適用于 Azure Private Link 的 Azure 安全性基準
此安全性基準會將Microsoft 雲端安全性基準 1.0 版的指引套用至 Azure Private Link。 Microsoft 雲端安全性基準提供如何在 Azure 上保護雲端解決方案的建議。 內容會依 Microsoft 雲端安全性基準所定義的安全性控制，以及適用于Azure Private Link的相關指引分組。
您可以使用雲端Microsoft Defender來監視此安全性基準及其建議。 Azure 原則定義將會列在雲端入口網站Microsoft Defender頁面的 [法規合規性] 區段中。
當功能具有相關的Azure 原則定義時，這些定義會列在此基準中，以協助您測量與 Microsoft 雲端安全性基準測試控制項和建議的合規性。 某些建議可能需要付費Microsoft Defender方案，才能啟用特定安全性案例。
注意
已排除不適用於Azure Private Link的功能。 若要查看Azure Private Link如何完全對應至 Microsoft 雲端安全性基準測試，請參閱完整的Azure Private Link安全性基準對應檔案。
安全性設定檔
安全性設定檔摘要說明Azure Private Link的高影響行為，這可能會導致安全性考慮增加。
| 服務行為屬性 | 值 |
|---|---|
| 產品類別 | 網路 |
| 客戶可以存取主機/OS | 無存取權 |
| 服務可以部署至客戶的虛擬網路 | 對 |
| 儲存待用客戶內容 | False |
網路安全性
如需詳細資訊，請參閱 Microsoft 雲端安全性基準：網路安全性。
NS-1：建立網路分割界限
功能
虛擬網路整合
描述：服務支援將部署至客戶的私人虛擬網路 (VNet) 。 深入瞭解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| 對 | 對 | Microsoft |
設定指引：預設部署上啟用此設定時不需要其他設定。
網路安全性群組支援
描述：服務網路流量會遵守其子網上的網路安全性群組規則指派。 深入瞭解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| 對 | False | 客戶 |
設定指引：使用網路安全性群組 (NSG) 來限制或監視埠、通訊協定、來源 IP 位址或目的地 IP 位址的流量。 建立 NSG 規則來限制服務的開放連接埠 (例如防止從不受信任的網路存取管理連接埠)。 請注意，NSG 預設會拒絕所有輸入流量，但允許來自虛擬網路和 Azure Load Balancer 的流量。
參考： 管理私人端點的網路原則
適用於雲端的 Microsoft Defender 監視
Azure 原則內建定義 - Microsoft.Network：
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 子網路應該與網路安全性群組建立關聯 | 使用網路安全性群組 (NSG) 限制 VM 的存取，保護您的子網路遠離潛在威脅。 NSG 包含存取控制清單 (ACL) 規則的清單，可允許或拒絕子網路的網路流量。 | AuditIfNotExists, Disabled | 3.0.0 |
NS-2：使用網路控制保護雲端服務
功能
Azure Private Link
描述：用於篩選網路流量的服務原生 IP 篩選功能， (不會與 NSG 或Azure 防火牆) 混淆。 深入瞭解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| 對 | 對 | Microsoft |
設定指引：預設部署上啟用此設定時不需要其他設定。
停用公用網路存取
描述：服務支援透過使用服務層級 IP ACL 篩選規則來停用公用網路存取， (不是 NSG 或Azure 防火牆) ，或是使用「停用公用網路存取」切換開關。 深入瞭解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| 對 | 對 | Microsoft |
功能注意事項：Azure Private Link可讓您透過虛擬網路中的私人端點存取 Azure PaaS 服務 (，例如 Azure 儲存體和SQL Database) 和 Azure 裝載的客戶擁有/合作夥伴服務。 因此，公用網路通訊不適用於此服務。
設定指引：預設部署上啟用此設定時不需要其他設定。
資產管理
如需詳細資訊，請參閱 Microsoft 雲端安全性基準測試：資產管理。
AM-2：僅使用核准的服務
功能
Azure 原則支援
描述：服務組態可以透過Azure 原則進行監視和強制執行。 深入瞭解。
| 支援 | 預設啟用 | 設定責任 |
|---|---|---|
| 對 | False | 客戶 |
設定指引：使用 Microsoft Defender for Cloud 來設定Azure 原則，以稽核及強制執行 Azure 資源的設定。 使用 Azure 監視器，在偵測到資源有設定偏差時建立警示。 使用Azure 原則 [deny] 和 [如果不存在] 效果來強制執行跨 Azure 資源的安全設定。
記錄和威脅偵測
如需詳細資訊，請參閱 Microsoft 雲端安全性效能評定：記錄和威脅偵測。
LT-4：啟用安全性調查的記錄
功能
Azure 資源記錄
描述：服務會產生可提供增強服務特定計量和記錄的資源記錄。 客戶可以設定這些資源記錄，並將其傳送至自己的資料接收，例如儲存體帳戶或記錄分析工作區。 深入瞭解。
| 支援 | 預設為啟用 | 設定責任 |
|---|---|---|
| False | 不適用 | 不適用 |
設定指引：不支援此功能來保護此服務。
後續步驟
- 請參閱 Microsoft 雲端安全性基準測試概觀
- 深入了解 Azure 資訊安全性基準