你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
CIS Microsoft Azure 基础基准 1.1.0（Azure 政府）法规合规性内置计划的详细信息
下文详细说明了 Azure Policy 法规合规性内置计划定义如何映射到 CIS Microsoft Azure 基础基准 1.1.0（Azure 政府）的合规性域和控制措施 。 有关此符合性标准的详细信息，请参阅 CIS Microsoft Azure 基础基准 1.1.0。 如需了解所有权，请查看策略类型和云中责任分担。
以下映射适用于 CIS Microsoft Azure 基础基准 1.1.0 控制措施。 许多控制措施都是使用 Azure Policy 计划定义实现的。 若要查看完整计划定义，请在 Azure 门户中打开“策略”，并选择“定义”页 。 然后，请查找并选择 CIS Microsoft Azure 基础基准 v1.1.0 法规符合性内置计划定义。
重要
下面的每个控件都与一个或多个 Azure Policy 定义关联。 这些策略有助于评估控制的合规性；但是，控制与一个或多个策略之间通常不是一对一或完全匹配。 因此，Azure Policy 中的符合性仅引用策略定义本身；这并不能确保你完全符合某个控制措施的所有要求。 此外，符合性标准包含目前未由任何 Azure Policy 定义处理的控件。 因此，Azure Policy 中的符合性只是整体符合性状态的部分视图。 此符合性标准的符合性域、控制措施和 Azure Policy 定义之间的关联可能会随着时间的推移而发生变化。 若要查看更改历史记录，请参阅 GitHub 提交历史记录。
1 标识和访问管理
确保为所有特权用户启用多重身份验证
ID：CIS Microsoft Azure 基础基准建议 1.1；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 对 Azure 资源拥有所有者权限的帐户应启用 MFA | 为了防止帐户或资源出现违规问题，应为所有拥有所有者权限的订阅帐户启用多重身份验证 (MFA)。 | AuditIfNotExists、Disabled | 1.0.0 |
| 对 Azure 资源拥有写入权限的帐户应启用 MFA | 为了防止帐户或资源出现违规问题，应为所有拥有写入特权的订阅帐户启用多重身份验证 (MFA)。 | AuditIfNotExists、Disabled | 1.0.0 |
确保为所有非特权用户启用多重身份验证
ID：CIS Microsoft Azure 基础基准建议 1.2；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 对 Azure 资源拥有读取权限的帐户应启用 MFA | 为了防止帐户或资源出现违规问题，应为所有拥有读取特权的订阅帐户启用多重身份验证 (MFA)。 | AuditIfNotExists、Disabled | 1.0.0 |
确保没有任何来宾用户
ID：CIS Microsoft Azure 基础基准建议 1.3；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应删除对 Azure 资源拥有所有者权限的来宾帐户 | 为了防止发生未受监视的访问，应从订阅中删除拥有所有者权限的外部帐户。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应删除对 Azure 资源拥有读取权限的来宾帐户 | 应从订阅中删除拥有读取特权的外部帐户，以防发生未受监视的访问。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应删除对 Azure 资源拥有写入权限的来宾帐户 | 应从订阅中删除拥有写入特权的外部帐户，以防发生未受监视的访问。 | AuditIfNotExists、Disabled | 1.0.0 |
2 安全中心
确保已选择标准定价层
ID：CIS Microsoft Azure 基础基准建议 2.1；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应启用适用于 Azure SQL 数据库服务器的 Azure Defender | Azure Defender for SQL 提供了以下功能：呈现和缓解潜在数据库漏洞、检测可能指示对 SQL 数据库产生威胁的异常活动，以及发现敏感数据并对其进行分类。 | AuditIfNotExists、Disabled | 1.0.2 |
| 应启用适用于服务器的 Azure Defender | 适用于服务器的 Azure Defender 可为服务器工作负载提供实时威胁防护，并生成强化建议以及有关可疑活动的警报。 | AuditIfNotExists、Disabled | 1.0.3 |
| 应启用 Microsoft Defender for Containers | Microsoft Defender for Containers 为 Azure、混合和多云 Kubernetes 环境提供强化、漏洞评估和运行时保护。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应启用 Microsoft Defender for Storage（经典版） | Microsoft Defender for Storage（经典版）可检测企图访问或恶意利用存储帐户的可能有害的异常尝试。 | AuditIfNotExists、Disabled | 1.0.4 |
确保 ASC 默认策略设置“监视 JIT 网络访问”不是处于“已禁用”状态
ID：CIS Microsoft Azure 基础基准建议 2.12；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应通过即时网络访问控制来保护虚拟机的管理端口 | 建议通过 Azure 安全中心监视可能的网络适时 (JIT) 访问 | AuditIfNotExists、Disabled | 3.0.0 |
确保 ASC 默认策略设置“监视自适应应用程序允许列表”不是处于“已禁用”状态
ID：CIS Microsoft Azure 基础基准建议 2.13；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应在计算机中启用自适应应用程序控制以定义安全应用程序 | 启用应用程序控制，以定义计算机中正在运行的已知安全应用程序列表，并在其他应用程序运行时向你发出警报。 这有助于强化计算机免受恶意软件的侵害。 为了简化配置和维护规则的过程，安全中心使用机器学习来分析在每台计算机上运行的应用程序，并建议已知安全应用程序的列表。 | AuditIfNotExists、Disabled | 3.0.0 |
确保 ASC 默认策略设置“监视 SQL 审核”不是处于“已禁用”状态
ID：CIS Microsoft Azure 基础基准建议 2.14；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应启用 SQL 服务器上的审核 | 应在 SQL 服务器上启用审核以跟踪服务器上所有数据库的数据库活动，并将其保存在审核日志中。 | AuditIfNotExists、Disabled | 2.0.0 |
确保 ASC 默认策略设置“监视 SQL 加密”不是处于“已禁用”状态
ID：CIS Microsoft Azure 基础基准建议 2.15；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应在 SQL 数据库上启用透明数据加密 | 应启用透明数据加密以保护静态数据并满足符合性要求 | AuditIfNotExists、Disabled | 2.0.0 |
确保已设置“安全联系人电子邮件”
ID：CIS Microsoft Azure 基础基准建议 2.16；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 订阅应有一个联系人电子邮件地址，用于接收安全问题通知 | 当某个订阅中存在潜在的安全漏洞时，若要确保组织中的相关人员收到通知，请设置一个安全联系人，以接收来自安全中心的电子邮件通知。 | AuditIfNotExists、Disabled | 1.0.1 |
确保将“发送高严重性警报的电子邮件通知”设置为“打开”
ID：CIS Microsoft Azure 基础基准建议 2.18；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应启用高严重性警报的电子邮件通知 | 当某个订阅中存在潜在的安全漏洞时，若要确保组织中的相关人员收到通知，请在安全中心为高严重性警报启用电子邮件通知。 | AuditIfNotExists、Disabled | 1.0.1 |
确保将“同时将电子邮件发送给订阅所有者”设置为“打开”
ID：CIS Microsoft Azure 基础基准建议 2.19；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应启用向订阅所有者发送高严重性警报的电子邮件通知 | 当订阅中存在潜在的安全漏洞时，若要确保订阅所有者收到通知，请在安全中心设置向订阅所有者发送高严重性警报的电子邮件通知。 | AuditIfNotExists、Disabled | 2.0.0 |
确保“监视代理的自动预配”设置为“打开”
ID：CIS Microsoft Azure 基础基准建议 2.2；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 你的订阅应启用 Log Analytics 代理自动预配 | 为了监视安全漏洞和威胁，Azure 安全中心会从 Azure 虚拟机收集数据。 数据是使用 Log Analytics 代理收集的，该代理以前称为 Microsoft Monitoring Agent (MMA)，它从计算机中读取各种安全相关的配置和事件日志，然后将数据复制到 Log Analytics 工作区以用于分析。 建议启用自动预配，将代理自动部署到所有受支持的 Azure VM 和任何新创建的 VM。 | AuditIfNotExists、Disabled | 1.0.1 |
确保 ASC 默认策略设置“监视系统更新”不是处于“已禁用”状态
ID：CIS Microsoft Azure 基础基准建议 2.3；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应在计算机上安装系统更新 | 建议通过 Azure 安全中心监视服务器上缺失的安全系统更新 | AuditIfNotExists、Disabled | 3.0.0 |
确保 ASC 默认策略设置“监视 OS 漏洞”不是处于“已禁用”状态
ID：CIS Microsoft Azure 基础基准建议 2.4；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应修复计算机上安全配置中的漏洞 | 建议通过 Azure 安全中心监视不满足配置的基线的服务器 | AuditIfNotExists、Disabled | 3.1.0 |
确保 ASC 默认策略设置“监视 Endpoint Protection”不是处于“已禁用”状态
ID：CIS Microsoft Azure 基础基准建议 2.5；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 监视 Azure 安全中心 Endpoint Protection 的缺失情况 | 建议通过 Azure 安全中心监视未安装 Endpoint Protection 代理的服务器 | AuditIfNotExists、Disabled | 3.1.0 |
确保 ASC 默认策略设置“启用下一代防火墙(NGFW)监视”不是处于“已禁用”状态
ID：CIS Microsoft Azure 基础基准建议 2.9；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 面向 Internet 的虚拟机应使用网络安全组进行保护 | 使用网络安全组 (NSG) 限制对 VM 的访问，以此防范 VM 遭受潜在威胁。 如需详细了解如何使用 NSG 控制流量，请访问 https://aka.ms/nsg-doc | AuditIfNotExists、Disabled | 3.0.0 |
| 子网应与网络安全组关联 | 使用网络安全组 (NSG) 限制对 VM 的访问，以此防范子网遭受潜在威胁。 NSG 包含一系列访问控制列表 (ACL) 规则，这些规则可以允许或拒绝流向子网的网络流量。 | AuditIfNotExists、Disabled | 3.0.0 |
3 存储帐户
确保“需要安全传输”设置为“已启用”
ID：CIS Microsoft Azure 基础基准建议 3.1；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应启用安全传输到存储帐户 | 审核存储帐户中安全传输的要求。 安全传输选项会强制存储帐户仅接受来自安全连接 (HTTPS) 的请求。 使用 HTTPS 可确保服务器和服务之间的身份验证并保护传输中的数据免受中间人攻击、窃听和会话劫持等网络层攻击 | Audit、Deny、Disabled | 2.0.0 |
确保将针对存储帐户的默认网络访问规则设置为“拒绝”
ID：CIS Microsoft Azure 基础基准建议 3.7；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应限制对存储帐户的网络访问 | 应限制对存储帐户的网络访问。 配置网络规则，以便只允许来自允许的网络的应用程序访问存储帐户。 若要允许来自特定 Internet 或本地客户端的连接，可以向来自特定 Azure 虚拟网络的流量或公共 Internet IP 地址范围授予访问权限 | Audit、Deny、Disabled | 1.1.1 |
确保启用“受信任的 Microsoft 服务”来访问存储帐户
ID：CIS Microsoft Azure 基础基准建议 3.8；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 存储帐户应允许从受信任的 Microsoft 服务进行访问 | 某些与存储帐户交互的 Microsoft 服务在网络上运行，但这些网络无法通过网络规则获得访问权限。 若要帮助此类服务按预期方式工作，请允许受信任的 Microsoft 服务集绕过网络规则。 这些服务随后会使用强身份验证访问存储帐户。 | Audit、Deny、Disabled | 1.0.0 |
4 数据库服务
确保“审核”设置为“打开”
ID：CIS Microsoft Azure 基础基准建议 4.1；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应启用 SQL 服务器上的审核 | 应在 SQL 服务器上启用审核以跟踪服务器上所有数据库的数据库活动，并将其保存在审核日志中。 | AuditIfNotExists、Disabled | 2.0.0 |
确保使用 BYOK（使用自己的密钥）加密 SQL 服务器的 TDE 保护器
ID：CIS Microsoft Azure 基础基准建议 4.10；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| SQL 托管实例应使用客户管理的密钥进行静态数据加密 | 使用你自己的密钥实现透明数据加密 (TDE) 可增加透明度和对 TDE 保护器的控制，增强由 HSM 提供支持的外部服务的安全性，并促进职责划分。 此建议适用于具有相关合规性要求的组织。 | Audit、Deny、Disabled | 2.0.0 |
| SQL Server 应使用客户管理的密钥进行静态数据加密 | 使用你自己的密钥实现透明数据加密 (TDE) 可增加透明度和对 TDE 保护器的控制，增强由 HSM 提供支持的外部服务的安全性，并促进职责划分。 此建议适用于具有相关合规性要求的组织。 | Audit、Deny、Disabled | 2.0.1 |
确保 MySQL 数据库服务器的“强制 SSL 连接”设置为“已启用”
ID：CIS Microsoft Azure 基础基准建议 4.11；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应为 MySQL 数据库服务器启用“强制 SSL 连接” | Azure Database for MySQL 支持使用安全套接字层 (SSL) 将 Azure Database for MySQL 服务器连接到客户端应用程序。 通过在数据库服务器与客户端应用程序之间强制实施 SSL 连接，可以加密服务器与应用程序之间的数据流，有助于防止“中间人”攻击。 此配置强制始终启用 SSL 以访问数据库服务器。 | Audit、Disabled | 1.0.1 |
确保 PostgreSQL 数据库服务器的服务器参数“log_checkpoints”设置为“ON”
ID：CIS Microsoft Azure 基础基准建议 4.12；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应为 PostgreSQL 数据库服务器启用“记录检查点” | 此策略帮助审核环境中任何未启用 log_checkpoints 设置的 PostgreSQL 数据库。 | AuditIfNotExists、Disabled | 1.0.0 |
确保 PostgreSQL 数据库服务器的“强制 SSL 连接”设置为“已启用”
ID：CIS Microsoft Azure 基础基准建议 4.13；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应为 PostgreSQL 数据库服务器启用“强制 SSL 连接” | Azure Database for MySQL 支持使用安全套接字层 (SSL) 将 Azure Database for MySQL 服务器连接到客户端应用程序。 通过在数据库服务器与客户端应用程序之间强制实施 SSL 连接，可以加密服务器与应用程序之间的数据流，有助于防止“中间人”攻击。 此配置强制始终启用 SSL 以访问数据库服务器。 | Audit、Disabled | 1.0.1 |
确保 PostgreSQL 数据库服务器的服务器参数“log_connections”设置为“ON”
ID：CIS Microsoft Azure 基础基准建议 4.14；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应为 PostgreSQL 数据库服务器启用“记录连接” | 此策略帮助审核环境中任何未启用 log_connections 设置的 PostgreSQL 数据库。 | AuditIfNotExists、Disabled | 1.0.0 |
确保 PostgreSQL 数据库服务器的服务器参数“log_disconnections”设置为“ON”
ID：CIS Microsoft Azure 基础基准建议 4.15；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应为 PostgreSQL 数据库服务器记录断开连接 | 此策略帮助审核环境中任何未启用 log_disconnections 的 PostgreSQL 数据库。 | AuditIfNotExists、Disabled | 1.0.0 |
确保 PostgreSQL 数据库服务器的服务器参数“connection_throttling”设置为“ON”
ID：CIS Microsoft Azure 基础基准建议 4.17；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应为 PostgreSQL 数据库服务器启用连接限制 | 此策略帮助审核环境中任何未启用连接限制的 PostgreSQL 数据库。 无效密码登录失败次数过多时，可以使用此设置来按 IP 限制临时连接。 | AuditIfNotExists、Disabled | 1.0.0 |
确保在“审核”策略中为 SQL 服务器正确设置“AuditActionGroups”
ID：CIS Microsoft Azure 基础基准建议 4.2；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| SQL 审核设置中应包含配置为捕获关键活动的操作组 | AuditActionsAndGroups 属性应至少包含 SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP、BATCH_COMPLETED_GROUP 以确保全面审核日志记录 | AuditIfNotExists、Disabled | 1.0.0 |
确保审核保留期“大于 90 天”
ID：CIS Microsoft Azure 基础基准建议 4.3；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 对存储帐户目标进行审核的 SQL Server 应配置至少 90 天的保留期 | 为便于调查事件，建议将 SQL Server 审核数据在存储帐户目标中的数据保留期设置为至少 90 天。 确认你遵守所运营区域的必要保留规则。 为了符合监管标准，有时需要这样做。 | AuditIfNotExists、Disabled | 3.0.0 |
确保将 SQL 服务器上的“高级数据安全性”设置为“打开”
ID：CIS Microsoft Azure 基础基准建议 4.4；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应为未受保护的 Azure SQL 服务器启用 Azure Defender for SQL | 审核没有高级数据安全的 SQL 服务器 | AuditIfNotExists、Disabled | 2.0.1 |
| 应为未受保护的 SQL 托管实例启用 Azure Defender for SQL | 审核所有未启用高级数据安全的 SQL 托管实例。 | AuditIfNotExists、Disabled | 1.0.2 |
确保配置 Azure Active Directory 管理员
ID：CIS Microsoft Azure 基础基准建议 4.8；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应该为 SQL 服务器预配 Azure Active Directory 管理员 | 审核确认已为 SQL Server 预配了 Azure Active Directory 管理员以启用 Azure AD 身份验证。 使用 Azure AD 身份验证可以简化权限管理，以及集中化数据库用户和其他 Microsoft 服务的标识管理 | AuditIfNotExists、Disabled | 1.0.0 |
确保将 SQL 数据库上的“数据加密”设置为“打开”
ID：CIS Microsoft Azure 基础基准建议 4.9；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应在 SQL 数据库上启用透明数据加密 | 应启用透明数据加密以保护静态数据并满足符合性要求 | AuditIfNotExists、Disabled | 2.0.0 |
5 日志记录和监视
确保日志配置文件存在
ID：CIS Microsoft Azure 基础基准建议 5.1.1；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Azure 订阅应有用于活动日志的日志配置文件 | 此策略确保启用一个日志配置文件来导出活动日志。 它会审核是否未创建日志配置文件将日志导出到存储帐户或事件中心。 | AuditIfNotExists、Disabled | 1.0.0 |
确保将“活动日志保留期”设置为 365 天或更长时间
ID：CIS Microsoft Azure 基础基准建议 5.1.2；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 活动日志至少应保留一年 | 此策略审核活动日志的保留期是否未设置为365 天或永久（保留天数设置为 0）。 | AuditIfNotExists、Disabled | 1.0.0 |
确保审核配置文件捕获所有活动
ID：CIS Microsoft Azure 基础基准建议 5.1.3；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Azure Monitor 日志配置文件应收集“写入”、“删除”和“操作”类别的日志 | 此策略可确保日志配置文件收集类别为 "write"、"delete" 和 "action" 的日志 | AuditIfNotExists、Disabled | 1.0.0 |
确保日志配置文件捕获所有区域（包括全球）的活动日志
ID：CIS Microsoft Azure 基础基准建议 5.1.4；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Azure Monitor 应从所有区域收集活动日志 | 此策略审核不从所有 Azure 支持区域（包括全局）导出活动的 Azure Monitor 日志配置文件。 | AuditIfNotExists、Disabled | 2.0.0 |
确保使用 BYOK（使用自己的密钥）对存储帐户（包含的容器具有活动日志）加密
ID：CIS Microsoft Azure 基础基准建议 5.1.6；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 必须使用 BYOK 对包含具有活动日志的容器的存储帐户进行加密 | 此策略审核是否已使用 BYOK 对包含具有活动日志的容器的存储帐户进行加密。 仅当存储帐户在设计上依赖于与活动日志相同的订阅时，此策略才起作用。 有关 Azure 存储静态加密的详细信息，请参阅 https://aka.ms/azurestoragebyok。 | AuditIfNotExists、Disabled | 1.0.0 |
确保 Azure KeyVault 日志记录设置为“已启用”
ID：CIS Microsoft Azure 基础基准建议 5.1.7；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应启用 Key Vault 中的资源日志 | 对启用资源日志进行审核。 使用此策略可在发生安全事件或网络受到安全威胁时重新创建用于调查的活动线索 | AuditIfNotExists、Disabled | 5.0.0 |
确保存在“创建策略分配”的活动日志警报
ID：CIS Microsoft Azure 基础基准建议 5.2.1；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 特定策略操作应有活动日志警报 | 此策略审核未配置任何活动日志警报的特定策略操作。 | AuditIfNotExists、Disabled | 3.0.0 |
确保存在“创建或更新网络安全组”的活动日志警报
ID：CIS Microsoft Azure 基础基准建议 5.2.2；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 特定管理操作应有活动日志警报 | 此策略审核未配置任何活动日志警报的特定管理操作。 | AuditIfNotExists、Disabled | 1.0.0 |
确保存在“删除网络安全组”的活动日志警报
ID：CIS Microsoft Azure 基础基准建议 5.2.3；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 特定管理操作应有活动日志警报 | 此策略审核未配置任何活动日志警报的特定管理操作。 | AuditIfNotExists、Disabled | 1.0.0 |
确保存在“创建或更新网络安全组规则”的活动日志警报
ID：CIS Microsoft Azure 基础基准建议 5.2.4；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 特定管理操作应有活动日志警报 | 此策略审核未配置任何活动日志警报的特定管理操作。 | AuditIfNotExists、Disabled | 1.0.0 |
确保存在“删除网络安全组规则”的活动日志警报
ID：CIS Microsoft Azure 基础基准建议 5.2.5；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 特定管理操作应有活动日志警报 | 此策略审核未配置任何活动日志警报的特定管理操作。 | AuditIfNotExists、Disabled | 1.0.0 |
确保存在“创建或更新安全解决方案”的活动日志警报
ID：CIS Microsoft Azure 基础基准建议 5.2.6；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 特定安全操作应有活动日志警报 | 此策略审核未配置任何活动日志警报的特定安全操作。 | AuditIfNotExists、Disabled | 1.0.0 |
确保存在“删除安全解决方案”的活动日志警报
ID：CIS Microsoft Azure 基础基准建议 5.2.7；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 特定安全操作应有活动日志警报 | 此策略审核未配置任何活动日志警报的特定安全操作。 | AuditIfNotExists、Disabled | 1.0.0 |
确保存在“创建、更新或删除 SQL Server 防火墙规则”的活动日志警报
ID：CIS Microsoft Azure 基础基准建议 5.2.8；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 特定管理操作应有活动日志警报 | 此策略审核未配置任何活动日志警报的特定管理操作。 | AuditIfNotExists、Disabled | 1.0.0 |
确保存在“更新安全策略”的活动日志警报
ID：CIS Microsoft Azure 基础基准建议 5.2.9；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 特定安全操作应有活动日志警报 | 此策略审核未配置任何活动日志警报的特定安全操作。 | AuditIfNotExists、Disabled | 1.0.0 |
6 网络
确保网络观察程序设置为“已启用”
ID：CIS Microsoft Azure 基础基准建议 6.5；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应启用网络观察程序 | 网络观察程序是一个区域性服务，可用于在网络方案级别监视和诊断 Azure 内部以及传入和传出 Azure 的流量的状态。 使用方案级别监视可以诊断端到端网络级别视图的问题。 需要在存在虚拟网络的每个区域中创建一个网络观察程序资源组。 如果网络观察程序资源组在特定区域中不可用，则会启用警报。 | AuditIfNotExists、Disabled | 3.0.0 |
7 虚拟机
确保仅安装已批准的扩展
ID：CIS Microsoft Azure 基础基准建议 7.4；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应当仅安装已批准的 VM 扩展 | 此策略约束未获批准的虚拟机扩展。 | Audit、Deny、Disabled | 1.0.0 |
确保已应用适用于所有虚拟机的最新 OS 修补程序
ID：CIS Microsoft Azure 基础基准建议 7.5；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应在计算机上安装系统更新 | 建议通过 Azure 安全中心监视服务器上缺失的安全系统更新 | AuditIfNotExists、Disabled | 3.0.0 |
确保已安装适用于所有虚拟机的 Endpoint Protection
ID：CIS Microsoft Azure 基础基准建议 7.6；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 监视 Azure 安全中心 Endpoint Protection 的缺失情况 | 建议通过 Azure 安全中心监视未安装 Endpoint Protection 代理的服务器 | AuditIfNotExists、Disabled | 3.1.0 |
8 其他安全注意事项
确保 Key Vault 可恢复
ID：CIS Microsoft Azure 基础基准建议 8.4；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Key Vault 应启用删除保护 | 恶意删除密钥保管库可能会导致永久丢失数据。 可以通过启用清除保护和软删除来防止永久数据丢失。 清除保护通过强制实施软删除密钥保管库的强制保留期来保护你免受内部攻击。 你的组织内的任何人都无法在软删除保留期内清除你的密钥保管库。 请记住，在 2019 年 9 月 1 日之后创建的密钥保管库默认启用软删除。 | Audit、Deny、Disabled | 2.1.0 |
在 Azure Kubernetes 服务中启用基于角色的访问控制 (RBAC)
ID：CIS Microsoft Azure 基础基准建议 8.5；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应在 Kubernetes 服务中使用基于角色的访问控制 (RBAC) | 若要对用户可以执行的操作提供粒度筛选，请使用基于角色的访问控制 (RBAC) 来管理 Kubernetes 服务群集中的权限并配置相关授权策略。 | Audit、Disabled | 1.0.4 |
9 应用服务
确保在 Azure 应用服务上设置应用服务身份验证
ID：CIS Microsoft Azure 基础基准建议 9.1；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应用服务应用应已启用身份验证 | Azure 应用服务身份验证是一项功能，可以阻止匿名 HTTP 请求访问 Web 应用，或在令牌访问 Web 应用之前对其进行身份验证。 | AuditIfNotExists、Disabled | 2.0.1 |
| 函数应用应已启用身份验证 | Azure 应用服务身份验证是一项功能，可以阻止匿名 HTTP 请求访问函数应用，或在令牌访问函数应用之前对其进行身份验证。 | AuditIfNotExists、Disabled | 3.0.0 |
确保用于运行 Web 应用的“HTTP 版本”是最新的
ID：CIS Microsoft Azure 基础基准建议 9.10；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应用服务应用应使用最新“HTTP 版本” | 我们定期发布适用于 HTTP 的更高版本来解决安全漏洞或包含更多功能。 使用 Web 应用的最新 HTTP 版本可以利用更高版本的安全修复（如果有）和/或新功能。 | AuditIfNotExists、Disabled | 4.0.0 |
| 函数应用应使用最新“HTTP 版本” | 我们定期发布适用于 HTTP 的更高版本来解决安全漏洞或包含更多功能。 使用 Web 应用的最新 HTTP 版本可以利用更高版本的安全修复（如果有）和/或新功能。 | AuditIfNotExists、Disabled | 4.0.0 |
确保 Web 应用将所有 HTTP 流量重定向到 Azure 应用服务中的 HTTPS
ID：CIS Microsoft Azure 基础基准建议 9.2；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 只应通过 HTTPS 访问应用服务应用 | 使用 HTTPS 可确保执行服务器/服务身份验证服务，并保护传输中的数据不受网络层窃听攻击威胁。 | 审核、已禁用、拒绝 | 4.0.0 |
确保 Web 应用使用最新版本的 TLS 加密
ID：CIS Microsoft Azure 基础基准建议 9.3；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应用服务应用应使用最新的 TLS 版本 | 由于安全漏洞，会定期发布针对 TLS 的较新版本，包括其他功能并提高速度。 升级到应用服务应用的最新 TLS 版本，以利用安全修补程序（如果有）和/或最新版本的新功能。 | AuditIfNotExists、Disabled | 2.0.1 |
| 函数应用应使用最新 TLS 版本 | 由于安全漏洞，会定期发布针对 TLS 的较新版本，包括其他功能并提高速度。 升级到函数应用的最新 TLS 版本，以利用安全修补程序（如果有）和/或最新版本的新功能。 | AuditIfNotExists、Disabled | 2.0.1 |
确保 Web 应用的“客户端证书(传入客户端证书)”设置为“打开”
ID：CIS Microsoft Azure 基础基准建议 9.4；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [已弃用]：函数应用应启用“客户端证书（传入客户端证书）” | 客户端证书允许应用请求传入请求的证书。 只有具有有效证书的客户端才能访问该应用。 由于 Http 2.0 不支持客户端证书，此策略已替换为同名的新策略。 | Audit、Disabled | 3.1.0-deprecated |
| 应用服务应用应启用“客户端证书（传入客户端证书）” | 客户端证书允许应用请求传入请求的证书。 只有具有有效证书的客户端才能访问该应用。 此策略适用于 Http 版本设置为 1.1 的应用。 | AuditIfNotExists、Disabled | 1.0.0 |
确保在应用服务中启用“向 Azure Active Directory 注册”
ID：CIS Microsoft Azure 基础基准建议 9.5；所有权：共享
| 名称 （Azure 门户） |
说明 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 应用服务应用应使用托管标识 | 使用托管标识以实现增强的身份验证安全性 | AuditIfNotExists、Disabled | 3.0.0 |
| 函数应用应使用托管标识 | 使用托管标识以实现增强的身份验证安全性 | AuditIfNotExists、Disabled | 3.0.0 |
后续步骤
有关 Azure Policy 的其他文章：
- 法规符合性概述。
- 请参阅计划定义结构。
- 在 Azure Policy 示例中查看其他示例。
- 查看了解策略效果。
- 了解如何修正不符合的资源。
反馈
即将发布：在整个 2024 年，我们将逐步淘汰作为内容反馈机制的“GitHub 问题”，并将其取代为新的反馈系统。 有关详细信息，请参阅：https://aka.ms/ContentUserFeedback。
提交和查看相关反馈