Azure Cosmos DB için Azure güvenlik temeli

Bu güvenlik temeli, Microsoft bulut güvenliği karşılaştırması 1.0 sürümünden Azure Cosmos DB'ye yönergeler uygular. Microsoft bulut güvenliği karşılaştırması, Azure bulut çözümlerinizin güvenliğini nasıl sağlayabileceğinize ilişkin öneriler sağlar. İçerik, Microsoft bulut güvenlik karşılaştırması tarafından tanımlanan güvenlik denetimlerine ve Azure Cosmos DB için geçerli olan ilgili yönergelere göre gruplandırılır.

Bulut için Microsoft Defender kullanarak bu güvenlik temelini ve önerilerini izleyebilirsiniz. Azure İlkesi tanımları, Bulut için Microsoft Defender portalı sayfasının Mevzuat Uyumluluğu bölümünde listelenir.

Bir özelliğin ilgili Azure İlkesi Tanımları olduğunda, Microsoft bulut güvenliği karşılaştırma denetimleri ve önerileriyle uyumluluğu ölçmenize yardımcı olmak için bu temelde listelenir. Bazı öneriler, belirli güvenlik senaryolarını etkinleştirmek için ücretli bir Microsoft Defender planı gerektirebilir.

Uyarı

Features Azure Cosmos DB için geçerli olmadığından çıkarılmıştır. Azure Cosmos DB'nin Microsoft bulut güvenlik karşılaştırmasına nasıl tamamen eşlediğini görmek için tam Azure Cosmos DB güvenlik temeli eşleme dosyasına bakın.

Güvenlik profili

Güvenlik profili, Azure Cosmos DB'nin yüksek etkili davranışlarını özetler ve bu da güvenlikle ilgili dikkat edilmesi gereken noktaların artmasına neden olabilir.

Hizmet Davranışı Özniteliği	Değer
Ürün Kategorisi	Databases
Müşteri Sunucu / işletim sistemine erişebilir.	Erişim Yok
Hizmet, müşterinin sanal ağına konumlandırılabilir.	Yanlış
Hareketsiz durumda müşteri içeriğini depolar	Doğru

Ağ güvenliği

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Ağ güvenliği.

NS-1: Ağ segmentasyonu sınırları oluşturma

Özellikler

Sanal Ağ Entegrasyonu

Description: Hizmet, müşterinin özel Sanal Ağ (VNet) dağıtımı destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Configuration Guidance: Hizmeti bir sanal ağa dağıtın. Azure Cosmos DB hesabınız, genel IP'leri aracılığıyla sanal ağa açılacaktır.

&Reference: & Sanal ağlardan (VNet) Azure Cosmos DB'ye erişimi yapılandırın

Ağ Güvenlik Grubu Desteği

Açıklama: Hizmet ağ trafiği, alt ağlarında Ağ Güvenlik Grupları kural atamasını dikkate alır. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Yanlış	Geçerli değil	Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

NS-2: Ağ denetimleriyle cloud services güvenliğini sağlama

Özellikler

Azure Özel Bağlantı

Description: Ağ trafiğini filtrelemek için yerel IP filtreleme özelliği (NSG veya Azure Güvenlik Duvarı ile karıştırılmamalıdır). Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Configuration Guidance: Kaynaklar için özel bir access noktası oluşturmak üzere Özel Bağlantı özelliğini destekleyen tüm Azure kaynakları için özel uç noktaları dağıtın.

Reference: Azure Cosmos hesabı için Azure Özel Bağlantı yapılandırma

Genel Ağ Erişimini Devre Dışı Bırakma

Description: Hizmet, hizmet seviyesinde IP ACL filtreleme kuralı (NSG veya Azure Güvenlik Duvarı değil) veya 'Genel Ağ Erişimini Devre Dışı Bırak' iki durumlu anahtarı kullanarak genel ağ erişimini devre dışı bırakmayı destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Configuration Guidance: Genel ağ erişimini devre dışı bırakmak için hizmet düzeyi IP ACL filtreleme kuralını veya genel ağ erişimi için bir düğme kullanın.

Reference: Azure Cosmos DB'de IP güvenlik duvarını yapılandırın

Bulut için Microsoft Defender izleme

Azure İlkesi yerleşik tanımları - Microsoft.DocumentDB:

İsim (Azure portal)	Description	Effect(s)	Sürüm (GitHub)
Azure Cosmos DB hesaplarında güvenlik duvarı kuralları olmalıdır	Yetkisiz kaynaklardan gelen trafiği önlemek için Azure Cosmos DB hesaplarınızda güvenlik duvarı kuralları tanımlanmalıdır. Sanal Ağ filtresi etkin olarak tanımlanmış en az bir IP kuralı olan hesaplar uyumlu kabul edilir. Genel erişimi devre dışı bırakan hesaplar da uyumlu olarak kabul edilir.	Denetle, Reddet, Devre Dışı Bırak	2.0.0

Kimlik yönetimi

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Kimlik yönetimi.

IM-1: Merkezi kimlik ve kimlik doğrulama sistemini kullanma

Özellikler

Azure AD Kimlik Doğrulaması Veri Düzlemi Erişimi İçin Gerekiyor

Description: Hizmet, veri düzlemi erişimi için Azure AD kimlik doğrulamasını kullanmayı destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Feature notes: Azure AD kimlik doğrulaması yalnızca Çekirdek (SQL) API'sinde desteklenir. Diğer API'ler yalnızca anahtar tabanlı kimlik doğrulamayı destekler.

Yapılandırma Kılavuzu: Bu özellik yapılandırması için geçerli bir Microsoft kılavuzu yoktur. Lütfen kuruluşunuzun bu güvenlik özelliğini yapılandırmak isteyip istemediğini gözden geçirin ve belirleyin.

Reference: Azure Cosmos DB hesabınız için Azure Active Directory ile rol tabanlı Access Control yapılandırın

Veri Düzlemi Erişim için Yerel Kimlik Doğrulama Yöntemleri

Description: Yerel kullanıcı adı ve parola gibi veri düzlemine erişim için desteklenen yerel kimlik doğrulama yöntemleri. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Doğru	Microsoft

Özellik notları: Yerel kimlik doğrulama yöntemlerinin veya hesaplarının kullanımından kaçının; bunlar mümkün olan her yerde devre dışı bırakılmalıdır. Bunun yerine mümkün olduğunca kimlik doğrulaması yapmak için Azure AD kullanın.

Yapılandırma Kılavuzu: Bu varsayılan dağıtımda etkinleştirildiğinden ek yapılandırma gerekmez.

Reference: Azure Cosmos DB'deki verilere güvenli erişim

Bulut için Microsoft Defender izleme

Azure İlkesi yerleşik tanımları - Microsoft.DocumentDB:

İsim (Azure portal)	Description	Effect(s)	Sürüm (GitHub)
Cosmos DB veritabanı hesaplarında yerel kimlik doğrulama yöntemleri devre dışı bırakılmalıdır	Yerel kimlik doğrulama yöntemlerinin devre dışı bırakılması, Cosmos DB veritabanı hesaplarının yalnızca kimlik doğrulaması için Azure Active Directory kimlik gerektirmesini sağlayarak güvenliği artırır. Daha fazla bilgi için bkz. https://docs.microsoft.com/Azure/cosmos-db/how-to-setup-rbac#disable-local-auth.	Denetle, Reddet, Devre Dışı Bırak	1.1.0

IM-3: Uygulama kimliklerini güvenli ve otomatik olarak yönetme

Özellikler

Yönetilen Kimlikler

Açıklama: Veri düzlemi eylemleri, yönetilen kimlikleri kullanarak kimlik doğrulamayı destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Feature notes: Azure AD kimlik doğrulaması yalnızca Çekirdek (SQL) API'sinde desteklenir.

Yapılandırma Kılavuzu: Bu özellik yapılandırması için geçerli bir Microsoft kılavuzu yoktur. Lütfen kuruluşunuzun bu güvenlik özelliğini yapılandırmak isteyip istemediğini gözden geçirin ve belirleyin.

Reference: Azure Cosmos DB hesabınız için yönetilen kimlikleri Azure Active Directory yapılandırın

Hizmet Sorumluları

Açıklama: Veri düzlemi, hizmet sorumlularını kullanarak kimlik doğrulamayı destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Feature notes: Azure AD kimlik doğrulaması yalnızca Çekirdek (SQL) API'si tarafından desteklenir.

Yapılandırma Kılavuzu: Bu özellik yapılandırması için geçerli bir Microsoft kılavuzu yoktur. Lütfen kuruluşunuzun bu güvenlik özelliğini yapılandırmak isteyip istemediğini gözden geçirin ve belirleyin.

Reference: Azure Cosmos DB hesabınız için Azure Active Directory ile rol tabanlı Access Control yapılandırın

IM-7: Koşullara göre kaynak access kısıtlama

Özellikler

Veri Düzlemi için Koşullu Erişim

Description: Veri düzlemi erişimi, Azure AD Koşullu Erişim İlkeleri kullanılarak denetlenebilir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Feature notları: Azure AD kimlik doğrulamasının kullanıldığı durumlarda koşullu Azure AD erişim ilkeleri desteklenir. Azure AD kimlik doğrulaması yalnızca Çekirdek (SQL) API'sinde desteklenir.

Yapılandırma Kılavuzu: Bu özellik yapılandırması için geçerli bir Microsoft kılavuzu yoktur. Lütfen kuruluşunuzun bu güvenlik özelliğini yapılandırmak isteyip istemediğini gözden geçirin ve belirleyin.

IM-8: Kimlik bilgilerinin ve sırların açığa çıkmasını kısıtlama

Özellikler

Azure Key Vault'ta Hizmet Kimlik Bilgileri ve Gizli Anahtarlar için Tümleme ve Saklama Desteği

Description: Veri düzlemi, kimlik bilgileri ve gizli dizi deposu için yerel Azure Key Vault kullanımını destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Yanlış	Geçerli değil	Geçerli değil

Özellik notları: Cosmos DB, verilere erişimi kontrol etmek için birincil/ikincil anahtarları (paylaşılan sırlar) kullanabilir. Bu gizli anahtarların Key Vault ile tümleştirilmesi Cosmos DB tarafından doğrudan desteklenmez, ancak, paylaşılan gizli anahtarları kullanan özel istemci kodu, istenirse Key Vault'u kullanabilir.

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

Ayrıcalıklı erişim

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Privileged access.

PA-7: Yeterli yönetim (en az ayrıcalık) ilkesini izleyin

Özellikler

Veri Düzlemi için Azure RBAC

Description: Azure Role-Based Access Control (Azure RBAC), hizmetin veri düzlemi üzerindeki eylemlere erişimi yönetmek için kullanılabilir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Yapılandırma Kılavuzu: Bu özellik yapılandırması için geçerli bir Microsoft kılavuzu yoktur. Lütfen kuruluşunuzun bu güvenlik özelliğini yapılandırmak isteyip istemediğini gözden geçirin ve belirleyin.

Reference: Azure Cosmos DB hesabınız için Azure Active Directory ile rol tabanlı Access Control yapılandırın

PA-8: Bulut sağlayıcı desteği için erişim sürecini belirleme

Özellikler

Müşteri Kilidi Kutusu

Description: Müşteri Kasası, Microsoft destek erişimi için kullanılabilir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Yanlış	Geçerli değil	Geçerli değil

Feature notes: Azure Cosmos DB, müşterilerin şifreleme, kimlik tabanlı yetkilendirme, ağ yalıtımı ve kiracı sınırları aracılığıyla verilerine access özel olarak denetlediği, tam olarak yönetilen, çok kiracılı bir DBaaS hizmetidir. Microsoft personeli, normal hizmet işlemlerinin bir parçası olarak müşteri verilerine varsayılan veya sürekli erişime sahip değildir.

Configuration Guidance: Müşteri içeriği erişimi bu çok kiracılı mimaride rutin bir destek gereksinimi olmadığı için, Azure Customer Lockbox onay iş akışları tasarım gereği Azure Cosmos DB için geçerli değildir.

Veri koruma

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Veri koruma.

DP-1: Hassas verileri bulma, sınıflandırma ve etiketleme

Özellikler

Hassas Veri Bulma ve Sınıflandırma

Description: Hizmette veri bulma ve sınıflandırma için araçlar (Azure Purview veya Azure Information Protection gibi) kullanılabilir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Feature notes: Microsoft Purview veri sınıflandırması yalnızca Azure Cosmos DB Core (SQL) API'sini desteklemektedir.

Configuration Guidance: Azure Cosmos DB hesabınızda bulunan tüm hassas verileri merkezi olarak taramak, sınıflandırmak ve etiketlemek için Microsoft Purview kullanın.

Reference: Microsoft Purview

DP-2: Hassas verileri hedefleyen anomalileri ve tehditleri izleme

Özellikler

Veri Sızıntısı/Kaybı Önleme

Açıklama: Hizmet, hassas veri hareketlerini izlemek için DLP çözümünü destekler (müşterinin içeriğinde). Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Configuration Guidance: Veri sızdırma girişimlerini algılamak için Azure Cosmos DB için Microsoft Defender kullanın.

Reference: Azure Cosmos DB için Microsoft Defender

DP-3: Aktarımdaki hassas verileri şifreleme

Özellikler

Veri Aktarımı Sırasındaki Şifreleme

Açıklama: Hizmet, veri düzlemi için aktarım içi veri şifrelemesini destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Doğru	Microsoft

Özellik notları: Cosmos DB, TLS v1.2 veya üzeri sürümlerle aktarım sırasında veri şifrelemeyi destekler ve bu devre dışı bırakılamaz. Azure ayrıca Azure veri merkezleri arasında aktarımda olan veriler için şifreleme sağlar.

Yapılandırma Kılavuzu: Bu varsayılan dağıtımda etkinleştirildiğinden ek yapılandırma gerekmez.

Reference: Double encryption

DP-4: Hareketsiz durumdaki veri şifrelemesini varsayılan olarak etkinleştirin

Özellikler

Platform Anahtarlarını Kullanarak Durgun Veri Şifreleme

Açıklama: Platform anahtarları kullanılarak beklemedeki verilerin şifrelenmesi desteklenir, beklemedeki tüm müşteri içerikleri Microsoft tarafından yönetilen bu anahtarlarla şifrelenir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Doğru	Microsoft

Feature notları: Azure Cosmos DB hesabınızda depolanan veriler, Microsoft tarafından yönetilen anahtarlarla (hizmet tarafından yönetilen anahtarlar) otomatik ve sorunsuz bir şekilde şifrelenir.

Yapılandırma Kılavuzu: Bu varsayılan dağıtımda etkinleştirildiğinden ek yapılandırma gerekmez.

Reference: Azure Cosmos DB'de veri şifrelemesi

DP-5: Gerektiğinde durağan veri şifrelemesinde müşteri tarafından yönetilen anahtar seçeneğini kullanın

Özellikler

CMK Kullanarak Bekleme Durumundaki Verilerin Şifrelemesi

Açıklama: Müşteri tarafından yönetilen anahtarlar kullanılarak beklemedeki verilerin şifrelenmesi, hizmet tarafından depolanan müşteri içeriği için desteklenir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Yapılandırma Kılavuzu: Mevzuat uyumluluğu için gerekiyorsa, müşteri tarafından yönetilen anahtarları kullanarak şifrelemenin gerekli olduğu kullanım örneğini ve hizmet kapsamını tanımlayın. Bu hizmetler için müşteri tarafından yönetilen anahtarı kullanarak durgun veri şifrelemesini etkinleştirin ve uygulayın.

Reference: Azure Cosmos hesabınız için müşteri tarafından yönetilen anahtarları Azure Key Vault

Bulut için Microsoft Defender izleme

Azure İlkesi yerleşik tanımları - Microsoft.DocumentDB:

İsim (Azure portal)	Description	Effect(s)	Sürüm (GitHub)
Azure Cosmos DB hesapları, durağan verileri şifrelemek için müşteri tarafından yönetilen anahtarları kullanmalıdır	Azure Cosmos DB'nizin geri kalanında şifrelemeyi yönetmek için müşteri tarafından yönetilen anahtarları kullanın. Varsayılan olarak, veriler durumdaki hizmet tarafından yönetilen anahtarlarla şifrelenir, ancak müşteri tarafından yönetilen anahtarlar genellikle mevzuat uyumluluğu standartlarını karşılamak için gereklidir. Müşteri tarafından yönetilen anahtarlar, verilerin sizin oluşturduğunuz ve sahip olduğunuz bir Azure Key Vault anahtarıyla şifrelenmesini sağlar. Döndürme ve yönetim dahil olmak üzere önemli yaşam döngüsü için tam denetime ve sorumluluğa sahipsiniz. adresinden daha fazla bilgi edinin.	denetim, Denetim, reddet, Reddet, devre dışı, Devre Dışı	1.1.0

DP-6: Güvenli bir anahtar yönetim süreci kullanın

Özellikler

Azure Key Vault'de Anahtar Yönetimi

Description: Hizmet tüm müşteri anahtarları, gizli dizileri veya sertifikaları için Azure Key Vault tümleştirmeyi destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Yapılandırma Kılavuzu: Bu özellik yapılandırması için geçerli bir Microsoft kılavuzu yoktur. Lütfen kuruluşunuzun bu güvenlik özelliğini yapılandırmak isteyip istemediğini gözden geçirin ve belirleyin.

Reference: Azure Cosmos DB hesabınız için müşteri tarafından yönetilen anahtarları Azure Key Vault

Varlık yönetimi

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Varlık yönetimi.

-2: Yalnızca onaylanan hizmetleri kullanın

Özellikler

Azure İlkesi Desteği

Description: Hizmet yapılandırmaları Azure İlkesi aracılığıyla izlenebilir ve zorunlu kılınabilir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Yapılandırma Kılavuzu: Bu özellik yapılandırması için geçerli bir Microsoft kılavuzu yoktur. Lütfen kuruluşunuzun bu güvenlik özelliğini yapılandırmak isteyip istemediğini gözden geçirin ve belirleyin.

Reference: Azure İlkesi yerleşik ilke tanımları - Cosmos DB

Log tutma ve tehdit algılama

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Loglama ve tehdit algılama.

LT-1: Tehdit algılama özelliklerini etkinleştirme

Özellikler

Hizmet / Ürün Teklifi için Microsoft Defender

Description: Hizmet, güvenlik sorunlarını izlemek ve bu konuda uyarı vermek için teklife özgü bir Microsoft Defender çözümüne sahiptir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Configuration Guidance: Birden çok güvenlik tehdidini otomatik olarak algılamak için Azure Cosmos DB için Microsoft Defender kullanın.

Reference: Azure Cosmos DB için Microsoft Defender

LT-4: Güvenlik araştırması için kayıt tutmayı etkinleştir

Özellikler

Azure Kaynak Günlükleri

Açıklama: Hizmet, hizmete özgü gelişmiş ölçümler ve günlükler sağlayabilen kaynak günlükleri oluşturur. Müşteri, bu kaynak günlüklerini yapılandırabilir ve depolama hesabı veya kayıt analitik çalışma alanı gibi kendi veri havuzuna gönderebilir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Yapılandırma Kılavuzu: Hizmet için kaynak günlüklerini etkinleştirin. Azure Cosmos DB, Azure Log Analytics ile analiz edilebilen Azure İzleyici veya özel tanılama günlükleri aracılığıyla etkinliğinizi izlemenizi sağlar.

Reference: Monitor Azure Cosmos DB

Yedekleme ve kurtarma

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Yedekleme ve kurtarma.

BR-1: Düzenli otomatik yedeklemelerden emin olun

Özellikler

Azure Backup

Description: Hizmet Azure Backup hizmeti tarafından yedeklenebilir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Yanlış	Geçerli değil	Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

Hizmet Yerel Yedekleme Özelliği

Description: Hizmet kendi yerel yedekleme özelliğini (Azure Backup kullanmıyorsa) destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Doğru	Microsoft

Yapılandırma Kılavuzu: Bu varsayılan dağıtımda etkinleştirildiğinden ek yapılandırma gerekmez.

Reference: Online yedekleme ve Azure Cosmos DB'de isteğe bağlı veri geri yükleme

Sonraki Adımlar

• Bkz. Microsoft bulut güvenliği karşılaştırması genel bakış
• Azure güvenlik temelleri