Dela via


Azure-säkerhetsbaslinje för Virtual Machine Scale Sets

Den här säkerhetsbaslinjen tillämpar vägledning från Microsoft cloud security benchmark version 1.0 till Virtual Machine Scale Sets. Microsofts benchmark för molnsäkerhet ger rekommendationer om hur du kan skydda dina molnlösningar i Azure. Innehållet grupperas efter de säkerhetskontroller som definieras av Microsofts benchmark för molnsäkerhet och den relaterade vägledning som gäller för Virtual Machine Scale Sets.

Du kan övervaka den här säkerhetsbaslinjen och dess rekommendationer med hjälp av Microsoft Defender för molnet. Azure Policy definitioner visas i avsnittet Regelefterlevnad på portalsidan Microsoft Defender för molnet.

När en funktion har relevanta Azure Policy definitioner visas de i den här baslinjen för att hjälpa dig att mäta efterlevnaden av Microsofts prestandamått för molnsäkerhet och rekommendationer. Vissa rekommendationer kan kräva en betald Microsoft Defender plan för att aktivera vissa säkerhetsscenarier.

Anteckning

Funktioner som inte gäller för Virtual Machine Scale Sets har exkluderats. Om du vill se hur Virtual Machine Scale Sets helt mappar till Microsofts molnsäkerhetsmått kan du läsa den fullständiga mappningsfilen för Virtual Machine Scale Sets säkerhetsbaslinje.

Säkerhetsprofil

Säkerhetsprofilen sammanfattar beteendet med hög påverkan på Virtual Machine Scale Sets, vilket kan leda till ökade säkerhetsöverväganden.

Attribut för tjänstbeteende Värde
Produktkategori Compute
Kunden kan komma åt HOST/OS Fullständig åtkomst
Tjänsten kan distribueras till kundens virtuella nätverk Sant
Lagrar kundinnehåll i vila Sant

Nätverkssäkerhet

Mer information finns i Microsoft Cloud Security Benchmark: Nätverkssäkerhet.

NS-1: Upprätta gränser för nätverkssegmentering

Funktioner

Integrering med virtuellt nätverk

Beskrivning: Tjänsten stöder distribution till kundens privata Virtual Network (VNet). Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Sant Microsoft

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Virtuella nätverk och virtuella datorer i Azure

Stöd för nätverkssäkerhetsgrupp

Beskrivning: Tjänstnätverkstrafik respekterar regeltilldelningen för nätverkssäkerhetsgrupper i dess undernät. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd nätverkssäkerhetsgrupper (NSG) för att begränsa eller övervaka trafik via port, protokoll, käll-IP-adress eller mål-IP-adress. Skapa NSG-regler för att begränsa tjänstens öppna portar (till exempel förhindra att hanteringsportar nås från ej betrodda nätverk). Tänk på att NSG:er som standard nekar all inkommande trafik men tillåter trafik från virtuella nätverk och Azure Load Balancers.

När du skapar en virtuell Azure-dator (VM) måste du skapa ett virtuellt nätverk eller använda ett befintligt virtuellt nätverk och konfigurera den virtuella datorn med ett undernät. Se till att alla distribuerade undernät har en nätverkssäkerhetsgrupp som tillämpas med nätverksåtkomstkontroller som är specifika för dina program betrodda portar och källor.

Referens: Nätverkssäkerhetsgrupper

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Rekommendationer för anpassningsbar nätverkshärdning bör tillämpas på internetuppkopplade virtuella datorer Azure Security Center analyserar trafikmönstren för internetuppkopplade virtuella datorer och tillhandahåller regelrekommendationer för nätverkssäkerhetsgruppen som minskar den potentiella attackytan AuditIfNotExists, Inaktiverad 3.0.0

NS-2: Skydda molntjänster med nätverkskontroller

Funktioner

Inaktivera åtkomst till offentligt nätverk

Beskrivning: Tjänsten stöder inaktivering av åtkomst till offentliga nätverk antingen med hjälp av ip-ACL-filtreringsregel på tjänstnivå (inte NSG eller Azure Firewall) eller med växlingsknappen Inaktivera åtkomst till offentligt nätverk. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: Tjänster som är installerade med operativsystemet kan användas för att tillhandahålla nätverksfiltrering för inaktiverad åtkomst till offentliga nätverk.

Konfigurationsvägledning: Det finns ingen aktuell Microsoft-vägledning för den här funktionskonfigurationen. Granska och kontrollera om din organisation vill konfigurera den här säkerhetsfunktionen.

Identitetshantering

Mer information finns i Microsoft Cloud Security Benchmark: Identitetshantering.

IM-1: Använd centraliserat identitets- och autentiseringssystem

Funktioner

Azure AD autentisering krävs för dataplansåtkomst

Beskrivning: Tjänsten stöder användning av Azure AD autentisering för dataplansåtkomst. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd Azure Active Directory (Azure AD) som standardautentiseringsmetod för att styra åtkomsten till dataplanet. Azure AD skyddar data med hjälp av stark kryptering för vilande data och under överföring. Azure AD även salter, hashvärden och lagrar autentiseringsuppgifter på ett säkert sätt. Du kan använda hanterade identiteter för att autentisera till alla tjänster som stöder Azure AD autentisering, inklusive Key Vault, utan några autentiseringsuppgifter i koden. Din kod som körs på en virtuell dator kan använda sin hanterade identitet för att begära åtkomsttoken för tjänster som stöder Azure AD autentisering.

Referens: Azure AD join-implementering

Lokala autentiseringsmetoder för dataplansåtkomst

Beskrivning: Lokala autentiseringsmetoder som stöds för åtkomst till dataplanet, till exempel ett lokalt användarnamn och lösenord. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Sant Microsoft

Funktionsanteckningar: Undvik användning av lokala autentiseringsmetoder eller konton. Dessa bör inaktiveras när det är möjligt. Använd i stället Azure AD för att autentisera där det är möjligt.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

SNABBMEDDELANDE 3: Hantera programidentiteter på ett säkert och automatiskt sätt

Funktioner

Hanterade identiteter

Beskrivning: Dataplansåtgärder stöder autentisering med hanterade identiteter. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd azure-hanterade identiteter i stället för tjänstens huvudnamn när det är möjligt, som kan autentisera till Azure-tjänster och resurser som stöder Azure Active Directory-autentisering (Azure AD). Autentiseringsuppgifter för hanterade identiteter hanteras, roteras och skyddas av plattformen, vilket undviker hårdkodade autentiseringsuppgifter i källkods- eller konfigurationsfiler.

Referens: Hanterade identiteter för Azure-resurser

Tjänstens huvudnamn

Beskrivning: Dataplanet stöder autentisering med hjälp av tjänstens huvudnamn. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: Tjänstens huvudnamn kan användas av program som körs i Virtual Machine Scale Sets.

Konfigurationsvägledning: Det finns ingen aktuell Microsoft-vägledning för den här funktionskonfigurationen. Granska och kontrollera om din organisation vill konfigurera den här säkerhetsfunktionen.

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Tillägg för gästkonfiguration för virtuella datorer ska distribueras med systemtilldelad hanterad identitet Gästkonfigurationstillägget kräver en systemtilldelad hanterad identitet. Virtuella Azure-datorer i omfånget för den här principen är inkompatibla när gästkonfigurationstillägget är installerat men inte har någon systemtilldelad hanterad identitet. Läs mer på https://aka.ms/gcpol AuditIfNotExists, Inaktiverad 1.0.1

IM-8: Begränsa exponeringen av autentiseringsuppgifter och hemligheter

Funktioner

Stöd för integrering och lagring av tjänstautentiseringsuppgifter och hemligheter i Azure Key Vault

Beskrivning: Dataplanet stöder intern användning av Azure Key Vault för lagring av autentiseringsuppgifter och hemligheter. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: I dataplanet eller operativsystemet kan tjänster anropa Azure Key Vault för autentiseringsuppgifter eller hemligheter.

Konfigurationsvägledning: Se till att hemligheter och autentiseringsuppgifter lagras på säkra platser som Azure Key Vault, i stället för att bädda in dem i kod- eller konfigurationsfiler.

Privilegierad åtkomst

Mer information finns i Microsoft cloud security benchmark: Privileged access (Microsoft cloud security benchmark: Privileged access).

PA-1: Avgränsa och begränsa högprivilegierade/administrativa användare

Funktioner

Lokala Admin-konton

Beskrivning: Tjänsten har begreppet lokalt administrativt konto. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Sant Microsoft

Funktionsanteckningar: Undvik användning av lokala autentiseringsmetoder eller konton. Dessa bör inaktiveras när det är möjligt. Använd i stället Azure AD för att autentisera där det är möjligt.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Skapa virtuella datorer i en skalningsuppsättning med Azure Portal

PA-7: Följ principen för precis tillräckligt med administration (minst behörighet)

Funktioner

Azure RBAC för dataplan

Beskrivning: Azure Role-Based Access Control (Azure RBAC) kan användas för hanterad åtkomst till tjänstens dataplansåtgärder. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd rollbaserad åtkomstkontroll i Azure (Azure RBAC) för att hantera Åtkomst till Azure-resurser via inbyggda rolltilldelningar. Azure RBAC-roller kan tilldelas till användare, grupper, tjänstens huvudnamn och hanterade identiteter.

Referens: Inbyggd roll för virtuell datordeltagare

PA-8: Fastställa åtkomstprocessen för molnleverantörssupport

Funktioner

Customer Lockbox

Beskrivning: Customer Lockbox kan användas för Microsofts supportåtkomst. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: I supportscenarier där Microsoft behöver åtkomst till dina data använder du Customer Lockbox för att granska och sedan godkänna eller avvisa var och en av Microsofts dataåtkomstbegäranden.

Dataskydd

Mer information finns i Microsoft Cloud Security Benchmark: Dataskydd.

DP-1: Identifiera, klassificera och märka känsliga data

Funktioner

Identifiering och klassificering av känsliga data

Beskrivning: Verktyg (till exempel Azure Purview eller Azure Information Protection) kan användas för identifiering och klassificering av data i tjänsten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

DP-2: Övervaka avvikelser och hot mot känsliga data

Funktioner

Dataläckage/förlustskydd

Beskrivning: Tjänsten stöder DLP-lösning för att övervaka känslig dataflytt (i kundens innehåll). Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

DP-3: Kryptera känsliga data under överföring

Funktioner

Data under överföringskryptering

Beskrivning: Tjänsten stöder datakryptering under överföring för dataplanet. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: Vissa kommunikationsprotokoll, till exempel SSH, krypteras som standard. Tjänster som RDP eller HTTP måste dock konfigureras för att använda TLS för kryptering.

Konfigurationsvägledning: Aktivera säker överföring i tjänster där det finns en inbyggd funktion för överföringskryptering inbyggd. Framtvinga HTTPS på alla webbprogram och tjänster och se till att TLS v1.2 eller senare används. Äldre versioner, till exempel SSL 3.0, TLS v1.0 bör inaktiveras. För fjärrhantering av Virtual Machines använder du SSH (för Linux) eller RDP/TLS (för Windows) i stället för ett okrypterat protokoll.

Referens: Kryptering under överföring på virtuella datorer

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Windows-datorer bör konfigureras för att använda protokoll för säker kommunikation För att skydda sekretessen för information som förmedlas via Internet bör dina datorer använda den senaste versionen av det kryptografiska protokollet Transport Layer Security (TLS) som är branschstandard. TLS skyddar kommunikationen över ett nätverk genom att kryptera en anslutning mellan datorer. AuditIfNotExists, inaktiverad 4.1.1

DP-4: Aktivera vilande datakryptering som standard

Funktioner

Kryptering av vilande data med plattformsnycklar

Beskrivning: Kryptering av vilande data med plattformsnycklar stöds. Allt kundinnehåll i vila krypteras med dessa Microsoft-hanterade nycklar. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Sant Microsoft

Funktionsanteckningar: Förutom standardkryptering med plattformshanterade nycklar kan känsliga kunder med hög säkerhet som är oroade över den risk som är kopplad till en viss krypteringsalgoritm, implementering eller nyckel som komprometteras nu välja ytterligare krypteringslager med hjälp av en annan krypteringsalgoritm/-läge på infrastrukturlagret med hjälp av plattformshanterade krypteringsnycklar och kundhanterade nycklar. Det här nya lagret kan tillämpas på bestående operativsystem och datadiskar, ögonblicksbilder och avbildningar, som alla krypteras i vila med dubbel kryptering.

Mer information finns i: Dubbel kryptering i vila.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Azure Disk Encryption för Virtual Machine Scale Sets

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
[Förhandsversion]: Virtuella Linux-datorer bör aktivera Azure Disk Encryption eller EncryptionAtHost. Som standard krypteras en virtuell dators operativsystem och datadiskar i vila med plattformshanterade nycklar. temporära diskar och datacacheminnen krypteras inte och data krypteras inte när de flödar mellan beräknings- och lagringsresurser. Använd Azure Disk Encryption eller EncryptionAtHost för att kryptera alla dessa data. Besök https://aka.ms/diskencryptioncomparison för att jämföra krypteringserbjudanden. Den här principen kräver att två krav distribueras till principtilldelningsomfånget. Mer information finns på https://aka.ms/gcpol. AuditIfNotExists, inaktiverad 1.2.0-förhandsversion

DP-5: Använd alternativet kundhanterad nyckel i vilande datakryptering vid behov

Funktioner

Vilande datakryptering med cmk

Beskrivning: Kryptering i vila med kundhanterade nycklar stöds för kundinnehåll som lagras av tjänsten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Om det behövs för regelefterlevnad definierar du användningsfall och tjänstomfång där kryptering med kundhanterade nycklar behövs. Aktivera och implementera vilande datakryptering med hjälp av kundhanterad nyckel för dessa tjänster.

Virtuella diskar på Virtual Machines (VM) krypteras i vila med antingen kryptering på serversidan eller Azure-diskkryptering (ADE). Azure Disk Encryption utnyttjar den DM-Crypt funktionen i Linux för att kryptera hanterade diskar med kundhanterade nycklar i den virtuella gästdatorn. Kryptering på serversidan med kundhanterade nycklar förbättrar ADE genom att du kan använda operativsystemtyper och avbildningar för dina virtuella datorer genom att kryptera data i lagringstjänsten.

När du anger en kundhanterad nyckel används nyckeln för att skydda och kontrollera åtkomsten till nyckeln som krypterar dina data. Kundhanterade nycklar ger större flexibilitet för att hantera åtkomstkontroller. Du måste använda antingen Azure Key Vault eller Azure Key Vault Managed Hardware Security Module (HSM) för att lagra dina kundhanterade nycklar.

Du kan antingen importera dina RSA-nycklar till din Key Vault eller generera nya RSA-nycklar i Azure Key Vault. Azure-hanterade diskar hanterar kryptering och dekryptering på ett helt transparent sätt med hjälp av kuvertkryptering. Den krypterar data med hjälp av en AES 256-baserad datakrypteringsnyckel (DEK), som i sin tur skyddas med dina nycklar. Lagringstjänsten genererar datakrypteringsnycklar och krypterar dem med kundhanterade nycklar med RSA-kryptering. Med kuvertkryptering kan du rotera (ändra) dina nycklar regelbundet enligt dina efterlevnadsprinciper utan att påverka dina virtuella datorer. När du roterar dina nycklar krypterar Lagringstjänsten om datakrypteringsnycklarna med de nya kundhanterade nycklarna.

Managed Disks och Key Vault eller hanterad HSM måste finnas i samma Azure-region, men de kan finnas i olika prenumerationer. De måste också finnas i samma Azure Active Directory-klientorganisation (Azure AD), såvida du inte krypterar hanterade diskar med kundhanterade nycklar mellan klientorganisationer.

Referens: Skapa och konfigurera ett nyckelvalv för Azure Disk Encryption

DP-6: Använd en säker nyckelhanteringsprocess

Funktioner

Nyckelhantering i Azure Key Vault

Beskrivning: Tjänsten stöder Azure Key Vault integrering för kundnycklar, hemligheter eller certifikat. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd Azure Key Vault för att skapa och kontrollera livscykeln för dina krypteringsnycklar, inklusive nyckelgenerering, distribution och lagring. Rotera och återkalla dina nycklar i Azure Key Vault och din tjänst baserat på ett definierat schema eller när det finns en viktig tillbakadragning eller kompromiss. När du behöver använda kundhanterad nyckel (CMK) på arbetsbelastnings-, tjänst- eller programnivå bör du följa metodtipsen för nyckelhantering: Använd en nyckelhierarki för att generera en separat datakrypteringsnyckel (DEK) med nyckelkrypteringsnyckeln (KEK) i nyckelvalvet. Kontrollera att nycklarna är registrerade med Azure Key Vault och refereras via nyckel-ID:t från tjänsten eller programmet. Om du behöver ta med din egen nyckel (BYOK) till tjänsten (till exempel importera HSM-skyddade nycklar från dina lokala HSM:er till Azure Key Vault) följer du de rekommenderade riktlinjerna för att utföra inledande nyckelgenerering och nyckelöverföring.

Referens: Skapa och konfigurera ett nyckelvalv för Azure Disk Encryption

Tillgångshantering

Mer information finns i Microsoft Cloud Security Benchmark: Tillgångshantering.

AM-2: Använd endast godkända tjänster

Funktioner

Azure Policy-stöd

Beskrivning: Tjänstkonfigurationer kan övervakas och framtvingas via Azure Policy. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Azure Policy kan användas för att definiera önskat beteende för organisationens virtuella Windows-datorer och virtuella Linux-datorer. Med hjälp av principer kan en organisation framtvinga olika konventioner och regler i hela företaget och definiera och implementera standardsäkerhetskonfigurationer för Azure Virtual Machine Scale Sets. Tillämpning av önskat beteende kan bidra till att minska risken och samtidigt bidra till att organisationen lyckas.

Referens: Inbyggda Azure Policy definitioner för Virtual Machine Scale Sets

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Virtuella datorer ska migreras till nya Azure-Resource Manager resurser Använd nya Azure-Resource Manager för dina virtuella datorer för att ge säkerhetsförbättringar som: starkare åtkomstkontroll (RBAC), bättre granskning, Azure Resource Manager baserad distribution och styrning, åtkomst till hanterade identiteter, åtkomst till nyckelvalv för hemligheter, Azure AD-baserad autentisering och stöd för taggar och resursgrupper för enklare säkerhet Management Granska, neka, inaktiverad 1.0.0

AM-5: Använd endast godkända program på en virtuell dator

Funktioner

Microsoft Defender för molnet – Anpassningsbara programkontroller

Beskrivning: Tjänsten kan begränsa vilka kundprogram som körs på den virtuella datorn med hjälp av anpassningsbara programkontroller i Microsoft Defender för molnet. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd Microsoft Defender för molnanpassade programkontroller för att identifiera program som körs på virtuella datorer och generera en lista över tillåtna program som kräver vilka godkända program som kan köras i VM-miljön.

Referens: Använd anpassningsbara programkontroller för att minska dina datorers attackytor

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Anpassningsbara programkontroller för att definiera säkra program bör aktiveras på dina datorer Aktivera programkontroller för att definiera listan över kända säkra program som körs på dina datorer och varna dig när andra program körs. Detta hjälper dig att härda dina datorer mot skadlig kod. För att förenkla processen med att konfigurera och underhålla dina regler använder Security Center maskininlärning för att analysera de program som körs på varje dator och föreslå listan över kända säkra program. AuditIfNotExists, Inaktiverad 3.0.0

Loggning och hotidentifiering

Mer information finns i Microsoft Cloud Security Benchmark: Loggning och hotidentifiering.

LT-1: Aktivera funktioner för hotidentifiering

Funktioner

Microsoft Defender för tjänst/produkterbjudande

Beskrivning: Tjänsten har en erbjudandespecifik Microsoft Defender lösning för att övervaka och varna om säkerhetsproblem. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Defender för servrar utökar skyddet till dina Windows- och Linux-datorer som körs i Azure. Defender för servrar integreras med Microsoft Defender för Endpoint för att tillhandahålla slutpunktsidentifiering och svar (EDR) och tillhandahåller även en mängd ytterligare hotskyddsfunktioner, till exempel säkerhetsbaslinjer och utvärderingar på os-nivå, genomsökning av sårbarhetsbedömning, anpassningsbara programkontroller (AAC), övervakning av filintegritet (FIM) med mera.

Referens: Översikt över Microsoft Defender för servrar

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Windows Defender Exploit Guard ska vara aktiverat på dina datorer Windows Defender Exploit Guard använder Azure Policy-gästkonfigurationsagenten. Exploit Guard har fyra komponenter som är utformade för att låsa enheter mot en mängd olika attackvektorer och blockera beteenden som ofta används vid attacker mot skadlig kod samtidigt som företag kan balansera sina säkerhetsrisker och produktivitetskrav (endast Windows). AuditIfNotExists, inaktiverad 2.0.0

LT-4: Aktivera loggning för säkerhetsundersökning

Funktioner

Azure-resursloggar

Beskrivning: Tjänsten skapar resursloggar som kan ge förbättrade tjänstspecifika mått och loggning. Kunden kan konfigurera dessa resursloggar och skicka dem till sin egen datamottagare som ett lagringskonto eller en Log Analytics-arbetsyta. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Azure Monitor börjar automatiskt samla in måttdata för den virtuella datorvärden när du skapar den virtuella datorn. Om du vill samla in loggar och prestandadata från gästoperativsystemet på den virtuella datorn måste du dock installera Azure Monitor-agenten. Du kan installera agenten och konfigurera samlingen med vm-insikter eller genom att skapa en datainsamlingsregel.

Referens: Översikt över Log Analytics-agenten

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
[Förhandsversion]: Datainsamlingsagenten för nätverkstrafik bör installeras på virtuella Linux-datorer Security Center använder Microsoft Dependency-agenten för att samla in nätverkstrafikdata från dina virtuella Azure-datorer för att aktivera avancerade funktioner för nätverksskydd, till exempel trafikvisualisering på nätverkskartan, rekommendationer för nätverkshärdning och specifika nätverkshot. AuditIfNotExists, inaktiverad 1.0.2-förhandsversion

Status- och sårbarhetshantering

Mer information finns i Microsofts benchmark för molnsäkerhet: Hantering av hållning och sårbarhet.

PV-3: Definiera och upprätta säkra konfigurationer för beräkningsresurser

Funktioner

Azure Automation State Configuration

Beskrivning: Azure Automation State Configuration kan användas för att upprätthålla operativsystemets säkerhetskonfiguration. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd Azure Automation State Configuration för att underhålla operativsystemets säkerhetskonfiguration. Azure Automation State Configuration är en Azure-konfigurationshanteringstjänst som gör att du kan skriva, hantera och kompilera PowerShell Desired State Configuration-konfigurationer (DSC) för noder.

Azure Automation State Configuration ger flera fördelar jämfört med användningen av DSC utanför Azure. Den här tjänsten möjliggör skalbarhet över tusentals datorer snabbt och enkelt från en central och säker plats. Du kan enkelt aktivera datorer, tilldela dem deklarativa konfigurationer och visa rapporter som visar varje dators kompatibilitet med det önskade tillstånd som du anger.

Referens: Använda Virtual Machine Scale Sets med Azure DSC-tillägget

Azure Policy gästkonfigurationsagent

Beskrivning: Azure Policy gästkonfigurationsagent kan installeras eller distribueras som ett tillägg till beräkningsresurser. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd Microsoft Defender för molnet och Azure Policy gästkonfigurationsagent för att regelbundet utvärdera och åtgärda konfigurationsavvikelser på dina virtuella datorer.

Referens: Förstå gästkonfigurationsfunktionen i Azure Policy

Anpassade VM-avbildningar

Beskrivning: Tjänsten stöder användning av vm-avbildningar från användare eller fördefinierade avbildningar från Marketplace med vissa baslinjekonfigurationer förinställda. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd en förkonfigurerad förstärkt avbildning från en betrodd leverantör som Microsoft eller skapa en önskad säker konfigurationsbaslinje i mallen för VM-avbildningar

Referens: Skapa och använda en anpassad avbildning för VM-skalningsuppsättningar med Azure PowerShell

PV-4: Granska och framtvinga säkra konfigurationer för beräkningsresurser

Funktioner

Betrodd virtuell startdator

Beskrivning: Betrodd start skyddar mot avancerade och beständiga attacktekniker genom att kombinera infrastrukturtekniker som säker start, vTPM och integritetsövervakning. Varje teknik ger ytterligare ett lager av skydd mot sofistikerade hot. Betrodd start möjliggör säker distribution av virtuella datorer med verifierade startinläsare, OS-kernels och drivrutiner och skyddar på ett säkert sätt nycklar, certifikat och hemligheter på de virtuella datorerna. Betrodd start ger också insikter och förtroende för hela startkedjans integritet och säkerställer att arbetsbelastningar är betrodda och verifierbara. Betrodd start är integrerat med Microsoft Defender för molnet för att säkerställa att virtuella datorer är korrekt konfigurerade, genom att fjärrattestera att den virtuella datorn startas på ett felfritt sätt. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckning: Betrodd start är tillgängligt för virtuella datorer i generation 2. En betrodd start kräver att nya virtuella datorer skapas. Du kan inte aktivera betrodd start på befintliga virtuella datorer som ursprungligen skapades utan den.

Konfigurationsvägledning: Betrodd start kan aktiveras under distributionen av den virtuella datorn. Aktivera alla tre – Säker start, vTPM och integritetsstartövervakning för att säkerställa den virtuella datorns bästa säkerhetsstatus. Observera att det finns några krav, bland annat att registrera din prenumeration för Microsoft Defender för molnet, tilldela vissa Azure Policy initiativ och konfigurera brandväggsprinciper.

Referens: Distribuera en virtuell dator med betrodd start aktiverad

PV-5: Utföra sårbarhetsbedömningar

Funktioner

Sårbarhetsbedömning med Microsoft Defender

Beskrivning: Tjänsten kan genomsökas efter sårbarhetsgenomsökning med hjälp av Microsoft Defender för molnet eller andra Microsoft Defender tjänster för inbäddad sårbarhetsbedömning (inklusive Microsoft Defender för server, containerregister, App Service, SQL och DNS). Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Följ rekommendationerna från Microsoft Defender för molnet för att utföra sårbarhetsbedömningar på dina virtuella Azure-datorer.

Referens: Översikt över Microsoft Defender för servrar

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
En lösning för sårbarhetsbedömning ska aktiveras på dina virtuella datorer Granskar virtuella datorer för att identifiera om de kör en lösning för sårbarhetsbedömning som stöds. En viktig komponent i varje program för cyberrisker och säkerhet är identifiering och analys av sårbarheter. Azure Security Center standardprisnivå inkluderar sårbarhetsgenomsökning för dina virtuella datorer utan extra kostnad. Dessutom kan Security Center automatiskt distribuera det här verktyget åt dig. AuditIfNotExists, Inaktiverad 3.0.0

PV-6: Åtgärda säkerhetsrisker snabbt och automatiskt

Funktioner

Azure Automation – Uppdateringshantering

Beskrivning: Tjänsten kan använda Azure Automation Uppdateringshantering för att distribuera korrigeringar och uppdateringar automatiskt. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Funktionsanteckningar: Microsoft erbjuder andra funktioner som hjälper dig att hantera uppdateringar för dina virtuella Azure-datorer eller Skalningsuppsättningar för virtuella Azure-datorer som du bör överväga som en del av din övergripande strategi för uppdateringshantering.

Om du är intresserad av att utvärdera och uppdatera dina virtuella Azure-datorer automatiskt, för att på så vis kunna upprätthålla säkerhetsefterlevnad med kritiska uppdateringar och säkerhetsuppdateringar som släpps varje månad, så läs Automatisk VM-gästuppdatering. Det här är en alternativ lösning för uppdateringshantering för dina virtuella Azure-datorer så att de kan uppdateras automatiskt under låg belastning, inklusive virtuella datorer i en tillgänglighetsuppsättning, istället för att uppdateringsdistributioner till de virtuella datorerna ska hanteras från Uppdateringshantering i Azure Automation.

Om du hanterar skalningsuppsättningar för virtuella Azure-datorer granskar du hur du utför automatiska uppgraderingar av operativsystemavbildningar på ett säkert sätt och automatiskt uppgraderar OS-disken för alla instanser i skalningsuppsättningen.

Mer information finns i: Automatiska avbildningsuppgraderingar för Azure Virtual Machine Scale Set.

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Azure Guest Patching Service

Beskrivning: Tjänsten kan använda Azure Guest Patching för att distribuera korrigeringar och uppdateringar automatiskt. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Tjänster kan utnyttja de olika uppdateringsmekanismerna, till exempel automatiska operativsystemavbildningsuppgraderingar och automatisk gästkorrigering. Funktionerna rekommenderas för att tillämpa de senaste säkerhetsuppdateringarna och kritiska uppdateringar på den virtuella datorns gästoperativsystem genom att följa principerna för säker distribution.

Med automatisk gästkorrigering kan du automatiskt utvärdera och uppdatera dina virtuella Azure-datorer för att upprätthålla säkerhetsefterlevnad med kritiska uppdateringar och säkerhetsuppdateringar som släpps varje månad. Uppdateringar tillämpas under låg belastning, inklusive virtuella datorer i en tillgänglighetsuppsättning. Den här funktionen är tillgänglig för VMSS – flexibel orkestrering, med framtida stöd i översikten för uniformsorkestrering.

Om du kör en tillståndslös arbetsbelastning är automatiska os-avbildningsuppgraderingar idealiska för att tillämpa den senaste uppdateringen för din VMSS Uniform. Med återställningsfunktionen är dessa uppdateringar kompatibla med Marketplace eller anpassade avbildningar. Framtida löpande uppgraderingsstöd i översikten för flexibel orkestrering.

Referens: Automatisk uppdatering av virtuella datorer för virtuella Azure-datorer

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
[Förhandsversion]: Systemuppdateringar bör installeras på dina datorer (drivs av Update Center) Dina datorer saknar system-, säkerhets- och kritiska uppdateringar. Programuppdateringar innehåller ofta viktiga korrigeringar av säkerhetshål. Sådana hål utnyttjas ofta i attacker mot skadlig kod, så det är viktigt att hålla programvaran uppdaterad. Följ reparationsstegen för att installera alla utestående korrigeringar och skydda dina datorer. AuditIfNotExists, Inaktiverad 1.0.0-förhandsversion

Slutpunktsskydd

Mer information finns i Microsoft Cloud Security Benchmark: Endpoint Security.

ES-1: Använd Slutpunktsidentifiering och svar (EDR)

Funktioner

EDR-lösning

Beskrivning: EDR-funktionen (Endpoint Detection and Response), till exempel Azure Defender för servrar, kan distribueras till slutpunkten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Azure Defender för servrar (med Microsoft Defender för Endpoint integrerade) ger EDR-funktioner för att förhindra, identifiera, undersöka och svara på avancerade hot. Använd Microsoft Defender för molnet för att distribuera Azure Defender för servrar för slutpunkten och integrera aviseringarna i SIEM-lösningen, till exempel Azure Sentinel.

Referens: Integrerad licens för Microsoft Defender för Endpoint

ES-2: Använd modern programvara mot skadlig kod

Funktioner

Lösning mot skadlig kod

Beskrivning: Funktionen mot skadlig kod, till exempel Microsoft Defender Antivirus, Microsoft Defender för Endpoint kan distribueras på slutpunkten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: För Windows Server 2016 och senare installeras Microsoft Defender för Antivirus som standard. För Windows Server 2012 R2 och senare kan kunder installera SCEP (System Center Endpoint Protection). För Linux kan kunderna välja att installera Microsoft Defender för Linux. Alternativt kan kunderna också välja att installera produkter mot skadlig kod från tredje part.

Referens: Microsoft Antimalware för Azure Cloud Services och Virtual Machines

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Problem med slutpunktsskyddshälsa bör lösas på dina datorer Lös problem med slutpunktsskyddshälsa på dina virtuella datorer för att skydda dem mot de senaste hoten och sårbarheterna. Azure Security Center slutpunktsskyddslösningar som stöds dokumenteras här – https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Utvärdering av slutpunktsskydd dokumenteras här – https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, Inaktiverad 1.0.0

ES-3: Se till att programvara och signaturer mot skadlig kod uppdateras

Funktioner

Hälsoövervakning av lösning mot skadlig kod

Beskrivning: Lösningen mot skadlig kod ger hälsostatusövervakning för uppdateringar av plattform, motor och automatisk signatur. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Konfigurera din lösning mot skadlig kod för att säkerställa att plattformen, motorn och signaturerna uppdateras snabbt och konsekvent och att deras status kan övervakas.

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Problem med slutpunktsskyddshälsa bör lösas på dina datorer Lös problem med slutpunktsskyddshälsa på dina virtuella datorer för att skydda dem mot de senaste hoten och sårbarheterna. Azure Security Center slutpunktsskyddslösningar som stöds dokumenteras här – https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Utvärdering av slutpunktsskydd dokumenteras här – https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, Inaktiverad 1.0.0

Säkerhetskopiering och återställning

Mer information finns i Microsoft cloud security benchmark: Backup and recovery (Microsoft cloud security benchmark: Backup and recovery).

BR-1: Se till att regelbundna automatiserade säkerhetskopieringar

Funktioner

Azure Backup

Beskrivning: Tjänsten kan säkerhetskopieras av Azure Backup-tjänsten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: Stöds för VMSS Flex och inte VMSS Uniform

Konfigurationsvägledning: Aktivera Azure Backup och rikta Azure Virtual Machines (VM) samt önskad frekvens och kvarhållningsperioder. Detta inkluderar fullständig säkerhetskopiering av systemtillstånd. Om du använder Azure-diskkryptering hanterar Säkerhetskopiering av virtuella Azure-datorer automatiskt säkerhetskopieringen av kundhanterade nycklar. För Azure Virtual Machines kan du använda Azure Policy för att aktivera automatiska säkerhetskopieringar.

Referens: Ta en ögonblicksbild av en vm-skalningsuppsättningsinstans och hanterad disk

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Azure Backup ska aktiveras för Virtual Machines Skydda din Azure-Virtual Machines genom att aktivera Azure Backup. Azure Backup är en säker och kostnadseffektiv dataskyddslösning för Azure. AuditIfNotExists, Inaktiverad 3.0.0

Nästa steg