procedurer för system- och kommunikationsskydd CMA_C1616 – Granska och uppdatera principer och procedurer för system- och kommunikationsskydd Manuell, inaktiverad 1.1.0

Programpartitionering

ID: FedRAMP Moderate SC-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Auktorisera fjärråtkomst CMA_0024 – Auktorisera fjärråtkomst Manuell, inaktiverad 1.1.0
Separata funktioner för hantering av användar- och informationssystem CMA_0493 – Separata funktioner för hantering av användar- och informationssystem Manuell, inaktiverad 1.1.0
Använda dedikerade datorer för administrativa uppgifter CMA_0527 – Använda dedikerade datorer för administrativa uppgifter Manuell, inaktiverad 1.1.0

Överbelastningsskydd

ID: FedRAMP Moderate SC-5 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Azure DDoS Protection ska vara aktiverat DDoS-skydd ska vara aktiverat för alla virtuella nätverk med ett undernät som ingår i en programgateway med en offentlig IP-adress. AuditIfNotExists, inaktiverad 3.0.1
Azure Web Application Firewall ska vara aktiverat för Azure Front Door-startpunkter Distribuera Azure Web Application Firewall (WAF) framför offentliga webbprogram för ytterligare kontroll av inkommande trafik. Web Application Firewall (WAF) ger ett centraliserat skydd av dina webbprogram mot vanliga sårbarheter som SQL-inmatningar, skript mellan webbplatser, lokala och fjärranslutna filkörningar. Du kan också begränsa åtkomsten till dina webbprogram efter länder, IP-adressintervall och andra http-parametrar via anpassade regler. Granska, neka, inaktiverad 1.0.2
Utveckla och dokumentera en DDoS-svarsplan CMA_0147 – Utveckla och dokumentera en DDoS-svarsplan Manuell, inaktiverad 1.1.0
IP-vidarebefordran på den virtuella datorn bör inaktiveras Genom att aktivera IP-vidarebefordran på en virtuell dators nätverkskort kan datorn ta emot trafik som är adresserad till andra mål. IP-vidarebefordran krävs sällan (t.ex. när du använder den virtuella datorn som en virtuell nätverksinstallation), och därför bör detta granskas av nätverkssäkerhetsteamet. AuditIfNotExists, inaktiverad 3.0.0
Brandväggen för webbaserade program (WAF) ska vara aktiverad för Application Gateway Distribuera Azure Web Application Firewall (WAF) framför offentliga webbprogram för ytterligare kontroll av inkommande trafik. Web Application Firewall (WAF) ger ett centraliserat skydd av dina webbprogram mot vanliga sårbarheter som SQL-inmatningar, skript mellan webbplatser, lokala och fjärranslutna filkörningar. Du kan också begränsa åtkomsten till dina webbprogram efter länder, IP-adressintervall och andra http-parametrar via anpassade regler. Granska, neka, inaktiverad 2.0.0

Resurstillgänglighet

ID: FedRAMP Moderate SC-6 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Styra allokeringen av resurser CMA_0293 – Styra resursallokeringen Manuell, inaktiverad 1.1.0
Hantera tillgänglighet och kapacitet CMA_0356 – Hantera tillgänglighet och kapacitet Manuell, inaktiverad 1.1.0
Skydda engagemang från ledningen CMA_0489 – Säkert engagemang från ledningen Manuell, inaktiverad 1.1.0

Gränsskydd

ID: FedRAMP Moderate SC-7 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
[Inaktuell]: Azure Cognitive tjänsten Search bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Cognitive Search minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Granskning, inaktiverad 1.0.1-inaktuell
[Inaktuell]: Cognitive Services bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Cognitive Services minskar du risken för dataläckage. Läs mer om privata länkar på: https://go.microsoft.com/fwlink/?linkid=2129800. Granskning, inaktiverad 3.0.1-inaktuell
[Förhandsversion]: All Internettrafik ska dirigeras via din distribuerade Azure Firewall Azure Security Center har upptäckt att vissa av dina undernät inte skyddas med en nästa generations brandvägg. Skydda dina undernät mot potentiella hot genom att begränsa åtkomsten till dem med Azure Firewall eller en nästa generations brandvägg som stöds AuditIfNotExists, inaktiverad 3.0.0-preview
[Förhandsversion]: Offentlig åtkomst till lagringskontot bör inte tillåtas Anonym offentlig läsåtkomst till containrar och blobar i Azure Storage är ett bekvämt sätt att dela data men kan medföra säkerhetsrisker. För att förhindra dataintrång som orsakas av oönstrade anonym åtkomst rekommenderar Microsoft att du förhindrar offentlig åtkomst till ett lagringskonto om inte ditt scenario kräver det. audit, Audit, deny, Deny, disabled, Disabled 3.1.0-preview
Alla nätverksportar bör begränsas för nätverkssäkerhetsgrupper som är associerade med den virtuella datorn Azure Security Center har identifierat att vissa av nätverkssäkerhetsgruppernas regler för inkommande trafik är för tillåtande. Regler för inkommande trafik bör inte tillåta åtkomst från "Alla" eller "Internet"-intervall. Detta kan potentiellt göra det möjligt för angripare att rikta in sig på dina resurser. AuditIfNotExists, inaktiverad 3.0.0
API Management-tjänster bör använda ett virtuellt nätverk Azure Virtual Network-distribution ger förbättrad säkerhet, isolering och gör att du kan placera DIN API Management-tjänst i ett routbart nätverk som inte kan dirigeras via Internet och som du styr åtkomsten till. Dessa nätverk kan sedan anslutas till dina lokala nätverk med hjälp av olika VPN-tekniker, vilket ger åtkomst till dina serverdelstjänster i nätverket och/eller lokalt. Utvecklarportalen och API-gatewayen kan konfigureras för att vara tillgängliga antingen från Internet eller endast i det virtuella nätverket. Granska, neka, inaktiverad 1.0.2
Appkonfiguration bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina appkonfigurationsinstanser i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/appconfig/private-endpoint. AuditIfNotExists, inaktiverad 1.0.2
Auktoriserade IP-intervall ska definieras i Kubernetes Services Begränsa åtkomsten till Kubernetes Service Management-API:et genom att endast ge API-åtkomst till IP-adresser i specifika intervall. Vi rekommenderar att du begränsar åtkomsten till auktoriserade IP-intervall för att säkerställa att endast program från tillåtna nätverk kan komma åt klustret. Granskning, inaktiverad 2.0.1
Azure AI Services-resurser bör begränsa nätverksåtkomsten Genom att begränsa nätverksåtkomsten kan du se till att endast tillåtna nätverk kan komma åt tjänsten. Detta kan uppnås genom att konfigurera nätverksregler så att endast program från tillåtna nätverk kan komma åt Azure AI-tjänsten. Granska, neka, inaktiverad 3.2.0
Azure API för FHIR bör använda privat länk Azure API för FHIR bör ha minst en godkänd privat slutpunktsanslutning. Klienter i ett virtuellt nätverk kan på ett säkert sätt komma åt resurser som har privata slutpunktsanslutningar via privata länkar. Mer information finns i: https://aka.ms/fhir-privatelink. Granskning, inaktiverad 1.0.0
Azure Cache for Redis bör använda privat länk Med privata slutpunkter kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Genom att mappa privata slutpunkter till dina Azure Cache for Redis-instanser minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link. AuditIfNotExists, inaktiverad 1.0.0
Azure Cognitive tjänsten Search bör använda en SKU som stöder privat länk Med SKU:er som stöds i Azure Cognitive Search kan du med Azure Private Link ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din tjänsten Search minskas risken för dataläckage. Läs mer på: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Granska, neka, inaktiverad 1.0.0
Azure Cognitive tjänsten Search s bör inaktivera åtkomst till offentliga nätverk Om du inaktiverar åtkomst till det offentliga nätverket förbättras säkerheten genom att säkerställa att din Azure Cognitive tjänsten Search inte exponeras på det offentliga Internet. Om du skapar privata slutpunkter kan du begränsa exponeringen av dina tjänsten Search. Läs mer på: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Granska, neka, inaktiverad 1.0.0
Azure Cosmos DB-konton ska ha brandväggsregler Brandväggsregler bör definieras på dina Azure Cosmos DB-konton för att förhindra trafik från obehöriga källor. Konton som har minst en IP-regel definierad med det virtuella nätverksfiltret aktiverat anses vara kompatibla. Konton som inaktiverar offentlig åtkomst anses också vara kompatibla. Granska, neka, inaktiverad 2.1.0
Azure Data Factory bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Data Factory minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/data-factory/data-factory-private-link. AuditIfNotExists, inaktiverad 1.0.0
Azure Event Grid-domäner bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din Event Grid-domän i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/privateendpoints. Granskning, inaktiverad 1.0.2
Azure Event Grid-ämnen bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt Event Grid-ämne i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/privateendpoints. Granskning, inaktiverad 1.0.2
Azure File Sync bör använda privat länk När du skapar en privat slutpunkt för den angivna Storage Sync Service-resursen kan du adressera din Storage Sync Service-resurs inifrån det privata IP-adressutrymmet i organisationens nätverk i stället för via den internettillgängliga offentliga slutpunkten. Att skapa en privat slutpunkt av sig själv inaktiverar inte den offentliga slutpunkten. AuditIfNotExists, inaktiverad 1.0.0
Azure Key Vault bör ha brandvägg aktiverat Aktivera key vault-brandväggen så att nyckelvalvet inte är tillgängligt som standard för offentliga IP-adresser. Du kan också konfigurera specifika IP-intervall för att begränsa åtkomsten till dessa nätverk. Läs mer på: https://docs.microsoft.com/azure/key-vault/general/network-security Granska, neka, inaktiverad 3.2.1
Azure Key Vaults bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till nyckelvalvet kan du minska risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/akvprivatelink. [parameters('audit_effect')] 1.2.1
Azure Machine Learning-arbetsytor bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Machine Learning-arbetsytor minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link. Granskning, inaktiverad 1.0.0
Azure Service Bus-namnområden bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Service Bus-namnområden minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service. AuditIfNotExists, inaktiverad 1.0.0
Azure SignalR Service bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din Azure SignalR Service-resurs i stället för hela tjänsten minskar du risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/asrs/privatelink. Granskning, inaktiverad 1.0.0
Azure Synapse-arbetsytor bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Synapse-arbetsytan minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links. Granskning, inaktiverad 1.0.1
Azure Web Application Firewall ska vara aktiverat för Azure Front Door-startpunkter Distribuera Azure Web Application Firewall (WAF) framför offentliga webbprogram för ytterligare kontroll av inkommande trafik. Web Application Firewall (WAF) ger ett centraliserat skydd av dina webbprogram mot vanliga sårbarheter som SQL-inmatningar, skript mellan webbplatser, lokala och fjärranslutna filkörningar. Du kan också begränsa åtkomsten till dina webbprogram efter länder, IP-adressintervall och andra http-parametrar via anpassade regler. Granska, neka, inaktiverad 1.0.2
Azure Web PubSub Service bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Web PubSub Service kan du minska risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/awps/privatelink. Granskning, inaktiverad 1.0.0
Containerregister bör inte tillåta obegränsad nätverksåtkomst Azure-containerregister accepterar som standard anslutningar via Internet från värdar i alla nätverk. Om du vill skydda dina register mot potentiella hot kan du endast tillåta åtkomst från specifika privata slutpunkter, offentliga IP-adresser eller adressintervall. Om ditt register inte har konfigurerat några nätverksregler visas det i de resurser som inte är felfria. Läs mer om containerregisternätverksregler här: https://aka.ms/acr/privatelinkoch https://aka.ms/acr/portal/public-network https://aka.ms/acr/vnet. Granska, neka, inaktiverad 2.0.0
Containerregister bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina containerregister i stället för hela tjänsten skyddas du också mot dataläckagerisker. Läs mer på: https://aka.ms/acr/private-link. Granskning, inaktiverad 1.0.1
CosmosDB-konton bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt CosmosDB-konto minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints. Granskning, inaktiverad 1.0.0
Diskåtkomstresurser bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till diskAccesses minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/disksprivatelinksdoc. AuditIfNotExists, inaktiverad 1.0.0
Event Hub-namnområden bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Event Hub-namnområden minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/event-hubs/private-link-service. AuditIfNotExists, inaktiverad 1.0.0
Implementera systemgränsskydd CMA_0328 – Implementera systemgränsskydd Manuell, inaktiverad 1.1.0
Internetuppkopplade virtuella datorer ska skyddas med nätverkssäkerhetsgrupper Skydda dina virtuella datorer från potentiella hot genom att begränsa åtkomsten till dem med nätverkssäkerhetsgrupper (NSG). Läs mer om att styra trafik med NSG:er på https://aka.ms/nsg-doc AuditIfNotExists, inaktiverad 3.0.0
IoT Hub-enhetsetableringstjänstinstanser bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till IoT Hub-enhetsetableringstjänsten minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/iotdpsvnet. Granskning, inaktiverad 1.0.0
IP-vidarebefordran på den virtuella datorn bör inaktiveras Genom att aktivera IP-vidarebefordran på en virtuell dators nätverkskort kan datorn ta emot trafik som är adresserad till andra mål. IP-vidarebefordran krävs sällan (t.ex. när du använder den virtuella datorn som en virtuell nätverksinstallation), och därför bör detta granskas av nätverkssäkerhetsteamet. AuditIfNotExists, inaktiverad 3.0.0
Hanteringsportar för virtuella datorer bör skyddas med just-in-time-åtkomstkontroll för nätverk Möjlig jit-åtkomst (just-in-time) för nätverk övervakas av Azure Security Center som rekommendationer AuditIfNotExists, inaktiverad 3.0.0
Hanteringsportar bör stängas på dina virtuella datorer Öppna fjärrhanteringsportar utsätter den virtuella datorn för en hög risknivå från Internetbaserade attacker. Dessa attacker försöker råstyra autentiseringsuppgifter för att få administratörsåtkomst till datorn. AuditIfNotExists, inaktiverad 3.0.0
Virtuella datorer som inte är Internetanslutna bör skyddas med nätverkssäkerhetsgrupper Skydda dina virtuella datorer som inte är Internetuppkopplade mot potentiella hot genom att begränsa åtkomsten med nätverkssäkerhetsgrupper (NSG). Läs mer om att styra trafik med NSG:er på https://aka.ms/nsg-doc AuditIfNotExists, inaktiverad 3.0.0
Privata slutpunktsanslutningar i Azure SQL Database ska vara aktiverade Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure SQL Database. Granskning, inaktiverad 1.1.0
Privat slutpunkt ska vara aktiverad för MariaDB-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for MariaDB. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Privat slutpunkt ska vara aktiverad för MySQL-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for MySQL. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Privat slutpunkt ska vara aktiverad för PostgreSQL-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for PostgreSQL. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Åtkomst till offentligt nätverk i Azure SQL Database bör inaktiveras Om du inaktiverar den offentliga nätverksåtkomstegenskapen förbättras säkerheten genom att din Azure SQL Database endast kan nås från en privat slutpunkt. Den här konfigurationen nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Granska, neka, inaktiverad 1.1.0
Åtkomst till offentligt nätverk ska inaktiveras för MariaDB-servrar Inaktivera den offentliga nätverksåtkomstegenskapen för att förbättra säkerheten och se till att din Azure Database for MariaDB endast kan nås från en privat slutpunkt. Den här konfigurationen inaktiverar strikt åtkomst från offentliga adressutrymmen utanför Azures IP-intervall och nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Granska, neka, inaktiverad 2.0.0
Åtkomst till offentligt nätverk ska inaktiveras för MySQL-servrar Inaktivera den offentliga nätverksåtkomstegenskapen för att förbättra säkerheten och se till att din Azure Database for MySQL endast kan nås från en privat slutpunkt. Den här konfigurationen inaktiverar strikt åtkomst från offentliga adressutrymmen utanför Azures IP-intervall och nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Granska, neka, inaktiverad 2.0.0
Åtkomst till offentligt nätverk ska inaktiveras för PostgreSQL-servrar Inaktivera den offentliga nätverksåtkomstegenskapen för att förbättra säkerheten och se till att Azure Database for PostgreSQL endast kan nås från en privat slutpunkt. Den här konfigurationen inaktiverar åtkomst från alla offentliga adressutrymmen utanför Azures IP-intervall och nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Granska, neka, inaktiverad 2.0.1
Lagringskonton bör begränsa nätverksåtkomsten Nätverksåtkomst till lagringskonton bör begränsas. Konfigurera nätverksregler så att endast program från tillåtna nätverk kan komma åt lagringskontot. För att tillåta anslutningar från specifika Internet- eller lokala klienter kan åtkomst beviljas till trafik från specifika virtuella Azure-nätverk eller till offentliga IP-adressintervall för Internet Granska, neka, inaktiverad 1.1.1
Lagringskonton bör begränsa nätverksåtkomsten med hjälp av regler för virtuella nätverk Skydda dina lagringskonton mot potentiella hot med hjälp av regler för virtuella nätverk som en önskad metod i stället för IP-baserad filtrering. Om du inaktiverar IP-baserad filtrering hindras offentliga IP-adresser från att komma åt dina lagringskonton. Granska, neka, inaktiverad 1.0.1
Lagringskonton bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt lagringskonto minskas risken för dataläckage. Läs mer om privata länkar på - https://aka.ms/azureprivatelinkoverview AuditIfNotExists, inaktiverad 2.0.0
Undernät ska associeras med en nätverkssäkerhetsgrupp Skydda ditt undernät mot potentiella hot genom att begränsa åtkomsten till det med en nätverkssäkerhetsgrupp (NSG). NSG:er innehåller en lista över ACL-regler (Access Control List) som tillåter eller nekar nätverkstrafik till ditt undernät. AuditIfNotExists, inaktiverad 3.0.0
Mallar för VM Image Builder ska använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina vm Image Builder-byggresurser minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet. Granska, inaktiverad, Neka 1.1.0
Brandväggen för webbaserade program (WAF) ska vara aktiverad för Application Gateway Distribuera Azure Web Application Firewall (WAF) framför offentliga webbprogram för ytterligare kontroll av inkommande trafik. Web Application Firewall (WAF) ger ett centraliserat skydd av dina webbprogram mot vanliga sårbarheter som SQL-inmatningar, skript mellan webbplatser, lokala och fjärranslutna filkörningar. Du kan också begränsa åtkomsten till dina webbprogram efter länder, IP-adressintervall och andra http-parametrar via anpassade regler. Granska, neka, inaktiverad 2.0.0

Åtkomstpunkter

ID: FedRAMP Moderate SC-7 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
[Inaktuell]: Azure Cognitive tjänsten Search bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Cognitive Search minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Granskning, inaktiverad 1.0.1-inaktuell
[Inaktuell]: Cognitive Services bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Cognitive Services minskar du risken för dataläckage. Läs mer om privata länkar på: https://go.microsoft.com/fwlink/?linkid=2129800. Granskning, inaktiverad 3.0.1-inaktuell
[Förhandsversion]: All Internettrafik ska dirigeras via din distribuerade Azure Firewall Azure Security Center har upptäckt att vissa av dina undernät inte skyddas med en nästa generations brandvägg. Skydda dina undernät mot potentiella hot genom att begränsa åtkomsten till dem med Azure Firewall eller en nästa generations brandvägg som stöds AuditIfNotExists, inaktiverad 3.0.0-preview
[Förhandsversion]: Offentlig åtkomst till lagringskontot bör inte tillåtas Anonym offentlig läsåtkomst till containrar och blobar i Azure Storage är ett bekvämt sätt att dela data men kan medföra säkerhetsrisker. För att förhindra dataintrång som orsakas av oönstrade anonym åtkomst rekommenderar Microsoft att du förhindrar offentlig åtkomst till ett lagringskonto om inte ditt scenario kräver det. audit, Audit, deny, Deny, disabled, Disabled 3.1.0-preview
Alla nätverksportar bör begränsas för nätverkssäkerhetsgrupper som är associerade med den virtuella datorn Azure Security Center har identifierat att vissa av nätverkssäkerhetsgruppernas regler för inkommande trafik är för tillåtande. Regler för inkommande trafik bör inte tillåta åtkomst från "Alla" eller "Internet"-intervall. Detta kan potentiellt göra det möjligt för angripare att rikta in sig på dina resurser. AuditIfNotExists, inaktiverad 3.0.0
API Management-tjänster bör använda ett virtuellt nätverk Azure Virtual Network-distribution ger förbättrad säkerhet, isolering och gör att du kan placera DIN API Management-tjänst i ett routbart nätverk som inte kan dirigeras via Internet och som du styr åtkomsten till. Dessa nätverk kan sedan anslutas till dina lokala nätverk med hjälp av olika VPN-tekniker, vilket ger åtkomst till dina serverdelstjänster i nätverket och/eller lokalt. Utvecklarportalen och API-gatewayen kan konfigureras för att vara tillgängliga antingen från Internet eller endast i det virtuella nätverket. Granska, neka, inaktiverad 1.0.2
Appkonfiguration bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina appkonfigurationsinstanser i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/appconfig/private-endpoint. AuditIfNotExists, inaktiverad 1.0.2
Auktoriserade IP-intervall ska definieras i Kubernetes Services Begränsa åtkomsten till Kubernetes Service Management-API:et genom att endast ge API-åtkomst till IP-adresser i specifika intervall. Vi rekommenderar att du begränsar åtkomsten till auktoriserade IP-intervall för att säkerställa att endast program från tillåtna nätverk kan komma åt klustret. Granskning, inaktiverad 2.0.1
Azure AI Services-resurser bör begränsa nätverksåtkomsten Genom att begränsa nätverksåtkomsten kan du se till att endast tillåtna nätverk kan komma åt tjänsten. Detta kan uppnås genom att konfigurera nätverksregler så att endast program från tillåtna nätverk kan komma åt Azure AI-tjänsten. Granska, neka, inaktiverad 3.2.0
Azure API för FHIR bör använda privat länk Azure API för FHIR bör ha minst en godkänd privat slutpunktsanslutning. Klienter i ett virtuellt nätverk kan på ett säkert sätt komma åt resurser som har privata slutpunktsanslutningar via privata länkar. Mer information finns i: https://aka.ms/fhir-privatelink. Granskning, inaktiverad 1.0.0
Azure Cache for Redis bör använda privat länk Med privata slutpunkter kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Genom att mappa privata slutpunkter till dina Azure Cache for Redis-instanser minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link. AuditIfNotExists, inaktiverad 1.0.0
Azure Cognitive tjänsten Search bör använda en SKU som stöder privat länk Med SKU:er som stöds i Azure Cognitive Search kan du med Azure Private Link ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din tjänsten Search minskas risken för dataläckage. Läs mer på: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Granska, neka, inaktiverad 1.0.0
Azure Cognitive tjänsten Search s bör inaktivera åtkomst till offentliga nätverk Om du inaktiverar åtkomst till det offentliga nätverket förbättras säkerheten genom att säkerställa att din Azure Cognitive tjänsten Search inte exponeras på det offentliga Internet. Om du skapar privata slutpunkter kan du begränsa exponeringen av dina tjänsten Search. Läs mer på: https://aka.ms/azure-cognitive-search/inbound-private-endpoints. Granska, neka, inaktiverad 1.0.0
Azure Cosmos DB-konton ska ha brandväggsregler Brandväggsregler bör definieras på dina Azure Cosmos DB-konton för att förhindra trafik från obehöriga källor. Konton som har minst en IP-regel definierad med det virtuella nätverksfiltret aktiverat anses vara kompatibla. Konton som inaktiverar offentlig åtkomst anses också vara kompatibla. Granska, neka, inaktiverad 2.1.0
Azure Data Factory bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Data Factory minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/data-factory/data-factory-private-link. AuditIfNotExists, inaktiverad 1.0.0
Azure Event Grid-domäner bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din Event Grid-domän i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/privateendpoints. Granskning, inaktiverad 1.0.2
Azure Event Grid-ämnen bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt Event Grid-ämne i stället för hela tjänsten skyddas du även mot dataläckagerisker. Läs mer på: https://aka.ms/privateendpoints. Granskning, inaktiverad 1.0.2
Azure File Sync bör använda privat länk När du skapar en privat slutpunkt för den angivna Storage Sync Service-resursen kan du adressera din Storage Sync Service-resurs inifrån det privata IP-adressutrymmet i organisationens nätverk i stället för via den internettillgängliga offentliga slutpunkten. Att skapa en privat slutpunkt av sig själv inaktiverar inte den offentliga slutpunkten. AuditIfNotExists, inaktiverad 1.0.0
Azure Key Vault bör ha brandvägg aktiverat Aktivera key vault-brandväggen så att nyckelvalvet inte är tillgängligt som standard för offentliga IP-adresser. Du kan också konfigurera specifika IP-intervall för att begränsa åtkomsten till dessa nätverk. Läs mer på: https://docs.microsoft.com/azure/key-vault/general/network-security Granska, neka, inaktiverad 3.2.1
Azure Key Vaults bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till nyckelvalvet kan du minska risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/akvprivatelink. [parameters('audit_effect')] 1.2.1
Azure Machine Learning-arbetsytor bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Machine Learning-arbetsytor minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link. Granskning, inaktiverad 1.0.0
Azure Service Bus-namnområden bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Service Bus-namnområden minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service. AuditIfNotExists, inaktiverad 1.0.0
Azure SignalR Service bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till din Azure SignalR Service-resurs i stället för hela tjänsten minskar du risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/asrs/privatelink. Granskning, inaktiverad 1.0.0
Azure Synapse-arbetsytor bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Synapse-arbetsytan minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links. Granskning, inaktiverad 1.0.1
Azure Web Application Firewall ska vara aktiverat för Azure Front Door-startpunkter Distribuera Azure Web Application Firewall (WAF) framför offentliga webbprogram för ytterligare kontroll av inkommande trafik. Web Application Firewall (WAF) ger ett centraliserat skydd av dina webbprogram mot vanliga sårbarheter som SQL-inmatningar, skript mellan webbplatser, lokala och fjärranslutna filkörningar. Du kan också begränsa åtkomsten till dina webbprogram efter länder, IP-adressintervall och andra http-parametrar via anpassade regler. Granska, neka, inaktiverad 1.0.2
Azure Web PubSub Service bör använda privat länk Med Azure Private Link kan du ansluta dina virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Azure Web PubSub Service kan du minska risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/awps/privatelink. Granskning, inaktiverad 1.0.0
Containerregister bör inte tillåta obegränsad nätverksåtkomst Azure-containerregister accepterar som standard anslutningar via Internet från värdar i alla nätverk. Om du vill skydda dina register mot potentiella hot kan du endast tillåta åtkomst från specifika privata slutpunkter, offentliga IP-adresser eller adressintervall. Om ditt register inte har konfigurerat några nätverksregler visas det i de resurser som inte är felfria. Läs mer om containerregisternätverksregler här: https://aka.ms/acr/privatelinkoch https://aka.ms/acr/portal/public-network https://aka.ms/acr/vnet. Granska, neka, inaktiverad 2.0.0
Containerregister bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Den privata länkplattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina containerregister i stället för hela tjänsten skyddas du också mot dataläckagerisker. Läs mer på: https://aka.ms/acr/private-link. Granskning, inaktiverad 1.0.1
CosmosDB-konton bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt CosmosDB-konto minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints. Granskning, inaktiverad 1.0.0
Diskåtkomstresurser bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till diskAccesses minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/disksprivatelinksdoc. AuditIfNotExists, inaktiverad 1.0.0
Event Hub-namnområden bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till Event Hub-namnområden minskas risken för dataläckage. Läs mer på: https://docs.microsoft.com/azure/event-hubs/private-link-service. AuditIfNotExists, inaktiverad 1.0.0
Internetuppkopplade virtuella datorer ska skyddas med nätverkssäkerhetsgrupper Skydda dina virtuella datorer från potentiella hot genom att begränsa åtkomsten till dem med nätverkssäkerhetsgrupper (NSG). Läs mer om att styra trafik med NSG:er på https://aka.ms/nsg-doc AuditIfNotExists, inaktiverad 3.0.0
IoT Hub-enhetsetableringstjänstinstanser bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till IoT Hub-enhetsetableringstjänsten minskas risken för dataläckage. Läs mer om privata länkar på: https://aka.ms/iotdpsvnet. Granskning, inaktiverad 1.0.0
IP-vidarebefordran på den virtuella datorn bör inaktiveras Genom att aktivera IP-vidarebefordran på en virtuell dators nätverkskort kan datorn ta emot trafik som är adresserad till andra mål. IP-vidarebefordran krävs sällan (t.ex. när du använder den virtuella datorn som en virtuell nätverksinstallation), och därför bör detta granskas av nätverkssäkerhetsteamet. AuditIfNotExists, inaktiverad 3.0.0
Hanteringsportar för virtuella datorer bör skyddas med just-in-time-åtkomstkontroll för nätverk Möjlig jit-åtkomst (just-in-time) för nätverk övervakas av Azure Security Center som rekommendationer AuditIfNotExists, inaktiverad 3.0.0
Hanteringsportar bör stängas på dina virtuella datorer Öppna fjärrhanteringsportar utsätter den virtuella datorn för en hög risknivå från Internetbaserade attacker. Dessa attacker försöker råstyra autentiseringsuppgifter för att få administratörsåtkomst till datorn. AuditIfNotExists, inaktiverad 3.0.0
Virtuella datorer som inte är Internetanslutna bör skyddas med nätverkssäkerhetsgrupper Skydda dina virtuella datorer som inte är Internetuppkopplade mot potentiella hot genom att begränsa åtkomsten med nätverkssäkerhetsgrupper (NSG). Läs mer om att styra trafik med NSG:er på https://aka.ms/nsg-doc AuditIfNotExists, inaktiverad 3.0.0
Privata slutpunktsanslutningar i Azure SQL Database ska vara aktiverade Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure SQL Database. Granskning, inaktiverad 1.1.0
Privat slutpunkt ska vara aktiverad för MariaDB-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for MariaDB. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Privat slutpunkt ska vara aktiverad för MySQL-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for MySQL. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Privat slutpunkt ska vara aktiverad för PostgreSQL-servrar Privata slutpunktsanslutningar framtvingar säker kommunikation genom att aktivera privat anslutning till Azure Database for PostgreSQL. Konfigurera en privat slutpunktsanslutning för att aktivera åtkomst till trafik som endast kommer från kända nätverk och förhindra åtkomst från alla andra IP-adresser, inklusive i Azure. AuditIfNotExists, inaktiverad 1.0.2
Åtkomst till offentligt nätverk i Azure SQL Database bör inaktiveras Om du inaktiverar den offentliga nätverksåtkomstegenskapen förbättras säkerheten genom att din Azure SQL Database endast kan nås från en privat slutpunkt. Den här konfigurationen nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Granska, neka, inaktiverad 1.1.0
Åtkomst till offentligt nätverk ska inaktiveras för MariaDB-servrar Inaktivera den offentliga nätverksåtkomstegenskapen för att förbättra säkerheten och se till att din Azure Database for MariaDB endast kan nås från en privat slutpunkt. Den här konfigurationen inaktiverar strikt åtkomst från offentliga adressutrymmen utanför Azures IP-intervall och nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Granska, neka, inaktiverad 2.0.0
Åtkomst till offentligt nätverk ska inaktiveras för MySQL-servrar Inaktivera den offentliga nätverksåtkomstegenskapen för att förbättra säkerheten och se till att din Azure Database for MySQL endast kan nås från en privat slutpunkt. Den här konfigurationen inaktiverar strikt åtkomst från offentliga adressutrymmen utanför Azures IP-intervall och nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Granska, neka, inaktiverad 2.0.0
Åtkomst till offentligt nätverk ska inaktiveras för PostgreSQL-servrar Inaktivera den offentliga nätverksåtkomstegenskapen för att förbättra säkerheten och se till att Azure Database for PostgreSQL endast kan nås från en privat slutpunkt. Den här konfigurationen inaktiverar åtkomst från alla offentliga adressutrymmen utanför Azures IP-intervall och nekar alla inloggningar som matchar IP- eller virtuella nätverksbaserade brandväggsregler. Granska, neka, inaktiverad 2.0.1
Lagringskonton bör begränsa nätverksåtkomsten Nätverksåtkomst till lagringskonton bör begränsas. Konfigurera nätverksregler så att endast program från tillåtna nätverk kan komma åt lagringskontot. För att tillåta anslutningar från specifika Internet- eller lokala klienter kan åtkomst beviljas till trafik från specifika virtuella Azure-nätverk eller till offentliga IP-adressintervall för Internet Granska, neka, inaktiverad 1.1.1
Lagringskonton bör begränsa nätverksåtkomsten med hjälp av regler för virtuella nätverk Skydda dina lagringskonton mot potentiella hot med hjälp av regler för virtuella nätverk som en önskad metod i stället för IP-baserad filtrering. Om du inaktiverar IP-baserad filtrering hindras offentliga IP-adresser från att komma åt dina lagringskonton. Granska, neka, inaktiverad 1.0.1
Lagringskonton bör använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till ditt lagringskonto minskas risken för dataläckage. Läs mer om privata länkar på - https://aka.ms/azureprivatelinkoverview AuditIfNotExists, inaktiverad 2.0.0
Undernät ska associeras med en nätverkssäkerhetsgrupp Skydda ditt undernät mot potentiella hot genom att begränsa åtkomsten till det med en nätverkssäkerhetsgrupp (NSG). NSG:er innehåller en lista över ACL-regler (Access Control List) som tillåter eller nekar nätverkstrafik till ditt undernät. AuditIfNotExists, inaktiverad 3.0.0
Mallar för VM Image Builder ska använda privat länk Med Azure Private Link kan du ansluta ditt virtuella nätverk till Azure-tjänster utan en offentlig IP-adress vid källan eller målet. Private Link-plattformen hanterar anslutningen mellan konsumenten och tjänsterna via Azure-stamnätverket. Genom att mappa privata slutpunkter till dina vm Image Builder-byggresurser minskas risken för dataläckage. Läs mer om privata länkar på: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet. Granska, inaktiverad, Neka 1.1.0
Brandväggen för webbaserade program (WAF) ska vara aktiverad för Application Gateway Distribuera Azure Web Application Firewall (WAF) framför offentliga webbprogram för ytterligare kontroll av inkommande trafik. Web Application Firewall (WAF) ger ett centraliserat skydd av dina webbprogram mot vanliga sårbarheter som SQL-inmatningar, skript mellan webbplatser, lokala och fjärranslutna filkörningar. Du kan också begränsa åtkomsten till dina webbprogram efter länder, IP-adressintervall och andra http-parametrar via anpassade regler. Granska, neka, inaktiverad 2.0.0

Externa telekommunikationstjänster

ID: FedRAMP Moderate SC-7 (4) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera hanterat gränssnitt för varje extern tjänst CMA_C1626 – Implementera hanterat gränssnitt för varje extern tjänst Manuell, inaktiverad 1.1.0
Implementera systemgränsskydd CMA_0328 – Implementera systemgränsskydd Manuell, inaktiverad 1.1.0
Skydda gränssnittet mot externa system CMA_0491 – Skydda gränssnittet mot externa system Manuell, inaktiverad 1.1.0

Förhindra delade tunnlar för fjärrenheter

ID: FedRAMP Moderate SC-7 (7) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Förhindra delade tunnlar för fjärrenheter CMA_C1632 – Förhindra delade tunnlar för fjärrenheter Manuell, inaktiverad 1.1.0

Dirigera trafik till autentiserade proxyservrar

ID: FedRAMP Moderate SC-7 (8) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dirigera trafik via autentiserat proxynätverk CMA_C1633 – Dirigera trafik via autentiserat proxynätverk Manuell, inaktiverad 1.1.0

Värdbaserat skydd

ID: FedRAMP Moderate SC-7 (12) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera systemgränsskydd CMA_0328 – Implementera systemgränsskydd Manuell, inaktiverad 1.1.0

Isolering av säkerhetsverktyg/mekanismer/stödkomponenter

ID: FedRAMP Moderate SC-7 (13) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Isolera SecurID-system, säkerhetsincidenthanteringssystem CMA_C1636 – Isolera SecurID-system, säkerhetsincidenthanteringssystem Manuell, inaktiverad 1.1.0

Felsäker

ID: FedRAMP Moderate SC-7 (18) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera systemgränsskydd CMA_0328 – Implementera systemgränsskydd Manuell, inaktiverad 1.1.0
Hantera överföringar mellan vänteläge och aktiva systemkomponenter CMA_0371 – Hantera överföringar mellan vänteläge och aktiva systemkomponenter Manuell, inaktiverad 1.1.0

Överföringssekretess och integritet

ID: FedRAMP Moderate SC-8 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
App Service-appar bör endast vara tillgängliga via HTTPS Användning av HTTPS säkerställer server-/tjänstautentisering och skyddar data under överföring från avlyssningsattacker på nätverksnivå. Granska, inaktiverad, Neka 4.0.0
App Service-appar bör endast kräva FTPS Aktivera FTPS-tillämpning för förbättrad säkerhet. AuditIfNotExists, inaktiverad 3.0.0
App Service-appar bör använda den senaste TLS-versionen Med jämna mellanrum släpps nyare versioner för TLS antingen på grund av säkerhetsbrister, inkluderar ytterligare funktioner och förbättrar hastigheten. Uppgradera till den senaste TLS-versionen för App Service-appar för att dra nytta av eventuella säkerhetskorrigeringar och/eller nya funktioner i den senaste versionen. AuditIfNotExists, inaktiverad 2.0.1
Azure HDInsight-kluster bör använda kryptering under överföring för att kryptera kommunikationen mellan Azure HDInsight-klusternoder Data kan manipuleras vid överföring mellan Azure HDInsight-klusternoder. Aktivering av kryptering under överföring löser problem med missbruk och manipulering under den här överföringen. Granska, neka, inaktiverad 1.0.0
Framtvinga SSL-anslutning ska vara aktiverat för MySQL-databasservrar Azure Database for MySQL stöder anslutning av Din Azure Database for MySQL-server till klientprogram med hjälp av SSL (Secure Sockets Layer). Genom att framtvinga SSL-anslutningar mellan databasservern och klientprogrammen kan du skydda mot "man i mitten"-attacker genom att kryptera dataströmmen mellan servern och ditt program. Den här konfigurationen framtvingar att SSL alltid är aktiverat för åtkomst till databasservern. Granskning, inaktiverad 1.0.1
Framtvinga SSL-anslutning ska vara aktiverat för PostgreSQL-databasservrar Azure Database for PostgreSQL stöder anslutning av Din Azure Database for PostgreSQL-server till klientprogram med hjälp av Secure Sockets Layer (SSL). Genom att framtvinga SSL-anslutningar mellan databasservern och klientprogrammen kan du skydda mot "man i mitten"-attacker genom att kryptera dataströmmen mellan servern och ditt program. Den här konfigurationen framtvingar att SSL alltid är aktiverat för åtkomst till databasservern. Granskning, inaktiverad 1.0.1
Funktionsappar bör endast vara tillgängliga via HTTPS Användning av HTTPS säkerställer server-/tjänstautentisering och skyddar data under överföring från avlyssningsattacker på nätverksnivå. Granska, inaktiverad, Neka 5.0.0
Funktionsappar bör endast kräva FTPS Aktivera FTPS-tillämpning för förbättrad säkerhet. AuditIfNotExists, inaktiverad 3.0.0
Funktionsappar bör använda den senaste TLS-versionen Med jämna mellanrum släpps nyare versioner för TLS antingen på grund av säkerhetsbrister, inkluderar ytterligare funktioner och förbättrar hastigheten. Uppgradera till den senaste TLS-versionen för funktionsappar för att dra nytta av eventuella säkerhetskorrigeringar och/eller nya funktioner i den senaste versionen. AuditIfNotExists, inaktiverad 2.0.1
Kubernetes-kluster bör endast vara tillgängliga via HTTPS Användning av HTTPS säkerställer autentisering och skyddar data under överföring från avlyssningsattacker på nätverksnivå. Den här funktionen är för närvarande allmänt tillgänglig för Kubernetes Service (AKS) och i förhandsversion för Azure Arc-aktiverade Kubernetes. Mer information finns i https://aka.ms/kubepolicydoc audit, Audit, deny, Deny, disabled, Disabled 8.2.0
Endast säkra anslutningar till Azure Cache for Redis ska vara aktiverade Granska aktivering av endast anslutningar via SSL till Azure Cache for Redis. Användning av säkra anslutningar säkerställer autentisering mellan servern och tjänsten och skyddar data under överföring från nätverksnivåattacker som man-in-the-middle, avlyssning och sessionskapning Granska, neka, inaktiverad 1.0.0
Skydda data under överföring med hjälp av kryptering CMA_0403 – Skydda data under överföring med kryptering Manuell, inaktiverad 1.1.0
Skydda lösenord med kryptering CMA_0408 – Skydda lösenord med kryptering Manuell, inaktiverad 1.1.0
Säker överföring till lagringskonton ska vara aktiverad Granska kravet på säker överföring i ditt lagringskonto. Säker överföring är ett alternativ som tvingar ditt lagringskonto att endast acceptera begäranden från säkra anslutningar (HTTPS). Användning av HTTPS säkerställer autentisering mellan servern och tjänsten och skyddar data under överföring från nätverksnivåattacker som man-in-the-middle, avlyssning och sessionskapning Granska, neka, inaktiverad 2.0.0
Windows-datorer ska konfigureras för att använda säkra kommunikationsprotokoll För att skydda sekretessen för information som kommuniceras via Internet bör dina datorer använda den senaste versionen av det kryptografiska protokollet Transport Layer Security (TLS) av branschstandard. TLS skyddar kommunikationen via ett nätverk genom att kryptera en anslutning mellan datorer. AuditIfNotExists, inaktiverad 4.1.1

Kryptografiskt eller alternativt fysiskt skydd

ID: FedRAMP Moderate SC-8 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
App Service-appar bör endast vara tillgängliga via HTTPS Användning av HTTPS säkerställer server-/tjänstautentisering och skyddar data under överföring från avlyssningsattacker på nätverksnivå. Granska, inaktiverad, Neka 4.0.0
App Service-appar bör endast kräva FTPS Aktivera FTPS-tillämpning för förbättrad säkerhet. AuditIfNotExists, inaktiverad 3.0.0
App Service-appar bör använda den senaste TLS-versionen Med jämna mellanrum släpps nyare versioner för TLS antingen på grund av säkerhetsbrister, inkluderar ytterligare funktioner och förbättrar hastigheten. Uppgradera till den senaste TLS-versionen för App Service-appar för att dra nytta av eventuella säkerhetskorrigeringar och/eller nya funktioner i den senaste versionen. AuditIfNotExists, inaktiverad 2.0.1
Azure HDInsight-kluster bör använda kryptering under överföring för att kryptera kommunikationen mellan Azure HDInsight-klusternoder Data kan manipuleras vid överföring mellan Azure HDInsight-klusternoder. Aktivering av kryptering under överföring löser problem med missbruk och manipulering under den här överföringen. Granska, neka, inaktiverad 1.0.0
Konfigurera arbetsstationer för att söka efter digitala certifikat CMA_0073 – Konfigurera arbetsstationer för att söka efter digitala certifikat Manuell, inaktiverad 1.1.0
Framtvinga SSL-anslutning ska vara aktiverat för MySQL-databasservrar Azure Database for MySQL stöder anslutning av Din Azure Database for MySQL-server till klientprogram med hjälp av SSL (Secure Sockets Layer). Genom att framtvinga SSL-anslutningar mellan databasservern och klientprogrammen kan du skydda mot "man i mitten"-attacker genom att kryptera dataströmmen mellan servern och ditt program. Den här konfigurationen framtvingar att SSL alltid är aktiverat för åtkomst till databasservern. Granskning, inaktiverad 1.0.1
Framtvinga SSL-anslutning ska vara aktiverat för PostgreSQL-databasservrar Azure Database for PostgreSQL stöder anslutning av Din Azure Database for PostgreSQL-server till klientprogram med hjälp av Secure Sockets Layer (SSL). Genom att framtvinga SSL-anslutningar mellan databasservern och klientprogrammen kan du skydda mot "man i mitten"-attacker genom att kryptera dataströmmen mellan servern och ditt program. Den här konfigurationen framtvingar att SSL alltid är aktiverat för åtkomst till databasservern. Granskning, inaktiverad 1.0.1
Funktionsappar bör endast vara tillgängliga via HTTPS Användning av HTTPS säkerställer server-/tjänstautentisering och skyddar data under överföring från avlyssningsattacker på nätverksnivå. Granska, inaktiverad, Neka 5.0.0
Funktionsappar bör endast kräva FTPS Aktivera FTPS-tillämpning för förbättrad säkerhet. AuditIfNotExists, inaktiverad 3.0.0
Funktionsappar bör använda den senaste TLS-versionen Med jämna mellanrum släpps nyare versioner för TLS antingen på grund av säkerhetsbrister, inkluderar ytterligare funktioner och förbättrar hastigheten. Uppgradera till den senaste TLS-versionen för funktionsappar för att dra nytta av eventuella säkerhetskorrigeringar och/eller nya funktioner i den senaste versionen. AuditIfNotExists, inaktiverad 2.0.1
Kubernetes-kluster bör endast vara tillgängliga via HTTPS Användning av HTTPS säkerställer autentisering och skyddar data under överföring från avlyssningsattacker på nätverksnivå. Den här funktionen är för närvarande allmänt tillgänglig för Kubernetes Service (AKS) och i förhandsversion för Azure Arc-aktiverade Kubernetes. Mer information finns i https://aka.ms/kubepolicydoc audit, Audit, deny, Deny, disabled, Disabled 8.2.0
Endast säkra anslutningar till Azure Cache for Redis ska vara aktiverade Granska aktivering av endast anslutningar via SSL till Azure Cache for Redis. Användning av säkra anslutningar säkerställer autentisering mellan servern och tjänsten och skyddar data under överföring från nätverksnivåattacker som man-in-the-middle, avlyssning och sessionskapning Granska, neka, inaktiverad 1.0.0
Säker överföring till lagringskonton ska vara aktiverad Granska kravet på säker överföring i ditt lagringskonto. Säker överföring är ett alternativ som tvingar ditt lagringskonto att endast acceptera begäranden från säkra anslutningar (HTTPS). Användning av HTTPS säkerställer autentisering mellan servern och tjänsten och skyddar data under överföring från nätverksnivåattacker som man-in-the-middle, avlyssning och sessionskapning Granska, neka, inaktiverad 2.0.0
Windows-datorer ska konfigureras för att använda säkra kommunikationsprotokoll För att skydda sekretessen för information som kommuniceras via Internet bör dina datorer använda den senaste versionen av det kryptografiska protokollet Transport Layer Security (TLS) av branschstandard. TLS skyddar kommunikationen via ett nätverk genom att kryptera en anslutning mellan datorer. AuditIfNotExists, inaktiverad 4.1.1

Koppla från nätverk

ID: FedRAMP Moderate SC-10 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Autentisera om eller avsluta en användarsession CMA_0421 – Autentisera om eller avsluta en användarsession Manuell, inaktiverad 1.1.0

Etablering och hantering av kryptografisk nyckel

ID: FedRAMP Moderate SC-12 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
[Förhandsversion]: Azure Recovery Services-valv bör använda kundhanterade nycklar för kryptering av säkerhetskopieringsdata Använd kundhanterade nycklar för att hantera krypteringen i resten av dina säkerhetskopierade data. Som standard krypteras kunddata med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Läs mer på https://aka.ms/AB-CmkEncryption. Granska, neka, inaktiverad 1.0.0-preview
[Förhandsversion]: IoT Hub-enhetsetableringstjänstdata ska krypteras med hjälp av kundhanterade nycklar (CMK) Använd kundhanterade nycklar för att hantera krypteringen i resten av IoT Hub-enhetsetableringstjänsten. Data krypteras automatiskt i vila med tjänsthanterade nycklar, men kundhanterade nycklar (CMK) krävs ofta för att uppfylla regelefterlevnadsstandarder. CMK:er gör att data kan krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Läs mer om CMK-kryptering på https://aka.ms/dps/CMK. Granska, neka, inaktiverad 1.0.0-preview
Azure AI Services-resurser ska kryptera vilande data med en kundhanterad nyckel (CMK) Att använda kundhanterade nycklar för att kryptera vilande data ger mer kontroll över nyckellivscykeln, inklusive rotation och hantering. Detta är särskilt relevant för organisationer med relaterade efterlevnadskrav. Detta utvärderas inte som standard och bör endast tillämpas när det krävs av efterlevnads- eller begränsande principkrav. Om de inte är aktiverade krypteras data med plattformshanterade nycklar. Om du vill implementera detta uppdaterar du parametern "Effekt" i säkerhetsprincipen för det tillämpliga omfånget. Granska, neka, inaktiverad 2.2.0
Azure API för FHIR bör använda en kundhanterad nyckel för att kryptera vilande data Använd en kundhanterad nyckel för att styra krypteringen i resten av de data som lagras i Azure API för FHIR när detta är ett regel- eller efterlevnadskrav. Kundhanterade nycklar levererar också dubbel kryptering genom att lägga till ett andra krypteringslager ovanpå standardvärdet som görs med tjänsthanterade nycklar. audit, Audit, disabled, Disabled 1.1.0
Azure Automation-konton bör använda kundhanterade nycklar för att kryptera vilande data Använd kundhanterade nycklar för att hantera krypteringen i resten av dina Azure Automation-konton. Som standard krypteras kunddata med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Läs mer på https://aka.ms/automation-cmk. Granska, neka, inaktiverad 1.0.0
Azure Batch-kontot bör använda kundhanterade nycklar för att kryptera data Använd kundhanterade nycklar för att hantera krypteringen i resten av batchkontots data. Som standard krypteras kunddata med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Läs mer på https://aka.ms/Batch-CMK. Granska, neka, inaktiverad 1.0.1
Azure Container Instance-containergruppen bör använda kundhanterad nyckel för kryptering Skydda dina containrar med större flexibilitet med hjälp av kundhanterade nycklar. När du anger en kundhanterad nyckel används nyckeln för att skydda och kontrollera åtkomsten till nyckeln som krypterar dina data. Att använda kundhanterade nycklar ger ytterligare funktioner för att styra rotationen av nyckelkrypteringsnyckeln eller radera data kryptografiskt. Granska, inaktiverad, Neka 1.0.0
Azure Cosmos DB-konton bör använda kundhanterade nycklar för att kryptera vilande data Använd kundhanterade nycklar för att hantera krypteringen i resten av Azure Cosmos DB. Som standard krypteras data i vila med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Läs mer på https://aka.ms/cosmosdb-cmk. audit, Audit, deny, Deny, disabled, Disabled 1.1.0
Azure Data Box-jobb bör använda en kundhanterad nyckel för att kryptera lösenordet för enhetens upplåsning Använd en kundhanterad nyckel för att styra krypteringen av enhetens upplåsningslösenord för Azure Data Box. Kundhanterade nycklar hjälper också till att hantera åtkomsten till enhetens upplåsningslösenord av Data Box-tjänsten för att förbereda enheten och kopiera data på ett automatiserat sätt. Data på själva enheten är redan krypterade i vila med Advanced Encryption Standard 256-bitarskryptering, och lösenordet för enhetens upplåsning krypteras som standard med en Microsoft-hanterad nyckel. Granska, neka, inaktiverad 1.0.0
Azure Data Explorer-kryptering i vila bör använda en kundhanterad nyckel Om du aktiverar kryptering i vila med hjälp av en kundhanterad nyckel i ditt Azure Data Explorer-kluster får du ytterligare kontroll över nyckeln som används av krypteringen i vila. Den här funktionen gäller ofta för kunder med särskilda efterlevnadskrav och kräver ett Key Vault för att hantera nycklarna. Granska, neka, inaktiverad 1.0.0
Azure-datafabriker ska krypteras med en kundhanterad nyckel Använd kundhanterade nycklar för att hantera krypteringen i resten av Azure Data Factory. Som standard krypteras kunddata med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Läs mer på https://aka.ms/adf-cmk. Granska, neka, inaktiverad 1.0.1
Azure HDInsight-kluster bör använda kundhanterade nycklar för att kryptera vilande data Använd kundhanterade nycklar för att hantera krypteringen i resten av dina Azure HDInsight-kluster. Som standard krypteras kunddata med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Läs mer på https://aka.ms/hdi.cmk. Granska, neka, inaktiverad 1.0.1
Azure HDInsight-kluster bör använda kryptering på värden för att kryptera vilande data Genom att aktivera kryptering på värden kan du skydda dina data för att uppfylla organisationens säkerhets- och efterlevnadsåtaganden. När du aktiverar kryptering på värden krypteras data som lagras på den virtuella datorvärden i vila och flöden krypteras till lagringstjänsten. Granska, neka, inaktiverad 1.0.0
Azure Machine Learning-arbetsytor ska krypteras med en kundhanterad nyckel Hantera kryptering i resten av Azure Machine Learning-arbetsytedata med kundhanterade nycklar. Som standard krypteras kunddata med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Läs mer på https://aka.ms/azureml-workspaces-cmk. Granska, neka, inaktiverad 1.1.0
Azure Monitor-loggkluster ska krypteras med kundhanterad nyckel Skapa Azure Monitor-loggkluster med kundhanterad nyckelkryptering. Loggdata krypteras som standard med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnad. Kundhanterad nyckel i Azure Monitor ger dig mer kontroll över åtkomsten till dina data, se https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys. audit, Audit, deny, Deny, disabled, Disabled 1.1.0
Azure Stream Analytics-jobb bör använda kundhanterade nycklar för att kryptera data Använd kundhanterade nycklar när du på ett säkert sätt vill lagra metadata och privata datatillgångar för dina Stream Analytics-jobb i ditt lagringskonto. Detta ger dig total kontroll över hur dina Stream Analytics-data krypteras. audit, Audit, deny, Deny, disabled, Disabled 1.1.0
Azure Synapse-arbetsytor bör använda kundhanterade nycklar för att kryptera vilande data Använd kundhanterade nycklar för att styra krypteringen i resten av de data som lagras på Azure Synapse-arbetsytor. Kundhanterade nycklar levererar dubbel kryptering genom att lägga till ett andra krypteringslager ovanpå standardkryptering med tjänsthanterade nycklar. Granska, neka, inaktiverad 1.0.0
Bot Service ska krypteras med en kundhanterad nyckel Azure Bot Service krypterar automatiskt din resurs för att skydda dina data och uppfylla organisationens säkerhets- och efterlevnadsåtaganden. Som standard används Microsoft-hanterade krypteringsnycklar. Om du vill ha större flexibilitet när det gäller att hantera nycklar eller kontrollera åtkomsten till din prenumeration väljer du kundhanterade nycklar, även kallat BYOK (Bring Your Own Key). Läs mer om Azure Bot Service-kryptering: https://docs.microsoft.com/azure/bot-service/bot-service-encryption. audit, Audit, deny, Deny, disabled, Disabled 1.1.0
Både operativsystem och datadiskar i Azure Kubernetes Service-kluster ska krypteras av kundhanterade nycklar Kryptering av operativsystem och datadiskar med kundhanterade nycklar ger mer kontroll och större flexibilitet i nyckelhantering. Detta är ett vanligt krav i många regel- och branschefterlevnadsstandarder. Granska, neka, inaktiverad 1.0.1
Containerregister ska krypteras med en kundhanterad nyckel Använd kundhanterade nycklar för att hantera krypteringen i resten av innehållet i dina register. Som standard krypteras data i vila med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Läs mer på https://aka.ms/acr/CMK. Granska, neka, inaktiverad 1.1.2
Definiera en process för hantering av fysiska nycklar CMA_0115 – Definiera en process för hantering av fysiska nycklar Manuell, inaktiverad 1.1.0
Definiera kryptografisk användning CMA_0120 – Definiera kryptografisk användning Manuell, inaktiverad 1.1.0
Definiera organisationens krav för hantering av kryptografiska nycklar CMA_0123 – Definiera organisationens krav för hantering av kryptografiska nycklar Manuell, inaktiverad 1.1.0
Fastställa krav för försäkran CMA_0136 – Fastställa kontrollkrav Manuell, inaktiverad 1.1.0
Event Hub-namnområden bör använda en kundhanterad nyckel för kryptering Azure Event Hubs stöder alternativet att kryptera vilande data med antingen Microsoft-hanterade nycklar (standard) eller kundhanterade nycklar. Om du väljer att kryptera data med hjälp av kundhanterade nycklar kan du tilldela, rotera, inaktivera och återkalla åtkomst till de nycklar som Event Hub använder för att kryptera data i ditt namnområde. Observera att Event Hub endast stöder kryptering med kundhanterade nycklar för namnområden i dedikerade kluster. Granskning, inaktiverad 1.0.0
HPC Cache-konton bör använda kundhanterad nyckel för kryptering Hantera kryptering i resten av Azure HPC Cache med kundhanterade nycklar. Som standard krypteras kunddata med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Granska, inaktiverad, Neka 2.0.0
Utfärda certifikat för offentlig nyckel CMA_0347 – Utfärda certifikat för offentlig nyckel Manuell, inaktiverad 1.1.0
Logic Apps Integration Service Environment ska krypteras med kundhanterade nycklar Distribuera till Integration Service Environment för att hantera kryptering i resten av Logic Apps-data med hjälp av kundhanterade nycklar. Som standard krypteras kunddata med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Granska, neka, inaktiverad 1.0.0
Hantera symmetriska kryptografiska nycklar CMA_0367 – Hantera symmetriska kryptografiska nycklar Manuell, inaktiverad 1.1.0
Hanterade diskar ska vara dubbelkrypterade med både plattformshanterade och kundhanterade nycklar Högsäkerhetskänsliga kunder som är oroliga för den risk som är kopplad till en viss krypteringsalgoritm, implementering eller nyckel som komprometteras kan välja ytterligare krypteringslager med hjälp av en annan krypteringsalgoritm/-läge på infrastrukturnivån med hjälp av plattformshanterade krypteringsnycklar. Diskkrypteringsuppsättningarna krävs för att använda dubbel kryptering. Läs mer på https://aka.ms/disks-doubleEncryption. Granska, neka, inaktiverad 1.0.0
MySQL-servrar bör använda kundhanterade nycklar för att kryptera vilande data Använd kundhanterade nycklar för att hantera krypteringen på resten av mySQL-servrarna. Som standard krypteras data i vila med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. AuditIfNotExists, inaktiverad 1.0.4
OPERATIVSYSTEM och datadiskar ska krypteras med en kundhanterad nyckel Använd kundhanterade nycklar för att hantera krypteringen i resten av innehållet på dina hanterade diskar. Som standard krypteras data i vila med plattformshanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Läs mer på https://aka.ms/disks-cmk. Granska, neka, inaktiverad 3.0.0
PostgreSQL-servrar bör använda kundhanterade nycklar för att kryptera vilande data Använd kundhanterade nycklar för att hantera krypteringen på resten av postgreSQL-servrarna. Som standard krypteras data i vila med tjänsthanterade nycklar, men kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnadsstandarder. Med kundhanterade nycklar kan data krypteras med en Azure Key Vault-nyckel som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. AuditIfNotExists, inaktiverad 1.0.4
Begränsa åtkomsten till privata nycklar CMA_0445 – Begränsa åtkomsten till privata nycklar Manuell, inaktiverad 1.1.0
Sparade frågor i Azure Monitor ska sparas i kundens lagringskonto för loggkryptering Länka lagringskontot till Log Analytics-arbetsytan för att skydda sparade frågor med lagringskontokryptering. Kundhanterade nycklar krävs ofta för att uppfylla regelefterlevnad och för mer kontroll över åtkomsten till dina sparade frågor i Azure Monitor. Mer information om ovanstående https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queriesfinns i . audit, Audit, deny, Deny, disabled, Disabled 1.1.0
Service Bus Premium-namnområden bör använda en kundhanterad nyckel för kryptering Azure Service Bus stöder alternativet att kryptera vilande data med antingen Microsoft-hanterade nycklar (standard) eller kundhanterade nycklar. Om du väljer att kryptera data med hjälp av kundhanterade nycklar kan du tilldela, rotera, inaktivera och återkalla åtkomst till de nycklar som Service Bus använder för att kryptera data i ditt namnområde. Observera att Service Bus endast stöder kryptering med kundhanterade nycklar för premiumnamnområden. Granskning, inaktiverad 1.0.0
SQL-hanterade instanser bör använda kundhanterade nycklar för att kryptera vilande data Genom att implementera transparent datakryptering (TDE) med din egen nyckel får du ökad transparens och kontroll över TDE-skyddet, ökad säkerhet med en HSM-stödd extern tjänst och främjande av ansvarsfördelning. Den här rekommendationen gäller för organisationer med ett relaterat efterlevnadskrav. Granska, neka, inaktiverad 2.0.0
SQL-servrar bör använda kundhanterade nycklar för att kryptera vilande data Att implementera transparent datakryptering (TDE) med din egen nyckel ger ökad transparens och kontroll över TDE-skyddet, ökad säkerhet med en HSM-stödd extern tjänst och främjande av ansvarsfördelning. Den här rekommendationen gäller för organisationer med ett relaterat efterlevnadskrav. Granska, neka, inaktiverad 2.0.1
Krypteringsomfång för lagringskonto bör använda kundhanterade nycklar för att kryptera vilande data Använd kundhanterade nycklar för att hantera krypteringen i resten av lagringskontots krypteringsomfång. Med kundhanterade nycklar kan data krypteras med en Nyckelvalvsnyckel i Azure som skapas och ägs av dig. Du har fullständig kontroll och ansvar för nyckellivscykeln, inklusive rotation och hantering. Läs mer om krypteringsomfång för lagringskonton på https://aka.ms/encryption-scopes-overview. Granska, neka, inaktiverad 1.0.0
Lagringskonton bör använda kundhanterad nyckel för kryptering Skydda ditt blob- och fillagringskonto med större flexibilitet med hjälp av kundhanterade nycklar. När du anger en kundhanterad nyckel används nyckeln för att skydda och kontrollera åtkomsten till nyckeln som krypterar dina data. Att använda kundhanterade nycklar ger ytterligare funktioner för att styra rotationen av nyckelkrypteringsnyckeln eller radera data kryptografiskt. Granskning, inaktiverad 1.0.3

Symmetriska nycklar

ID: FedRAMP Moderate SC-12 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Producera, kontrollera och distribuera symmetriska kryptografiska nycklar CMA_C1645 – Producera, kontrollera och distribuera symmetriska kryptografiska nycklar Manuell, inaktiverad 1.1.0

Asymmetriska nycklar

ID: FedRAMP Moderate SC-12 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Producera, kontrollera och distribuera asymmetriska kryptografiska nycklar CMA_C1646 – Producera, kontrollera och distribuera asymmetriska kryptografiska nycklar Manuell, inaktiverad 1.1.0

Kryptografiskt skydd

ID: FedRAMP Moderate SC-13 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Definiera kryptografisk användning CMA_0120 – Definiera kryptografisk användning Manuell, inaktiverad 1.1.0

Enheter för samarbetsbaserad databehandling

ID: FedRAMP Moderate SC-15 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Meddela uttryckligen användningen av enheter för samarbetsbaserad databehandling CMA_C1649 – Meddela uttryckligen användningen av enheter för samarbetsbaserad databehandling Manuell, inaktiverad 1.1.1
Förhindra fjärraktivering av enheter för samarbetsbaserad databehandling CMA_C1648 – Förhindra fjärraktivering av enheter för samarbetsbaserad databehandling Manuell, inaktiverad 1.1.0

Certifikat för offentlig nyckelinfrastruktur

ID: FedRAMP Moderate SC-17 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utfärda certifikat för offentlig nyckel CMA_0347 – Utfärda certifikat för offentlig nyckel Manuell, inaktiverad 1.1.0

Mobilkod

ID: FedRAMP Moderate SC-18 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Auktorisera, övervaka och kontrollera användningen av mobil kodtekniker CMA_C1653 – Auktorisera, övervaka och kontrollera användningen av mobil kodtekniker Manuell, inaktiverad 1.1.0
Definiera godtagbara och oacceptabla tekniker för mobilkod CMA_C1651 – Definiera godtagbara och oacceptabla tekniker för mobilkod Manuell, inaktiverad 1.1.0
Upprätta användningsbegränsningar för teknik för mobil kod CMA_C1652 – Upprätta användningsbegränsningar för mobil kodtekniker Manuell, inaktiverad 1.1.0

Voice Over Internet Protocol

ID: FedRAMP Moderate SC-19 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Auktorisera, övervaka och kontrollera voip CMA_0025 – Auktorisera, övervaka och kontrollera voip Manuell, inaktiverad 1.1.0
Upprätta begränsningar för voip-användning CMA_0280 – Upprätta begränsningar för voip-användning Manuell, inaktiverad 1.1.0

Säker namn-/adressmatchningstjänst (auktoritativ källa)

ID: FedRAMP Moderate SC-20 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera ett feltolerant namn/adresstjänst CMA_0305 – Implementera en feltolerant namn/adresstjänst Manuell, inaktiverad 1.1.0
Tillhandahålla säkra namn- och adressmatchningstjänster CMA_0416 – Tillhandahålla säkra namn- och adressmatchningstjänster Manuell, inaktiverad 1.1.0

Säker namn/adressmatchningstjänst (rekursiv eller cachelagringslösning)

ID: FedRAMP Moderate SC-21 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera ett feltolerant namn/adresstjänst CMA_0305 – Implementera en feltolerant namn/adresstjänst Manuell, inaktiverad 1.1.0
Verifiera programvara, inbyggd programvara och informationsintegritet CMA_0542 – Verifiera programvara, inbyggd programvara och informationsintegritet Manuell, inaktiverad 1.1.0

Arkitektur och etablering för namn/adressmatchningstjänst

ID: FedRAMP Moderate SC-22 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Implementera ett feltolerant namn/adresstjänst CMA_0305 – Implementera en feltolerant namn/adresstjänst Manuell, inaktiverad 1.1.0

Sessionsautenticitet

ID: FedRAMP Moderate SC-23 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Konfigurera arbetsstationer för att söka efter digitala certifikat CMA_0073 – Konfigurera arbetsstationer för att söka efter digitala certifikat Manuell, inaktiverad 1.1.0
Framtvinga slumpmässiga unika sessionsidentifierare CMA_0247 – Framtvinga slumpmässiga unika sessionsidentifierare Manuell, inaktiverad 1.1.0

Skydd av vilande information

ID: FedRAMP Moderate SC-28 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
App Service-miljön ska ha intern kryptering aktiverat Om internalEncryption anges till true krypteras sidfilen, arbetsdiskarna och den interna nätverkstrafiken mellan klientdelarna och arbetare i en App Service-miljön. Mer information finns i https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryption. Granskning, inaktiverad 1.0.1
Automation-kontovariabler ska krypteras Det är viktigt att aktivera kryptering av Automation-kontovariabeltillgångar när känsliga data lagras Granska, neka, inaktiverad 1.1.0
Azure Data Box-jobb bör aktivera dubbel kryptering för vilande data på enheten Aktivera ett andra lager av programvarubaserad kryptering för vilande data på enheten. Enheten är redan skyddad via Avancerad kryptering Standard 256-bitars kryptering för vilande data. Det här alternativet lägger till ett andra lager datakryptering. Granska, neka, inaktiverad 1.0.0
Azure Monitor Logs-kluster ska skapas med infrastrukturkryptering aktiverat (dubbel kryptering) Använd ett dedikeradt Azure Monitor-kluster för att säkerställa att säker datakryptering är aktiverat på tjänstnivå och infrastrukturnivå med två olika krypteringsalgoritmer och två olika nycklar. Det här alternativet är aktiverat som standard när det stöds i regionen. Se https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview. audit, Audit, deny, Deny, disabled, Disabled 1.1.0
Azure Stack Edge-enheter bör använda dubbelkryptering För att skydda vilande data på enheten kontrollerar du att de är dubbelkrypterade, åtkomsten till data kontrolleras och när enheten har inaktiverats raderas data på ett säkert sätt från datadiskarna. Dubbel kryptering är användningen av två krypteringslager: BitLocker XTS-AES 256-bitars kryptering på datavolymerna och inbyggd kryptering av hårddiskarna. Läs mer i dokumentationen för säkerhetsöversikten för den specifika Stack Edge-enheten. audit, Audit, deny, Deny, disabled, Disabled 1.1.0
Diskkryptering ska vara aktiverat i Azure Data Explorer Genom att aktivera diskkryptering kan du skydda dina data för att uppfylla organisationens säkerhets- och efterlevnadsåtaganden. Granska, neka, inaktiverad 2.0.0
Dubbel kryptering ska aktiveras i Azure Data Explorer Genom att aktivera dubbel kryptering kan du skydda dina data för att uppfylla organisationens säkerhets- och efterlevnadsåtaganden. När dubbel kryptering har aktiverats krypteras data i lagringskontot två gånger, en gång på tjänstnivå och en gång på infrastrukturnivå, med hjälp av två olika krypteringsalgoritmer och två olika nycklar. Granska, neka, inaktiverad 2.0.0
Upprätta en procedur för hantering av dataläckage CMA_0255 – Upprätta en procedur för hantering av dataläckage Manuell, inaktiverad 1.1.0
Infrastrukturkryptering ska vara aktiverat för Azure Database for MySQL-servrar Aktivera infrastrukturkryptering för Azure Database for MySQL-servrar för att få en högre säkerhetsnivå för att data ska vara säkra. När infrastrukturkryptering är aktiverat krypteras vilande data två gånger med FIPS 140-2-kompatibla Microsoft-hanterade nycklar. Granska, neka, inaktiverad 1.0.0
Infrastrukturkryptering bör aktiveras för Azure Database for PostgreSQL-servrar Aktivera infrastrukturkryptering för Azure Database for PostgreSQL-servrar för att få en högre säkerhetsnivå för att data ska vara säkra. När infrastrukturkryptering är aktiverat krypteras vilande data två gånger med FIPS 140-2-kompatibla Microsoft-hanterade nycklar Granska, neka, inaktiverad 1.0.0
Skydda särskild information CMA_0409 – Skydda särskild information Manuell, inaktiverad 1.1.0
Service Fabric-kluster ska ha egenskapen ClusterProtectionLevel inställd på EncryptAndSign Service Fabric tillhandahåller tre skyddsnivåer (Ingen, Sign och EncryptAndSign) för kommunikation från nod till nod med hjälp av ett primärt klustercertifikat. Ange skyddsnivå för att säkerställa att alla nod-till-nod-meddelanden krypteras och signeras digitalt Granska, neka, inaktiverad 1.1.0
Lagringskonton ska ha infrastrukturkryptering Aktivera infrastrukturkryptering för att säkerställa att data är säkra. När infrastrukturkryptering är aktiverat krypteras data i ett lagringskonto två gånger. Granska, neka, inaktiverad 1.0.0
Temporära diskar och cacheminnen för agentnodpooler i Azure Kubernetes Service-kluster ska krypteras på värden För att förbättra datasäkerheten bör de data som lagras på den virtuella datorns värd för dina virtuella Azure Kubernetes Service-noder krypteras i vila. Detta är ett vanligt krav i många regel- och branschefterlevnadsstandarder. Granska, neka, inaktiverad 1.0.1
transparent datakryptering på SQL-databaser ska vara aktiverat Transparent datakryptering bör aktiveras för att skydda vilande data och uppfylla efterlevnadskraven AuditIfNotExists, inaktiverad 2.0.0
Virtuella datorer och vm-skalningsuppsättningar ska ha kryptering på värden aktiverat Använd kryptering på värden för att hämta kryptering från slutpunkt till slutpunkt för din virtuella dator och vm-skalningsuppsättningsdata. Kryptering på värden möjliggör kryptering i vila för dina tillfälliga disk- och OS/datadiskcacheminnen. Tillfälliga och tillfälliga OS-diskar krypteras med plattformshanterade nycklar när kryptering på värden är aktiverat. OS/datadiskcache krypteras i vila med antingen kundhanterad eller plattformshanterad nyckel, beroende på vilken krypteringstyp som valts på disken. Läs mer på https://aka.ms/vm-hbe. Granska, neka, inaktiverad 1.0.0

Kryptografiskt skydd

ID: FedRAMP Moderate SC-28 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
App Service-miljön ska ha intern kryptering aktiverat Om internalEncryption anges till true krypteras sidfilen, arbetsdiskarna och den interna nätverkstrafiken mellan klientdelarna och arbetare i en App Service-miljön. Mer information finns i https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryption. Granskning, inaktiverad 1.0.1
Automation-kontovariabler ska krypteras Det är viktigt att aktivera kryptering av Automation-kontovariabeltillgångar när känsliga data lagras Granska, neka, inaktiverad 1.1.0
Azure Data Box-jobb bör aktivera dubbel kryptering för vilande data på enheten Aktivera ett andra lager av programvarubaserad kryptering för vilande data på enheten. Enheten är redan skyddad via Avancerad kryptering Standard 256-bitars kryptering för vilande data. Det här alternativet lägger till ett andra lager datakryptering. Granska, neka, inaktiverad 1.0.0
Azure Monitor Logs-kluster ska skapas med infrastrukturkryptering aktiverat (dubbel kryptering) Använd ett dedikeradt Azure Monitor-kluster för att säkerställa att säker datakryptering är aktiverat på tjänstnivå och infrastrukturnivå med två olika krypteringsalgoritmer och två olika nycklar. Det här alternativet är aktiverat som standard när det stöds i regionen. Se https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview. audit, Audit, deny, Deny, disabled, Disabled 1.1.0
Azure Stack Edge-enheter bör använda dubbelkryptering För att skydda vilande data på enheten kontrollerar du att de är dubbelkrypterade, åtkomsten till data kontrolleras och när enheten har inaktiverats raderas data på ett säkert sätt från datadiskarna. Dubbel kryptering är användningen av två krypteringslager: BitLocker XTS-AES 256-bitars kryptering på datavolymerna och inbyggd kryptering av hårddiskarna. Läs mer i dokumentationen för säkerhetsöversikten för den specifika Stack Edge-enheten. audit, Audit, deny, Deny, disabled, Disabled 1.1.0
Diskkryptering ska vara aktiverat i Azure Data Explorer Genom att aktivera diskkryptering kan du skydda dina data för att uppfylla organisationens säkerhets- och efterlevnadsåtaganden. Granska, neka, inaktiverad 2.0.0
Dubbel kryptering ska aktiveras i Azure Data Explorer Genom att aktivera dubbel kryptering kan du skydda dina data för att uppfylla organisationens säkerhets- och efterlevnadsåtaganden. När dubbel kryptering har aktiverats krypteras data i lagringskontot två gånger, en gång på tjänstnivå och en gång på infrastrukturnivå, med hjälp av två olika krypteringsalgoritmer och två olika nycklar. Granska, neka, inaktiverad 2.0.0
Implementera kontroller för att skydda alla medier CMA_0314 – Implementera kontroller för att skydda alla medier Manuell, inaktiverad 1.1.0
Infrastrukturkryptering ska vara aktiverat för Azure Database for MySQL-servrar Aktivera infrastrukturkryptering för Azure Database for MySQL-servrar för att få en högre säkerhetsnivå för att data ska vara säkra. När infrastrukturkryptering är aktiverat krypteras vilande data två gånger med FIPS 140-2-kompatibla Microsoft-hanterade nycklar. Granska, neka, inaktiverad 1.0.0
Infrastrukturkryptering bör aktiveras för Azure Database for PostgreSQL-servrar Aktivera infrastrukturkryptering för Azure Database for PostgreSQL-servrar för att få en högre säkerhetsnivå för att data ska vara säkra. När infrastrukturkryptering är aktiverat krypteras vilande data två gånger med FIPS 140-2-kompatibla Microsoft-hanterade nycklar Granska, neka, inaktiverad 1.0.0
Skydda data under överföring med hjälp av kryptering CMA_0403 – Skydda data under överföring med kryptering Manuell, inaktiverad 1.1.0
Service Fabric-kluster ska ha egenskapen ClusterProtectionLevel inställd på EncryptAndSign Service Fabric tillhandahåller tre skyddsnivåer (Ingen, Sign och EncryptAndSign) för kommunikation från nod till nod med hjälp av ett primärt klustercertifikat. Ange skyddsnivå för att säkerställa att alla nod-till-nod-meddelanden krypteras och signeras digitalt Granska, neka, inaktiverad 1.1.0
Lagringskonton ska ha infrastrukturkryptering Aktivera infrastrukturkryptering för att säkerställa att data är säkra. När infrastrukturkryptering är aktiverat krypteras data i ett lagringskonto två gånger. Granska, neka, inaktiverad 1.0.0
Temporära diskar och cacheminnen för agentnodpooler i Azure Kubernetes Service-kluster ska krypteras på värden För att förbättra datasäkerheten bör de data som lagras på den virtuella datorns värd för dina virtuella Azure Kubernetes Service-noder krypteras i vila. Detta är ett vanligt krav i många regel- och branschefterlevnadsstandarder. Granska, neka, inaktiverad 1.0.1
transparent datakryptering på SQL-databaser ska vara aktiverat Transparent datakryptering bör aktiveras för att skydda vilande data och uppfylla efterlevnadskraven AuditIfNotExists, inaktiverad 2.0.0
Virtuella datorer och vm-skalningsuppsättningar ska ha kryptering på värden aktiverat Använd kryptering på värden för att hämta kryptering från slutpunkt till slutpunkt för din virtuella dator och vm-skalningsuppsättningsdata. Kryptering på värden möjliggör kryptering i vila för dina tillfälliga disk- och OS/datadiskcacheminnen. Tillfälliga och tillfälliga OS-diskar krypteras med plattformshanterade nycklar när kryptering på värden är aktiverat. OS/datadiskcache krypteras i vila med antingen kundhanterad eller plattformshanterad nyckel, beroende på vilken krypteringstyp som valts på disken. Läs mer på https://aka.ms/vm-hbe. Granska, neka, inaktiverad 1.0.0

Processisolering

ID: FedRAMP Moderate SC-39 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Underhålla separata körningsdomäner för processer som körs CMA_C1665 – Underhålla separata körningsdomäner för processer som körs Manuell, inaktiverad 1.1.0

System- och informationsintegritet

Policy och procedurer för system- och informationsintegritet

ID: FedRAMP Moderate SI-1 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Granska och uppdatera principer och procedurer för informationsintegritet CMA_C1667 – Granska och uppdatera principer och procedurer för informationsintegritet Manuell, inaktiverad 1.1.0

Felreparation

ID: FedRAMP Moderate SI-2 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
En lösning för sårbarhetsbedömning ska vara aktiverad på dina virtuella datorer Granskar virtuella datorer för att identifiera om de kör en lösning för sårbarhetsbedömning som stöds. En viktig komponent i varje cyberrisk- och säkerhetsprogram är identifiering och analys av sårbarheter. Azure Security Centers standardprisnivå innehåller sårbarhetsgenomsökning för dina virtuella datorer utan extra kostnad. Dessutom kan Security Center automatiskt distribuera det här verktyget åt dig. AuditIfNotExists, inaktiverad 3.0.0
App Service-appar bör använda den senaste HTTP-versionen Med jämna mellanrum släpps nyare versioner för HTTP antingen på grund av säkerhetsbrister eller för att inkludera ytterligare funktioner. Använda den senaste HTTP-versionen för webbappar för att dra nytta av eventuella säkerhetskorrigeringar och/eller nya funktioner i den nyare versionen. AuditIfNotExists, inaktiverad 4.0.0
Azure Defender för App Service ska vara aktiverat Azure Defender för App Service utnyttjar molnets skala och den synlighet som Azure har som molnleverantör för att övervaka vanliga webbappattacker. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Azure SQL Database-servrar ska vara aktiverade Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för Key Vault ska vara aktiverat Azure Defender för Key Vault ger ytterligare ett lager av skydd och säkerhetsinformation genom att identifiera ovanliga och potentiellt skadliga försök att komma åt eller utnyttja key vault-konton. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Resource Manager ska vara aktiverat Azure Defender för Resource Manager övervakar automatiskt resurshanteringsåtgärderna i din organisation. Azure Defender identifierar hot och varnar dig om misstänkt aktivitet. Läs mer om funktionerna i Azure Defender för Resource Manager på https://aka.ms/defender-for-resource-manager . Om du aktiverar den här Azure Defender-planen resulterar det i avgifter. Läs mer om prisinformationen per region på Security Centers prissida: https://aka.ms/pricing-security-center . AuditIfNotExists, inaktiverad 1.0.0
Azure Defender för servrar ska vara aktiverat Azure Defender för servrar ger skydd mot hot i realtid för serverarbetsbelastningar och genererar härdningsrekommendationer samt aviseringar om misstänkta aktiviteter. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för SQL-servrar på datorer ska vara aktiverat Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Funktionsappar bör använda den senaste HTTP-versionen Med jämna mellanrum släpps nyare versioner för HTTP antingen på grund av säkerhetsbrister eller för att inkludera ytterligare funktioner. Använda den senaste HTTP-versionen för webbappar för att dra nytta av eventuella säkerhetskorrigeringar och/eller nya funktioner i den nyare versionen. AuditIfNotExists, inaktiverad 4.0.0
Införliva felreparation i konfigurationshantering CMA_C1671 – Införliva felreparation i konfigurationshanteringen Manuell, inaktiverad 1.1.0
Kubernetes Services bör uppgraderas till en icke-sårbar Kubernetes-version Uppgradera kubernetes-tjänstklustret till en senare Kubernetes-version för att skydda mot kända sårbarheter i din aktuella Kubernetes-version. Sårbarhets-CVE-2019-9946 har korrigerats i Kubernetes version 1.11.9+, 1.12.7+, 1.13.5+ och 1.14.0+ Granskning, inaktiverad 1.0.2
Microsoft Defender för containrar ska vara aktiverat Microsoft Defender för containrar ger härdning, sårbarhetsbedömning och körningsskydd för dina Azure-, hybrid- och kubernetes-miljöer i flera moln. AuditIfNotExists, inaktiverad 1.0.0
Microsoft Defender för Storage ska vara aktiverat Microsoft Defender för Storage identifierar potentiella hot mot dina lagringskonton. Det hjälper till att förhindra de tre stora effekterna på dina data och din arbetsbelastning: skadliga filuppladdningar, exfiltrering av känsliga data och skadade data. Den nya Defender for Storage-planen innehåller skanning av skadlig kod och hotidentifiering av känsliga data. Den här planen ger också en förutsägbar prisstruktur (per lagringskonto) för kontroll över täckning och kostnader. AuditIfNotExists, inaktiverad 1.0.0
Åtgärda fel i informationssystemet CMA_0427 – Åtgärda fel i informationssystemet Manuell, inaktiverad 1.1.0
SQL-databaser bör lösa sårbarhetsresultat Övervaka resultat av sårbarhetsbedömningsgenomsökning och rekommendationer för hur du åtgärdar sårbarheter i databasen. AuditIfNotExists, inaktiverad 4.1.0
Systemuppdateringar på vm-skalningsuppsättningar ska installeras Granska om det finns några saknade systemsäkerhetsuppdateringar och viktiga uppdateringar som ska installeras för att säkerställa att skalningsuppsättningar för virtuella Windows- och Linux-datorer är säkra. AuditIfNotExists, inaktiverad 3.0.0
Systemuppdateringar bör installeras på dina datorer Uppdateringar av säkerhetssystem som saknas på dina servrar övervakas av Azure Security Center som rekommendationer AuditIfNotExists, inaktiverad 4.0.0
Säkerhetsrisker i säkerhetskonfigurationen på dina datorer bör åtgärdas Servrar som inte uppfyller den konfigurerade baslinjen övervakas av Azure Security Center som rekommendationer AuditIfNotExists, inaktiverad 3.1.0

Status för automatisk felreparation

ID: FedRAMP Moderate SI-2 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Automatisera reparation av fel CMA_0027 – Automatisera felreparation Manuell, inaktiverad 1.1.0
Åtgärda fel i informationssystemet CMA_0427 – Åtgärda fel i informationssystemet Manuell, inaktiverad 1.1.0

Tid för att åtgärda fel/riktmärken för korrigerande åtgärder

ID: FedRAMP Moderate SI-2 (3) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Upprätta riktmärken för felreparation CMA_C1675 – Upprätta riktmärken för felreparation Manuell, inaktiverad 1.1.0
Mäta tiden mellan felidentifiering och felreparation CMA_C1674 – Mäta tiden mellan felidentifiering och felreparation Manuell, inaktiverad 1.1.0

Skydd mot skadlig kod

ID: FedRAMP Moderate SI-3 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Azure Defender för servrar ska vara aktiverat Azure Defender för servrar ger skydd mot hot i realtid för serverarbetsbelastningar och genererar härdningsrekommendationer samt aviseringar om misstänkta aktiviteter. AuditIfNotExists, inaktiverad 1.0.3
Blockera ej betrodda och osignerade processer som körs från USB CMA_0050 – Blockera obetrodda och osignerade processer som körs från USB Manuell, inaktiverad 1.1.0
Hantera gatewayer CMA_0363 – Hantera gatewayer Manuell, inaktiverad 1.1.0
Utföra en trendanalys av hot CMA_0389 – Utföra en trendanalys av hot Manuell, inaktiverad 1.1.0
Utföra sårbarhetsgenomsökningar CMA_0393 – Utföra sårbarhetsgenomsökningar Manuell, inaktiverad 1.1.0
Granska rapporten om identifiering av skadlig kod varje vecka CMA_0475 – Granska rapporten om identifiering av skadlig kod varje vecka Manuell, inaktiverad 1.1.0
Granska hotskyddsstatus varje vecka CMA_0479 – Granska hotskyddsstatus varje vecka Manuell, inaktiverad 1.1.0
Uppdatera antivirusdefinitioner CMA_0517 – Uppdatera antivirusdefinitioner Manuell, inaktiverad 1.1.0
Windows Defender Exploit Guard ska vara aktiverat på dina datorer Windows Defender Exploit Guard använder Azure Policy-gästkonfigurationsagenten. Exploit Guard har fyra komponenter som är utformade för att låsa enheter mot en mängd olika attackvektorer och blockera beteenden som ofta används i attacker mot skadlig kod samtidigt som företag kan balansera sina krav på säkerhetsrisker och produktivitet (endast Windows). AuditIfNotExists, inaktiverad 2.0.0

Central hantering

ID: FedRAMP Moderate SI-3 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Azure Defender för servrar ska vara aktiverat Azure Defender för servrar ger skydd mot hot i realtid för serverarbetsbelastningar och genererar härdningsrekommendationer samt aviseringar om misstänkta aktiviteter. AuditIfNotExists, inaktiverad 1.0.3
Blockera ej betrodda och osignerade processer som körs från USB CMA_0050 – Blockera obetrodda och osignerade processer som körs från USB Manuell, inaktiverad 1.1.0
Hantera gatewayer CMA_0363 – Hantera gatewayer Manuell, inaktiverad 1.1.0
Utföra en trendanalys av hot CMA_0389 – Utföra en trendanalys av hot Manuell, inaktiverad 1.1.0
Utföra sårbarhetsgenomsökningar CMA_0393 – Utföra sårbarhetsgenomsökningar Manuell, inaktiverad 1.1.0
Granska rapporten om identifiering av skadlig kod varje vecka CMA_0475 – Granska rapporten om identifiering av skadlig kod varje vecka Manuell, inaktiverad 1.1.0
Uppdatera antivirusdefinitioner CMA_0517 – Uppdatera antivirusdefinitioner Manuell, inaktiverad 1.1.0
Windows Defender Exploit Guard ska vara aktiverat på dina datorer Windows Defender Exploit Guard använder Azure Policy-gästkonfigurationsagenten. Exploit Guard har fyra komponenter som är utformade för att låsa enheter mot en mängd olika attackvektorer och blockera beteenden som ofta används i attacker mot skadlig kod samtidigt som företag kan balansera sina krav på säkerhetsrisker och produktivitet (endast Windows). AuditIfNotExists, inaktiverad 2.0.0

Automatiska uppdateringar

ID: FedRAMP Moderate SI-3 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Blockera ej betrodda och osignerade processer som körs från USB CMA_0050 – Blockera obetrodda och osignerade processer som körs från USB Manuell, inaktiverad 1.1.0
Hantera gatewayer CMA_0363 – Hantera gatewayer Manuell, inaktiverad 1.1.0
Utföra en trendanalys av hot CMA_0389 – Utföra en trendanalys av hot Manuell, inaktiverad 1.1.0
Utföra sårbarhetsgenomsökningar CMA_0393 – Utföra sårbarhetsgenomsökningar Manuell, inaktiverad 1.1.0
Granska rapporten om identifiering av skadlig kod varje vecka CMA_0475 – Granska rapporten om identifiering av skadlig kod varje vecka Manuell, inaktiverad 1.1.0
Uppdatera antivirusdefinitioner CMA_0517 – Uppdatera antivirusdefinitioner Manuell, inaktiverad 1.1.0

Icke-signaturbaserad identifiering

ID: FedRAMP Moderate SI-3 (7) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Blockera ej betrodda och osignerade processer som körs från USB CMA_0050 – Blockera obetrodda och osignerade processer som körs från USB Manuell, inaktiverad 1.1.0
Hantera gatewayer CMA_0363 – Hantera gatewayer Manuell, inaktiverad 1.1.0
Utföra en trendanalys av hot CMA_0389 – Utföra en trendanalys av hot Manuell, inaktiverad 1.1.0
Utföra sårbarhetsgenomsökningar CMA_0393 – Utföra sårbarhetsgenomsökningar Manuell, inaktiverad 1.1.0
Granska rapporten om identifiering av skadlig kod varje vecka CMA_0475 – Granska rapporten om identifiering av skadlig kod varje vecka Manuell, inaktiverad 1.1.0
Uppdatera antivirusdefinitioner CMA_0517 – Uppdatera antivirusdefinitioner Manuell, inaktiverad 1.1.0

Övervakning av informationssystem

ID: FedRAMP Moderate SI-4 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
[Förhandsversion]: All Internettrafik ska dirigeras via din distribuerade Azure Firewall Azure Security Center har upptäckt att vissa av dina undernät inte skyddas med en nästa generations brandvägg. Skydda dina undernät mot potentiella hot genom att begränsa åtkomsten till dem med Azure Firewall eller en nästa generations brandvägg som stöds AuditIfNotExists, inaktiverad 3.0.0-preview
[Förhandsversion]: Azure Arc-aktiverade Kubernetes-kluster bör ha Microsoft Defender för molnet-tillägget installerat Microsoft Defender för molnet-tillägget för Azure Arc ger skydd mot hot för dina Arc-aktiverade Kubernetes-kluster. Tillägget samlar in data från alla noder i klustret och skickar dem till Azure Defender för Kubernetes-serverdelen i molnet för ytterligare analys. Läs mer i https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc. AuditIfNotExists, inaktiverad 6.0.0-preview
[Förhandsversion]: Log Analytics-tillägget bör installeras på dina Linux Azure Arc-datorer Den här principen granskar Linux Azure Arc-datorer om Log Analytics-tillägget inte är installerat. AuditIfNotExists, inaktiverad 1.0.1-förhandsversion
[Förhandsversion]: Log Analytics-tillägget bör installeras på dina Windows Azure Arc-datorer Den här principen granskar Windows Azure Arc-datorer om Log Analytics-tillägget inte är installerat. AuditIfNotExists, inaktiverad 1.0.1-förhandsversion
[Förhandsversion]: Datainsamlingsagenten för nätverkstrafik bör installeras på virtuella Linux-datorer Security Center använder Microsoft Dependency-agenten för att samla in nätverkstrafikdata från dina virtuella Azure-datorer för att aktivera avancerade nätverksskyddsfunktioner som trafikvisualisering på nätverkskartan, rekommendationer för nätverkshärdning och specifika nätverkshot. AuditIfNotExists, inaktiverad 1.0.2-förhandsversion
[Förhandsversion]: Datainsamlingsagenten för nätverkstrafik bör installeras på virtuella Windows-datorer Security Center använder Microsoft Dependency-agenten för att samla in nätverkstrafikdata från dina virtuella Azure-datorer för att aktivera avancerade nätverksskyddsfunktioner som trafikvisualisering på nätverkskartan, rekommendationer för nätverkshärdning och specifika nätverkshot. AuditIfNotExists, inaktiverad 1.0.2-förhandsversion
Azure Defender för App Service ska vara aktiverat Azure Defender för App Service utnyttjar molnets skala och den synlighet som Azure har som molnleverantör för att övervaka vanliga webbappattacker. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Azure SQL Database-servrar ska vara aktiverade Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för Key Vault ska vara aktiverat Azure Defender för Key Vault ger ytterligare ett lager av skydd och säkerhetsinformation genom att identifiera ovanliga och potentiellt skadliga försök att komma åt eller utnyttja key vault-konton. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för Resource Manager ska vara aktiverat Azure Defender för Resource Manager övervakar automatiskt resurshanteringsåtgärderna i din organisation. Azure Defender identifierar hot och varnar dig om misstänkt aktivitet. Läs mer om funktionerna i Azure Defender för Resource Manager på https://aka.ms/defender-for-resource-manager . Om du aktiverar den här Azure Defender-planen resulterar det i avgifter. Läs mer om prisinformationen per region på Security Centers prissida: https://aka.ms/pricing-security-center . AuditIfNotExists, inaktiverad 1.0.0
Azure Defender för servrar ska vara aktiverat Azure Defender för servrar ger skydd mot hot i realtid för serverarbetsbelastningar och genererar härdningsrekommendationer samt aviseringar om misstänkta aktiviteter. AuditIfNotExists, inaktiverad 1.0.3
Azure Defender för SQL-servrar på datorer ska vara aktiverat Azure Defender för SQL tillhandahåller funktioner för att visa och minimera potentiella sårbarheter i databasen, identifiera avvikande aktiviteter som kan tyda på hot mot SQL-databaser och identifiera och klassificera känsliga data. AuditIfNotExists, inaktiverad 1.0.2
Azure Defender för SQL ska vara aktiverat för oskyddade Azure SQL-servrar Granska SQL-servrar utan Advanced Data Security AuditIfNotExists, inaktiverad 2.0.1
Azure Defender för SQL ska vara aktiverat för oskyddade SQL Managed Instances Granska varje SQL Managed Instance utan avancerad datasäkerhet. AuditIfNotExists, inaktiverad 1.0.2
Gästkonfigurationstillägget ska installeras på dina datorer Installera gästkonfigurationstillägget för att säkerställa säkra konfigurationer av gästinställningar på datorn. Gästinställningar som tilläggsövervakarna inkluderar konfigurationen av operativsystemet, programkonfiguration eller närvaro samt miljöinställningar. När de har installerats är gästprinciper tillgängliga, till exempel "Windows Exploit guard ska vara aktiverat". Läs mer på https://aka.ms/gcpol. AuditIfNotExists, inaktiverad 1.0.3
Microsoft Defender för containrar ska vara aktiverat Microsoft Defender för containrar ger härdning, sårbarhetsbedömning och körningsskydd för dina Azure-, hybrid- och kubernetes-miljöer i flera moln. AuditIfNotExists, inaktiverad 1.0.0
Microsoft Defender för Storage ska vara aktiverat Microsoft Defender för Storage identifierar potentiella hot mot dina lagringskonton. Det hjälper till att förhindra de tre stora effekterna på dina data och din arbetsbelastning: skadliga filuppladdningar, exfiltrering av känsliga data och skadade data. Den nya Defender for Storage-planen innehåller skanning av skadlig kod och hotidentifiering av känsliga data. Den här planen ger också en förutsägbar prisstruktur (per lagringskonto) för kontroll över täckning och kostnader. AuditIfNotExists, inaktiverad 1.0.0
Network Watcher ska vara aktiverat Network Watcher är en regional tjänst som gör att du kan övervaka och diagnostisera villkor på nätverksscenarionivå i, till och från Azure. Med övervakning på scenarionivå kan du diagnostisera problem i en vy på nätverksnivå från slutpunkt till slutpunkt. Det krävs att en resursgrupp för nätverksbevakare skapas i varje region där ett virtuellt nätverk finns. En avisering aktiveras om en resursgrupp för nätverksbevakare inte är tillgänglig i en viss region. AuditIfNotExists, inaktiverad 3.0.0
Få juridiska utlåtanden för övervakningssystemaktiviteter CMA_C1688 – Få juridiska utlåtanden för övervakningssystemaktiviteter Manuell, inaktiverad 1.1.0
Utföra en trendanalys av hot CMA_0389 – Utföra en trendanalys av hot Manuell, inaktiverad 1.1.0
Ange övervakningsinformation efter behov CMA_C1689 – Ange övervakningsinformation efter behov Manuell, inaktiverad 1.1.0
Gästkonfigurationstillägget för virtuella datorer ska distribueras med systemtilldelad hanterad identitet Gästkonfigurationstillägget kräver en systemtilldelad hanterad identitet. Virtuella Azure-datorer i omfånget för den här principen kommer att vara inkompatibla när gästkonfigurationstillägget är installerat men inte har någon systemtilldelad hanterad identitet. Läs mer på https://aka.ms/gcpol AuditIfNotExists, inaktiverad 1.0.1

Automatiserade verktyg för realtidsanalys

ID: FedRAMP Moderate SI-4 (2) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dokumentsäkerhetsåtgärder CMA_0202 – Dokumentsäkerhetsåtgärder Manuell, inaktiverad 1.1.0
Aktivera sensorer för slutpunktssäkerhetslösning CMA_0514 – Aktivera sensorer för slutpunktssäkerhetslösning Manuell, inaktiverad 1.1.0

Inkommande och utgående kommunikationstrafik

ID: FedRAMP Moderate SI-4 (4) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Auktorisera, övervaka och kontrollera voip CMA_0025 – Auktorisera, övervaka och kontrollera voip Manuell, inaktiverad 1.1.0
Implementera systemgränsskydd CMA_0328 – Implementera systemgränsskydd Manuell, inaktiverad 1.1.0
Hantera gatewayer CMA_0363 – Hantera gatewayer Manuell, inaktiverad 1.1.0
Dirigera trafik via hanterade nätverksåtkomstpunkter CMA_0484 – Dirigera trafik via hanterade nätverksåtkomstpunkter Manuell, inaktiverad 1.1.0

Systemgenererade aviseringar

ID: FedRAMP Moderate SI-4 (5) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Aviseringspersonal om informationsspill CMA_0007 – Avisera personal om informationsspill Manuell, inaktiverad 1.1.0
Utveckla en plan för incidenthantering CMA_0145 – Utveckla en plan för incidenthantering Manuell, inaktiverad 1.1.0
Ange automatiserade meddelanden för nya och populära molnprogram i din organisation CMA_0495 – Ange automatiserade meddelanden för nya och populära molnprogram i din organisation Manuell, inaktiverad 1.1.0

Identifiering av trådlösa intrång

ID: FedRAMP Moderate SI-4 (14) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Dokumentera säkerhetskontroller för trådlös åtkomst CMA_C1695 – Dokumentera säkerhetskontroller för trådlös åtkomst Manuell, inaktiverad 1.1.0

Säkerhetsaviseringar, rekommendationer och direktiv

ID: FedRAMP Moderate SI-5 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Sprida säkerhetsaviseringar till personal CMA_C1705 – Sprida säkerhetsaviseringar till personal Manuell, inaktiverad 1.1.0
Upprätta ett program för hotinformation CMA_0260 – Upprätta ett program för hotinformation Manuell, inaktiverad 1.1.0
Generera interna säkerhetsaviseringar CMA_C1704 – Generera interna säkerhetsaviseringar Manuell, inaktiverad 1.1.0
Implementera säkerhetsdirektiv CMA_C1706 – Implementera säkerhetsdirektiv Manuell, inaktiverad 1.1.0

Verifiering av säkerhetsfunktion

ID: FedRAMP Moderate SI-6 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Skapa alternativa åtgärder för identifierade avvikelser CMA_C1711 – Skapa alternativa åtgärder för identifierade avvikelser Manuell, inaktiverad 1.1.0
Meddela personalen om misslyckade säkerhetsverifieringstester CMA_C1710 – Meddela personalen om misslyckade säkerhetsverifieringstester Manuell, inaktiverad 1.1.0
Utföra verifiering av säkerhetsfunktioner med en definierad frekvens CMA_C1709 – Utföra verifiering av säkerhetsfunktioner med en definierad frekvens Manuell, inaktiverad 1.1.0
Verifiera säkerhetsfunktioner CMA_C1708 – Verifiera säkerhetsfunktioner Manuell, inaktiverad 1.1.0

Programvara, inbyggd programvara och informationsintegritet

ID: FedRAMP Moderate SI-7 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Verifiera programvara, inbyggd programvara och informationsintegritet CMA_0542 – Verifiera programvara, inbyggd programvara och informationsintegritet Manuell, inaktiverad 1.1.0

Integritetskontroller

ID: FedRAMP Moderate SI-7 (1) Ägarskap: Delat

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Verifiera programvara, inbyggd programvara och informationsintegritet CMA_0542 – Verifiera programvara, inbyggd programvara och informationsintegritet Manuell, inaktiverad 1.1.0
Visa och konfigurera systemdiagnostikdata CMA_0544 – Visa och konfigurera systemdiagnostikdata Manuell, inaktiverad 1.1.0

Validering av informationsindata

ID: FedRAMP Moderate SI-10 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Utföra verifiering av informationsindata CMA_C1723 – Utföra verifiering av informationsindata Manuell, inaktiverad 1.1.0

Felhantering

ID: FedRAMP Moderate SI-11 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Generera felmeddelanden CMA_C1724 – Generera felmeddelanden Manuell, inaktiverad 1.1.0
Visa felmeddelanden CMA_C1725 – Visa felmeddelanden Manuell, inaktiverad 1.1.0

Informationshantering och kvarhållning

ID: FedRAMP Moderate SI-12 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Kontrollera fysisk åtkomst CMA_0081 – Kontrollera fysisk åtkomst Manuell, inaktiverad 1.1.0
Hantera indata, utdata, bearbetning och lagring av data CMA_0369 – Hantera indata, utdata, bearbetning och lagring av data Manuell, inaktiverad 1.1.0
Granska etikettaktivitet och analys CMA_0474 – Granska etikettaktivitet och analys Manuell, inaktiverad 1.1.0

Minnesskydd

ID: FedRAMP Moderate SI-16 Ownership: Shared

Name
(Azure Portal)
beskrivning Effekter Version
(GitHub)
Azure Defender för servrar ska vara aktiverat Azure Defender för servrar ger skydd mot hot i realtid för serverarbetsbelastningar och genererar härdningsrekommendationer samt aviseringar om misstänkta aktiviteter. AuditIfNotExists, inaktiverad 1.0.3
Windows Defender Exploit Guard ska vara aktiverat på dina datorer Windows Defender Exploit Guard använder Azure Policy-gästkonfigurationsagenten. Exploit Guard har fyra komponenter som är utformade för att låsa enheter mot en mängd olika attackvektorer och blockera beteenden som ofta används i attacker mot skadlig kod samtidigt som företag kan balansera sina krav på säkerhetsrisker och produktivitet (endast Windows). AuditIfNotExists, inaktiverad 2.0.0

Nästa steg

Ytterligare artiklar om Azure Policy: