Dela via


Azure-säkerhetsbaslinje för Virtual Machines – Windows Virtual Machines

Den här säkerhetsbaslinjen tillämpar vägledning från Microsoft Cloud Security Benchmark version 1.0 på Virtual Machines – Windows Virtual Machines. Microsofts benchmark för molnsäkerhet ger rekommendationer om hur du kan skydda dina molnlösningar i Azure. Innehållet grupperas efter de säkerhetskontroller som definieras av Microsofts molnsäkerhetsmått och den relaterade vägledning som gäller för Virtual Machines – Windows Virtual Machines.

Du kan övervaka den här säkerhetsbaslinjen och dess rekommendationer med hjälp av Microsoft Defender för molnet. Azure Policy definitioner visas i avsnittet Regelefterlevnad på portalsidan Microsoft Defender för molnet.

När en funktion har relevanta Azure Policy definitioner visas de i den här baslinjen för att hjälpa dig att mäta efterlevnaden av Microsofts prestandamått för molnsäkerhet och rekommendationer. Vissa rekommendationer kan kräva en betald Microsoft Defender plan för att aktivera vissa säkerhetsscenarier.

Anteckning

Funktioner som inte gäller för Virtual Machines – Windows Virtual Machines har exkluderats. Om du vill se hur Virtual Machines – Windows Virtual Machines helt mappar till Microsofts molnsäkerhetsmått kan du läsa den fullständiga mappningsfilen Virtual Machines – Windows Virtual Machines säkerhetsbaslinje.

Säkerhetsprofil

Säkerhetsprofilen sammanfattar beteendet för Virtual Machines – Windows Virtual Machines, vilket kan leda till ökade säkerhetsöverväganden.

Attribut för tjänstbeteende Värde
Produktkategori Compute
Kunden kan komma åt HOST/OS Fullständig åtkomst
Tjänsten kan distribueras till kundens virtuella nätverk Sant
Lagrar kundinnehåll i vila Sant

Nätverkssäkerhet

Mer information finns i Microsoft Cloud Security Benchmark: Nätverkssäkerhet.

NS-1: Upprätta gränser för nätverkssegmentering

Funktioner

Integrering med virtuellt nätverk

Beskrivning: Tjänsten stöder distribution till kundens privata Virtual Network (VNet). Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Sant Microsoft

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Virtuella nätverk och virtuella datorer i Azure

Stöd för nätverkssäkerhetsgrupp

Beskrivning: Tjänstnätverkstrafik respekterar regeltilldelningen för nätverkssäkerhetsgrupper i dess undernät. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd nätverkssäkerhetsgrupper (NSG) för att begränsa eller övervaka trafik via port, protokoll, käll-IP-adress eller mål-IP-adress. Skapa NSG-regler för att begränsa tjänstens öppna portar (till exempel förhindra att hanteringsportar nås från ej betrodda nätverk). Tänk på att NSG:er som standard nekar all inkommande trafik men tillåter trafik från virtuella nätverk och Azure Load Balancers.

När du skapar en virtuell Azure-dator (VM) måste du skapa ett virtuellt nätverk eller använda ett befintligt virtuellt nätverk och konfigurera den virtuella datorn med ett undernät. Se till att alla distribuerade undernät har en nätverkssäkerhetsgrupp som tillämpas med nätverksåtkomstkontroller som är specifika för dina program betrodda portar och källor.

Referens: Nätverkssäkerhetsgrupper

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.ClassicCompute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Alla nätverksportar bör begränsas för nätverkssäkerhetsgrupper som är associerade med den virtuella datorn Azure Security Center har identifierat att vissa av nätverkssäkerhetsgruppernas regler för inkommande trafik är för tillåtande. Regler för inkommande trafik bör inte tillåta åtkomst från "Alla" eller "Internet"-intervall. Detta kan potentiellt göra det möjligt för angripare att rikta in sig på dina resurser. AuditIfNotExists, Inaktiverad 3.0.0

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Rekommendationer för anpassningsbar nätverkshärdning bör tillämpas på internetuppkopplade virtuella datorer Azure Security Center analyserar trafikmönstren för internetuppkopplade virtuella datorer och tillhandahåller regelrekommendationer för nätverkssäkerhetsgruppen som minskar den potentiella attackytan AuditIfNotExists, Inaktiverad 3.0.0

NS-2: Skydda molntjänster med nätverkskontroller

Funktioner

Inaktivera åtkomst till offentligt nätverk

Beskrivning: Tjänsten stöder inaktivering av åtkomst till offentliga nätverk antingen med hjälp av ip-ACL-filtreringsregel på tjänstnivå (inte NSG eller Azure Firewall) eller med växlingsknappen Inaktivera åtkomst till offentligt nätverk. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd tjänster på operativsystemnivå, till exempel Windows Defender Firewall för att tillhandahålla nätverksfiltrering för att inaktivera offentlig åtkomst.

Identitetshantering

Mer information finns i Microsoft Cloud Security Benchmark: Identitetshantering.

IM-1: Använd centraliserat identitets- och autentiseringssystem

Funktioner

Azure AD autentisering krävs för dataplansåtkomst

Beskrivning: Tjänsten stöder användning av Azure AD autentisering för dataplansåtkomst. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd Azure Active Directory (Azure AD) som standardautentiseringsmetod för att styra åtkomsten till dataplanet.

Referens: Logga in på en virtuell Windows-dator i Azure med hjälp av Azure AD inklusive lösenordsfri

Lokala autentiseringsmetoder för dataplansåtkomst

Beskrivning: Lokala autentiseringsmetoder som stöds för åtkomst till dataplanet, till exempel ett lokalt användarnamn och lösenord. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Sant Microsoft

Funktionsanteckningar: Ett lokalt administratörskonto skapas som standard under den första distributionen av den virtuella datorn. Undvik användning av lokala autentiseringsmetoder eller konton. Dessa bör inaktiveras när det är möjligt. Använd i stället Azure AD för att autentisera där det är möjligt.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

SNABBMEDDELANDE 3: Hantera programidentiteter på ett säkert och automatiskt sätt

Funktioner

Hanterade identiteter

Beskrivning: Dataplansåtgärder stöder autentisering med hanterade identiteter. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: Hanterad identitet används vanligtvis av virtuella Windows-datorer för att autentisera till andra tjänster. Om den virtuella Windows-datorn stöder Azure AD autentisering kan hanterad identitet stödjas.

Konfigurationsvägledning: Använd azure-hanterade identiteter i stället för tjänstens huvudnamn när det är möjligt, som kan autentisera till Azure-tjänster och resurser som stöder Azure Active Directory-autentisering (Azure AD). Autentiseringsuppgifter för hanterade identiteter hanteras, roteras och skyddas av plattformen, vilket undviker hårdkodade autentiseringsuppgifter i källkods- eller konfigurationsfiler.

Tjänstens huvudnamn

Beskrivning: Dataplanet stöder autentisering med hjälp av tjänstens huvudnamn. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: Tjänstens huvudnamn kan användas av program som körs på den virtuella Windows-datorn.

Konfigurationsvägledning: Det finns ingen aktuell Microsoft-vägledning för den här funktionskonfigurationen. Granska och kontrollera om din organisation vill konfigurera den här säkerhetsfunktionen.

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Tillägg för gästkonfiguration för virtuella datorer ska distribueras med systemtilldelad hanterad identitet Gästkonfigurationstillägget kräver en systemtilldelad hanterad identitet. Virtuella Azure-datorer i omfånget för den här principen är inkompatibla när gästkonfigurationstillägget är installerat men inte har någon systemtilldelad hanterad identitet. Läs mer på https://aka.ms/gcpol AuditIfNotExists, Inaktiverad 1.0.1

SNABBMEDDELANDE 7: Begränsa resursåtkomst baserat på villkor

Funktioner

Villkorsstyrd åtkomst för dataplanet

Beskrivning: Åtkomst till dataplan kan styras med hjälp av Azure AD principer för villkorlig åtkomst. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: Använd Azure AD som en grundläggande autentiseringsplattform för RDP i Windows Server 2019 Datacenter edition och senare, eller Windows 10 1809 och senare. Du kan sedan centralt styra och tillämpa rollbaserad åtkomstkontroll i Azure (RBAC) och principer för villkorsstyrd åtkomst som tillåter eller nekar åtkomst till de virtuella datorerna.

Konfigurationsvägledning: Definiera tillämpliga villkor och kriterier för villkorlig åtkomst i Azure Active Directory (Azure AD) i arbetsbelastningen. Överväg vanliga användningsfall som att blockera eller bevilja åtkomst från specifika platser, blockera riskfyllt inloggningsbeteende eller kräva organisationshanterade enheter för specifika program.

Referens: Logga in på en virtuell Windows-dator i Azure med hjälp av Azure AD inklusive lösenordsfri

IM-8: Begränsa exponeringen av autentiseringsuppgifter och hemligheter

Funktioner

Stöd för integrering och lagring av tjänstautentiseringsuppgifter och hemligheter i Azure Key Vault

Beskrivning: Dataplanet stöder intern användning av Azure Key Vault för lagring av autentiseringsuppgifter och hemligheter. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: I dataplanet eller operativsystemet kan tjänster anropa Azure Key Vault för autentiseringsuppgifter eller hemligheter.

Konfigurationsvägledning: Se till att hemligheter och autentiseringsuppgifter lagras på säkra platser som Azure Key Vault, i stället för att bädda in dem i kod- eller konfigurationsfiler.

Privilegierad åtkomst

Mer information finns i Microsoft cloud security benchmark: Privileged access (Microsoft cloud security benchmark: Privileged access).

PA-1: Avgränsa och begränsa högprivilegierade/administrativa användare

Funktioner

Lokala Admin-konton

Beskrivning: Tjänsten har begreppet lokalt administrativt konto. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Sant Microsoft

Funktionsanteckningar: Undvik användning av lokala autentiseringsmetoder eller konton. Dessa bör inaktiveras när det är möjligt. Använd i stället Azure AD för att autentisera där det är möjligt.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Snabbstart: Skapa en virtuell Windows-dator i Azure Portal

PA-7: Följ principen för precis tillräcklig administration (lägsta behörighet)

Funktioner

Azure RBAC för dataplan

Beskrivning: Azure Role-Based Access Control (Azure RBAC) kan användas för hanterad åtkomst till tjänstens dataplansåtgärder. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: Använd Azure AD som en grundläggande autentiseringsplattform för RDP i Windows Server 2019 Datacenter Edition och senare, eller Windows 10 1809 och senare. Du kan sedan centralt styra och framtvinga rollbaserad åtkomstkontroll i Azure (RBAC) och principer för villkorsstyrd åtkomst som tillåter eller nekar åtkomst till de virtuella datorerna.

Konfigurationsvägledning: Med RBAC anger du vem som kan logga in på en virtuell dator som en vanlig användare eller med administratörsbehörighet. När användarna ansluter till ditt team kan du uppdatera Azure RBAC-principen för den virtuella datorn så att den beviljar åtkomst efter behov. När anställda lämnar organisationen och deras användarkonton inaktiveras eller tas bort från Azure AD har de inte längre åtkomst till dina resurser.

Referens: Logga in på en virtuell Windows-dator i Azure med hjälp av Azure AD inklusive lösenordsfri

PA-8: Fastställa åtkomstprocess för molnleverantörssupport

Funktioner

Customer Lockbox

Beskrivning: Customer Lockbox kan användas för microsofts supportåtkomst. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: I supportscenarier där Microsoft behöver åtkomst till dina data använder du Customer Lockbox för att granska och sedan godkänna eller avvisa var och en av Microsofts dataåtkomstbegäranden.

Dataskydd

Mer information finns i Microsoft Cloud Security Benchmark: Dataskydd.

DP-1: Identifiera, klassificera och märka känsliga data

Funktioner

Identifiering och klassificering av känsliga data

Beskrivning: Verktyg (till exempel Azure Purview eller Azure Information Protection) kan användas för identifiering och klassificering av data i tjänsten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

DP-2: Övervaka avvikelser och hot mot känsliga data

Funktioner

Dataläckage/förlustskydd

Beskrivning: Tjänsten stöder DLP-lösning för att övervaka känslig dataflytt (i kundens innehåll). Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

DP-3: Kryptera känsliga data under överföring

Funktioner

Data under överföringskryptering

Beskrivning: Tjänsten stöder datakryptering under överföring för dataplanet. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: Vissa kommunikationsprotokoll, till exempel SSH, krypteras som standard. Andra tjänster som HTTP måste dock konfigureras för att använda TLS för kryptering.

Konfigurationsvägledning: Aktivera säker överföring i tjänster där det finns en inbyggd funktion för överföringskryptering inbyggd. Framtvinga HTTPS på alla webbprogram och tjänster och se till att TLS v1.2 eller senare används. Äldre versioner, till exempel SSL 3.0, TLS v1.0 bör inaktiveras. För fjärrhantering av Virtual Machines använder du SSH (för Linux) eller RDP/TLS (för Windows) i stället för ett okrypterat protokoll.

Referens: Kryptering under överföring på virtuella datorer

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Windows-datorer bör konfigureras för att använda protokoll för säker kommunikation För att skydda sekretessen för information som förmedlas via Internet bör dina datorer använda den senaste versionen av det kryptografiska protokollet Transport Layer Security (TLS) som är branschstandard. TLS skyddar kommunikationen över ett nätverk genom att kryptera en anslutning mellan datorer. AuditIfNotExists, inaktiverad 4.1.1

DP-4: Aktivera vilande datakryptering som standard

Funktioner

Kryptering av vilande data med plattformsnycklar

Beskrivning: Kryptering av vilande data med plattformsnycklar stöds. Allt kundinnehåll i vila krypteras med dessa Microsoft-hanterade nycklar. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Sant Microsoft

Funktionsanteckningar: Som standard använder hanterade diskar plattformshanterade krypteringsnycklar. Alla hanterade diskar, ögonblicksbilder, avbildningar och data som skrivs till befintliga hanterade diskar krypteras automatiskt i vila med plattformshanterade nycklar.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Kryptering på serversidan av Azure Disk Storage – Plattformshanterade nycklar

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.ClassicCompute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Virtuella datorer ska kryptera temporära diskar, cacheminnen och dataflöden mellan beräknings- och lagringsresurser Som standard krypteras en virtuell dators operativsystem och datadiskar i vila med hjälp av plattformshanterade nycklar. Temporära diskar, datacacheminnen och data som flödar mellan beräkning och lagring krypteras inte. Ignorera den här rekommendationen om: 1. med kryptering på värden, eller 2. Kryptering på serversidan på Managed Disks uppfyller dina säkerhetskrav. Läs mer i: Kryptering på serversidan av Azure Disk Storage: https://aka.ms/disksse, Olika erbjudanden för diskkryptering: https://aka.ms/diskencryptioncomparison AuditIfNotExists, inaktiverad 2.0.3

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
[Förhandsversion]: Virtuella Linux-datorer bör aktivera Azure Disk Encryption eller EncryptionAtHost. Som standard krypteras en virtuell dators operativsystem och datadiskar i vila med plattformshanterade nycklar. temporära diskar och datacacheminnen krypteras inte och data krypteras inte när de flödar mellan beräknings- och lagringsresurser. Använd Azure Disk Encryption eller EncryptionAtHost för att kryptera alla dessa data. Besök https://aka.ms/diskencryptioncomparison för att jämföra krypteringserbjudanden. Den här principen kräver att två krav distribueras till principtilldelningsomfånget. Mer information finns på https://aka.ms/gcpol. AuditIfNotExists, inaktiverad 1.2.0-förhandsversion

DP-5: Använd alternativet kundhanterad nyckel i vilande datakryptering vid behov

Funktioner

Vilande datakryptering med cmk

Beskrivning: Kryptering i vila med kundhanterade nycklar stöds för kundinnehåll som lagras av tjänsten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: Du kan välja att hantera kryptering på nivån för varje hanterad disk med dina egna nycklar. När du anger en kundhanterad nyckel används nyckeln för att skydda och kontrollera åtkomsten till nyckeln som krypterar dina data. Kundhanterade nycklar ger större flexibilitet för att hantera åtkomstkontroller.

Konfigurationsvägledning: Om det behövs för regelefterlevnad definierar du användningsfallet och tjänstomfånget där kryptering med kundhanterade nycklar behövs. Aktivera och implementera vilande datakryptering med hjälp av kundhanterad nyckel för dessa tjänster.

Virtuella diskar på Virtual Machines (VM) krypteras i vila med antingen kryptering på serversidan eller Azure-diskkryptering (ADE). Azure Disk Encryption använder BitLocker-funktionen i Windows för att kryptera hanterade diskar med kundhanterade nycklar på den virtuella gästdatorn. Kryptering på serversidan med kundhanterade nycklar förbättrar ADE genom att du kan använda operativsystemtyper och avbildningar för dina virtuella datorer genom att kryptera data i lagringstjänsten.

Referens: Kryptering på serversidan av Azure Disk Storage

DP-6: Använd en säker nyckelhanteringsprocess

Funktioner

Nyckelhantering i Azure Key Vault

Beskrivning: Tjänsten stöder Integrering av Azure Key Vault för kundnycklar, hemligheter eller certifikat. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd Azure Key Vault för att skapa och kontrollera livscykeln för dina krypteringsnycklar, inklusive nyckelgenerering, distribution och lagring. Rotera och återkalla dina nycklar i Azure Key Vault och din tjänst baserat på ett definierat schema eller när en nyckel dras tillbaka eller komprometteras. När du behöver använda kundhanterad nyckel (CMK) på arbetsbelastnings-, tjänst- eller programnivå ska du se till att du följer metodtipsen för nyckelhantering: Använd en nyckelhierarki för att generera en separat datakrypteringsnyckel (DEK) med nyckelkrypteringsnyckeln (KEK) i nyckelvalvet. Se till att nycklar registreras med Azure Key Vault och refereras via nyckel-ID:t från tjänsten eller programmet. Om du behöver ta med din egen nyckel (BYOK) till tjänsten (till exempel importera HSM-skyddade nycklar från dina lokala HSM:er till Azure Key Vault) följer du de rekommenderade riktlinjerna för att utföra inledande nyckelgenerering och nyckelöverföring.

Referens: Skapa och konfigurera ett nyckelvalv för Azure Disk Encryption på en virtuell Windows-dator

DP-7: Använd en säker certifikathanteringsprocess

Funktioner

Certifikathantering i Azure Key Vault

Beskrivning: Tjänsten stöder Integrering av Azure Key Vault för alla kundcertifikat. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Falskt Ej tillämpligt Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Tillgångshantering

Mer information finns i Microsoft Cloud Security Benchmark: Tillgångshantering.

AM-2: Använd endast godkända tjänster

Funktioner

Azure Policy-stöd

Beskrivning: Tjänstkonfigurationer kan övervakas och framtvingas via Azure Policy. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Azure Policy kan användas för att definiera önskat beteende för organisationens virtuella Windows-datorer och virtuella Linux-datorer. Med hjälp av principer kan en organisation framtvinga olika konventioner och regler i hela företaget och definiera och implementera standardsäkerhetskonfigurationer för Azure Virtual Machines. Tillämpning av önskat beteende kan bidra till att minska risken och samtidigt bidra till att organisationen lyckas.

Referens: Azure Policy inbyggda definitioner för Azure Virtual Machines

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.ClassicCompute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Virtuella datorer ska migreras till nya Azure-Resource Manager resurser Använd nya Azure-Resource Manager för dina virtuella datorer för att ge säkerhetsförbättringar som: starkare åtkomstkontroll (RBAC), bättre granskning, Azure Resource Manager baserad distribution och styrning, åtkomst till hanterade identiteter, åtkomst till nyckelvalv för hemligheter, Azure AD-baserad autentisering och stöd för taggar och resursgrupper för enklare säkerhet Management Granska, neka, inaktiverad 1.0.0

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Virtuella datorer ska migreras till nya Azure-Resource Manager resurser Använd nya Azure-Resource Manager för dina virtuella datorer för att ge säkerhetsförbättringar som: starkare åtkomstkontroll (RBAC), bättre granskning, Azure Resource Manager baserad distribution och styrning, åtkomst till hanterade identiteter, åtkomst till nyckelvalv för hemligheter, Azure AD-baserad autentisering och stöd för taggar och resursgrupper för enklare säkerhet Management Granska, neka, inaktiverad 1.0.0

AM-5: Använd endast godkända program på en virtuell dator

Funktioner

Microsoft Defender för molnet – Anpassningsbara programkontroller

Beskrivning: Tjänsten kan begränsa vilka kundprogram som körs på den virtuella datorn med hjälp av anpassningsbara programkontroller i Microsoft Defender för molnet. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd Microsoft Defender för molnanpassade programkontroller för att identifiera program som körs på virtuella datorer och generera en lista över tillåtna program som kräver vilka godkända program som kan köras i VM-miljön.

Referens: Använd anpassningsbara programkontroller för att minska dina datorers attackytor

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.ClassicCompute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Anpassningsbara programkontroller för att definiera säkra program bör aktiveras på dina datorer Aktivera programkontroller för att definiera listan över kända säkra program som körs på dina datorer och varna dig när andra program körs. Detta hjälper dig att härda dina datorer mot skadlig kod. För att förenkla processen med att konfigurera och underhålla dina regler använder Security Center maskininlärning för att analysera de program som körs på varje dator och föreslå listan över kända säkra program. AuditIfNotExists, Inaktiverad 3.0.0

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Anpassningsbara programkontroller för att definiera säkra program bör aktiveras på dina datorer Aktivera programkontroller för att definiera listan över kända säkra program som körs på dina datorer och varna dig när andra program körs. Detta hjälper dig att härda dina datorer mot skadlig kod. För att förenkla processen med att konfigurera och underhålla dina regler använder Security Center maskininlärning för att analysera de program som körs på varje dator och föreslå listan över kända säkra program. AuditIfNotExists, Inaktiverad 3.0.0

Loggning och hotidentifiering

Mer information finns i Microsoft Cloud Security Benchmark: Loggning och hotidentifiering.

LT-1: Aktivera funktioner för hotidentifiering

Funktioner

Microsoft Defender för tjänst/produkterbjudande

Beskrivning: Tjänsten har en erbjudandespecifik Microsoft Defender lösning för övervakning och avisering om säkerhetsproblem. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Defender för servrar utökar skyddet till dina Windows- och Linux-datorer som körs i Azure. Defender for Servers integreras med Microsoft Defender för Endpoint för att tillhandahålla slutpunktsidentifiering och svar (EDR) och tillhandahåller även en mängd ytterligare hotskyddsfunktioner, till exempel säkerhetsbaslinjer och utvärderingar på operativsystemnivå, skanning av sårbarhetsbedömningar, anpassningsbara programkontroller (AAC), övervakning av filintegritet (FIM) med mera.

Referens: Planera distributionen av Defender för servrar

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Windows Defender Exploit Guard ska vara aktiverat på dina datorer Windows Defender Exploit Guard använder Azure Policy-gästkonfigurationsagenten. Exploit Guard har fyra komponenter som är utformade för att låsa enheter mot en mängd olika attackvektorer och blockera beteenden som ofta används vid attacker mot skadlig kod samtidigt som företag kan balansera sina säkerhetsrisk- och produktivitetskrav (endast Windows). AuditIfNotExists, Inaktiverad 2.0.0

LT-4: Aktivera loggning för säkerhetsundersökning

Funktioner

Azure-resursloggar

Beskrivning: Tjänsten skapar resursloggar som kan ge förbättrade tjänstspecifika mått och loggning. Kunden kan konfigurera dessa resursloggar och skicka dem till sin egen datamottagare som ett lagringskonto eller en Log Analytics-arbetsyta. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Azure Monitor börjar automatiskt samla in måttdata för din virtuella datorvärd när du skapar den virtuella datorn. Om du vill samla in loggar och prestandadata från gästoperativsystemet på den virtuella datorn måste du installera Azure Monitor-agenten. Du kan installera agenten och konfigurera samlingen med hjälp av vm-insikter eller genom att skapa en regel för datainsamling.

Referens: Översikt över Log Analytics-agenten

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
[Förhandsversion]: Datainsamlingsagenten för nätverkstrafik bör installeras på virtuella Linux-datorer Security Center använder Microsoft Dependency-agenten för att samla in nätverkstrafikdata från dina virtuella Azure-datorer för att aktivera avancerade nätverksskyddsfunktioner som trafikvisualisering på nätverkskartan, rekommendationer för nätverkshärdning och specifika nätverkshot. AuditIfNotExists, Inaktiverad 1.0.2-förhandsversion

Status- och sårbarhetshantering

Mer information finns i Microsoft cloud security benchmark: Posture and vulnerability management (Microsoft cloud security benchmark: Posture and vulnerability management).

PV-3: Definiera och upprätta säkra konfigurationer för beräkningsresurser

Funktioner

Azure Automation State Configuration

Beskrivning: Azure Automation State Configuration kan användas för att upprätthålla operativsystemets säkerhetskonfiguration. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd Azure Automation State Configuration för att upprätthålla operativsystemets säkerhetskonfiguration.

Referens: Konfigurera en virtuell dator med Desired State Configuration

Azure Policy gästkonfigurationsagent

Beskrivning: Azure Policy gästkonfigurationsagenten kan installeras eller distribueras som ett tillägg till beräkningsresurser. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: Azure Policy Gästkonfiguration kallas nu Azure Automanage Machine Configuration.

Konfigurationsvägledning: Använd Microsoft Defender för molnet och Azure Policy gästkonfigurationsagent för att regelbundet utvärdera och åtgärda konfigurationsavvikelser för dina Azure-beräkningsresurser, inklusive virtuella datorer, containrar och andra.

Referens: Förstå datorkonfigurationsfunktionen i Azure Automanage

Anpassade VM-avbildningar

Beskrivning: Tjänsten stöder användning av användartilldefinierade VM-avbildningar eller färdiga avbildningar från Marketplace med vissa baslinjekonfigurationer förinställda. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd en förkonfigurerad härdad avbildning från en betrodd leverantör som Microsoft eller skapa en önskad säker konfigurationsbaslinje i mallen för VM-avbildning

Referens: Självstudie: Skapa avbildningar av virtuella Windows-datorer med Azure PowerShell

PV-4: Granska och framtvinga säkra konfigurationer för beräkningsresurser

Funktioner

Betrodd virtuell startdator

Beskrivning: Betrodd start skyddar mot avancerade och beständiga angreppstekniker genom att kombinera infrastrukturtekniker som säker start, vTPM och integritetsövervakning. Varje teknik ger ytterligare ett lager av skydd mot sofistikerade hot. Betrodd start möjliggör säker distribution av virtuella datorer med verifierade startinläsare, OS-kernels och drivrutiner och skyddar på ett säkert sätt nycklar, certifikat och hemligheter på de virtuella datorerna. Betrodd start ger också insikter och förtroende för hela startkedjans integritet och säkerställer att arbetsbelastningar är betrodda och verifierbara. Betrodd start är integrerat med Microsoft Defender för molnet för att säkerställa att virtuella datorer är korrekt konfigurerade, genom att fjärrattestera att den virtuella datorn startas på ett felfritt sätt. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckning: Betrodd start är tillgängligt för virtuella datorer i generation 2. En betrodd start kräver att nya virtuella datorer skapas. Du kan inte aktivera betrodd start på befintliga virtuella datorer som ursprungligen skapades utan den.

Konfigurationsvägledning: Betrodd start kan aktiveras under distributionen av den virtuella datorn. Aktivera alla tre – Säker start, vTPM och integritetsstartövervakning för att säkerställa den virtuella datorns bästa säkerhetsstatus. Observera att det finns några krav, bland annat att registrera din prenumeration för Microsoft Defender för molnet, tilldela vissa Azure Policy initiativ och konfigurera brandväggsprinciper.

Referens: Distribuera en virtuell dator med betrodd start aktiverad

PV-5: Utföra sårbarhetsbedömningar

Funktioner

Sårbarhetsbedömning med Microsoft Defender

Beskrivning: Tjänsten kan genomsökas efter sårbarhetsgenomsökning med hjälp av Microsoft Defender för molnet eller andra Microsoft Defender tjänster för inbäddad sårbarhetsbedömning (inklusive Microsoft Defender för server, containerregister, App Service, SQL och DNS). Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Följ rekommendationerna från Microsoft Defender för molnet för att utföra sårbarhetsbedömningar på dina virtuella Azure-datorer.

Referens: Planera distributionen av Defender för servrar

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.ClassicCompute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
En lösning för sårbarhetsbedömning ska aktiveras på dina virtuella datorer Granskar virtuella datorer för att identifiera om de kör en lösning för sårbarhetsbedömning som stöds. En viktig komponent i varje program för cyberrisker och säkerhet är identifiering och analys av sårbarheter. Azure Security Center standardprisnivå inkluderar sårbarhetsgenomsökning för dina virtuella datorer utan extra kostnad. Dessutom kan Security Center automatiskt distribuera det här verktyget åt dig. AuditIfNotExists, Inaktiverad 3.0.0

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
En lösning för sårbarhetsbedömning ska aktiveras på dina virtuella datorer Granskar virtuella datorer för att identifiera om de kör en lösning för sårbarhetsbedömning som stöds. En viktig komponent i varje program för cyberrisker och säkerhet är identifiering och analys av sårbarheter. Azure Security Center standardprisnivå inkluderar sårbarhetsgenomsökning för dina virtuella datorer utan extra kostnad. Dessutom kan Security Center automatiskt distribuera det här verktyget åt dig. AuditIfNotExists, Inaktiverad 3.0.0

PV-6: Åtgärda säkerhetsrisker snabbt och automatiskt

Funktioner

Azure Automation – Uppdateringshantering

Beskrivning: Tjänsten kan använda Azure Automation Uppdateringshantering för att distribuera korrigeringar och uppdateringar automatiskt. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Använd Azure Automation Uppdateringshantering eller en tredjepartslösning för att säkerställa att de senaste säkerhetsuppdateringarna är installerade på dina virtuella Windows-datorer. För virtuella Windows-datorer kontrollerar du att Windows Update har aktiverats och konfigurerats att uppdateras automatiskt.

Referens: Hantera uppdateringar och korrigeringar för dina virtuella datorer

Azure Guest Patching Service

Beskrivning: Tjänsten kan använda Azure Guest Patching för att distribuera korrigeringar och uppdateringar automatiskt. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Tjänster kan utnyttja de olika uppdateringsmekanismerna, till exempel automatiska operativsystemavbildningsuppgraderingar och automatisk gästkorrigering. Funktionerna rekommenderas för att tillämpa de senaste säkerhetsuppdateringarna och kritiska uppdateringar på den virtuella datorns gästoperativsystem genom att följa principerna för säker distribution.

Med automatisk gästkorrigering kan du automatiskt utvärdera och uppdatera dina virtuella Azure-datorer för att upprätthålla säkerhetsefterlevnad med kritiska uppdateringar och säkerhetsuppdateringar som släpps varje månad. Uppdateringar tillämpas under låg belastning, inklusive virtuella datorer i en tillgänglighetsuppsättning. Den här funktionen är tillgänglig för VMSS – flexibel orkestrering, med framtida stöd i översikten för uniformsorkestrering.

Om du kör en tillståndslös arbetsbelastning är automatiska os-avbildningsuppgraderingar idealiska för att tillämpa den senaste uppdateringen för din VMSS Uniform. Med återställningsfunktionen är dessa uppdateringar kompatibla med Marketplace eller anpassade avbildningar. Framtida löpande uppgraderingsstöd i översikten för flexibel orkestrering.

Referens: Automatisk uppdatering av virtuella datorer för virtuella Azure-datorer

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.ClassicCompute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Systemuppdateringar ska ha installerats på dina datorer Uppdateringar av säkerhetssystem som saknas på servrarna övervakas av Azure Security Center som rekommendationer AuditIfNotExists, Inaktiverad 4.0.0

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
[Förhandsversion]: Systemuppdateringar bör installeras på dina datorer (drivs av Update Center) Dina datorer saknar system-, säkerhets- och kritiska uppdateringar. Programuppdateringar innehåller ofta viktiga korrigeringar av säkerhetshål. Sådana hål utnyttjas ofta i attacker mot skadlig kod, så det är viktigt att hålla programvaran uppdaterad. Följ reparationsstegen för att installera alla utestående korrigeringar och skydda dina datorer. AuditIfNotExists, Inaktiverad 1.0.0-förhandsversion

Slutpunktsskydd

Mer information finns i Microsoft Cloud Security Benchmark: Endpoint Security.

ES-1: Använd Slutpunktsidentifiering och svar (EDR)

Funktioner

EDR-lösning

Beskrivning: EDR-funktionen (Endpoint Detection and Response), till exempel Azure Defender för servrar, kan distribueras till slutpunkten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Azure Defender för servrar (med Microsoft Defender för Endpoint integrerade) ger EDR-funktioner för att förhindra, identifiera, undersöka och svara på avancerade hot. Använd Microsoft Defender för molnet för att distribuera Azure Defender för servrar för slutpunkten och integrera aviseringarna i SIEM-lösningen, till exempel Azure Sentinel.

Referens: Planera distributionen av Defender för servrar

ES-2: Använd modern programvara mot skadlig kod

Funktioner

Lösning mot skadlig kod

Beskrivning: Funktionen mot skadlig kod, till exempel Microsoft Defender Antivirus, Microsoft Defender för Endpoint kan distribueras på slutpunkten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: För Windows Server 2016 och senare installeras Microsoft Defender för Antivirus som standard. För Windows Server 2012 R2 och senare kan kunder installera SCEP (System Center Endpoint Protection). Alternativt kan kunderna också välja att installera produkter mot skadlig kod från tredje part.

Referens: Defender för Endpoint onboarding Windows Server

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.ClassicCompute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Problem med slutpunktsskyddshälsa bör lösas på dina datorer Lös problem med slutpunktsskyddshälsa på dina virtuella datorer för att skydda dem mot de senaste hoten och sårbarheterna. Azure Security Center slutpunktsskyddslösningar som stöds dokumenteras här – https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Utvärdering av slutpunktsskydd dokumenteras här – https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, Inaktiverad 1.0.0

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Problem med slutpunktsskyddshälsa bör lösas på dina datorer Lös problem med slutpunktsskyddshälsa på dina virtuella datorer för att skydda dem mot de senaste hoten och sårbarheterna. Azure Security Center slutpunktsskyddslösningar som stöds dokumenteras här – https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Utvärdering av slutpunktsskydd dokumenteras här – https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, Inaktiverad 1.0.0

ES-3: Se till att programvara och signaturer mot skadlig kod uppdateras

Funktioner

Hälsoövervakning av lösning mot skadlig kod

Beskrivning: Lösningen mot skadlig kod ger hälsostatusövervakning för uppdateringar av plattform, motor och automatisk signatur. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Funktionsanteckningar: Säkerhetsinformation och produktuppdateringar gäller för Defender för Endpoint som kan installeras på de virtuella Windows-datorerna.

Konfigurationsvägledning: Konfigurera din lösning mot skadlig kod för att säkerställa att plattformen, motorn och signaturerna uppdateras snabbt och konsekvent och att deras status kan övervakas.

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.ClassicCompute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Problem med slutpunktsskyddshälsa bör lösas på dina datorer Lös problem med slutpunktsskyddshälsa på dina virtuella datorer för att skydda dem mot de senaste hoten och sårbarheterna. Azure Security Center slutpunktsskyddslösningar som stöds dokumenteras här – https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Utvärdering av slutpunktsskydd dokumenteras här – https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, Inaktiverad 1.0.0

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Problem med slutpunktsskyddshälsa bör lösas på dina datorer Lös problem med slutpunktsskyddshälsa på dina virtuella datorer för att skydda dem mot de senaste hoten och sårbarheterna. Azure Security Center slutpunktsskyddslösningar som stöds dokumenteras här – https://docs.microsoft.com/azure/security-center/security-center-services?tabs=features-windows#supported-endpoint-protection-solutions. Utvärdering av slutpunktsskydd dokumenteras här – https://docs.microsoft.com/azure/security-center/security-center-endpoint-protection. AuditIfNotExists, Inaktiverad 1.0.0

Säkerhetskopiering och återställning

Mer information finns i Microsoft cloud security benchmark: Backup and recovery (Microsoft cloud security benchmark: Backup and recovery).

BR-1: Se till att regelbundna automatiserade säkerhetskopieringar

Funktioner

Azure Backup

Beskrivning: Tjänsten kan säkerhetskopieras av Azure Backup-tjänsten. Läs mer.

Stöds Aktiverad som standard Konfigurationsansvar
Sant Falskt Kund

Konfigurationsvägledning: Aktivera Azure Backup och konfigurera säkerhetskopieringskällan (till exempel Azure Virtual Machines, SQL Server, HANA-databaser eller filresurser) med önskad frekvens och med önskad kvarhållningsperiod. För Azure Virtual Machines kan du använda Azure Policy för att aktivera automatiska säkerhetskopieringar.

Referens: Alternativ för säkerhetskopiering och återställning för virtuella datorer i Azure

Microsoft Defender för molnövervakning

Azure Policy inbyggda definitioner – Microsoft.Compute:

Name
(Azure Portal)
Description Effekter Version
(GitHub)
Azure Backup ska aktiveras för Virtual Machines Skydda din Azure-Virtual Machines genom att aktivera Azure Backup. Azure Backup är en säker och kostnadseffektiv dataskyddslösning för Azure. AuditIfNotExists, Inaktiverad 3.0.0

Nästa steg