Standardní hodnoty zabezpečení Azure pro Azure Data Explorer

Tyto standardní hodnoty zabezpečení aplikují na Azure Data Explorer pokyny ze srovnávacího testu cloudového zabezpečení Microsoftu verze 1.0. Srovnávací test zabezpečení cloudu Microsoftu poskytuje doporučení, jak můžete zabezpečit cloudová řešení v Azure. Obsah se seskupuje podle kontrolních mechanismů zabezpečení definovaných srovnávacím testem zabezpečení cloudu Microsoftu a souvisejících pokynů platných pro Azure Data Explorer.

Tyto standardní hodnoty zabezpečení a jejich doporučení můžete monitorovat pomocí Microsoft Defender for Cloud. Azure Policy definice budou uvedené v části Dodržování právních předpisů na stránce portálu Microsoft Defender pro cloud.

Pokud má funkce relevantní definice Azure Policy, jsou uvedené v tomto směrném plánu, aby vám pomohly měřit dodržování předpisů s kontrolními mechanismy a doporučeními srovnávacího testu zabezpečení cloudu Od Microsoftu. Některá doporučení můžou vyžadovat placený plán Microsoft Defender, aby bylo možné povolit určité scénáře zabezpečení.

Profil zabezpečení

Profil zabezpečení shrnuje chování Azure Data Explorer s vysokým dopadem, které může mít za následek zvýšené aspekty zabezpečení.

Atribut Chování služby	Hodnota
Kategorie produktu	Analýzy, databáze
Zákazník má přístup k hostiteli nebo operačnímu systému.	Zakázaný přístup
Službu je možné nasadit do virtuální sítě zákazníka.	Ano
Ukládá obsah zákazníka v klidovém stavu.	Ano

Zabezpečení sítě

Další informace najdete ve srovnávacím testu cloudového zabezpečení Microsoftu: Zabezpečení sítě.

NS-1: Vytvoření hranic segmentace sítě

Funkce

Integrace virtuální sítě

Popis: Služba podporuje nasazení do privátní Virtual Network (VNet) zákazníka. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Poznámky k funkcím: Důrazně doporučujeme používat privátní koncové body k zabezpečení síťového přístupu ke clusteru. Tato možnost má oproti injektáži virtuální sítě řadu výhod, které mají za následek nižší režii na údržbu, včetně jednoduššího procesu nasazení a robustnějšího přístupu ke změnám virtuální sítě.

Pokyny ke konfiguraci: Nasazení clusteru Azure Data Explorer do podsítě ve vaší Virtual Network (VNet). To vám umožní implementovat pravidla NSG, která omezí provoz clusteru Azure Data Explorer a připojí vaši místní síť k podsíti clusteru Azure Data Explorer.

Referenční informace: Nasazení clusteru Azure Data Explorer do Virtual Network

Podpora skupin zabezpečení sítě

Popis: Síťový provoz služby respektuje přiřazení pravidla skupin zabezpečení sítě ve svých podsítích. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Poznámky k funkcím: Podporuje se a vyžaduje se ke konfiguraci pravidel skupiny zabezpečení sítě v případě, že se azure Data Explorer vložil do virtuální sítě zákazníka. Nedoporučujeme vkládat Azure Data Explorer do virtuální sítě. Doporučujeme postupovat podle implementace zabezpečení sítě založené na privátních koncových bodech: Privátní koncové body pro Azure Data Explorer.

Pokyny ke konfiguraci: Pokud se rozhodnete vložit Azure Data Explorer do virtuální sítě (důrazně doporučujeme řešení založené na privátních koncových bodech), vyžadujeme, abyste pro nasazení clusteru použili delegování podsítě. Pokud to chcete udělat, musíte před vytvořením clusteru v podsíti delegovat podsíť na Microsoft.Kusto/clusters.

Povolením delegování podsítě v podsíti clusteru umožníte službě definovat její předběžné podmínky pro nasazení ve formě zásad záměru sítě. Při vytváření clusteru v podsíti se automaticky vytvoří konfigurace NSG uvedené v následujících částech.

Referenční informace: Konfigurace pravidel skupiny zabezpečení sítě

NS-2: Zabezpečení cloudových služeb pomocí síťových ovládacích prvků

Funkce

Azure Private Link

Popis: Funkce nativního filtrování IP adres pro filtrování síťového provozu (nezaměňovat se skupinou zabezpečení sítě nebo Azure Firewall). Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Důrazně doporučujeme k zabezpečení síťového přístupu ke clusteru používat privátní koncové body. Tato možnost má oproti integraci virtuální sítě řadu výhod, které mají za následek nižší režii na údržbu, včetně jednoduššího procesu nasazení a robustnějšího přístupu ke změnám virtuální sítě.

Referenční informace: Privátní koncové body pro Azure Data Explorer

Zakázání přístupu z veřejné sítě

Popis: Služba podporuje zakázání veřejného síťového přístupu buď pomocí pravidla filtrování seznamu ACL protokolu IP na úrovni služby (nikoli skupiny zabezpečení sítě nebo Azure Firewall), nebo pomocí přepínače Zakázat veřejný síťový přístup. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Zakažte veřejný síťový přístup pomocí pravidla filtrování seznamu ACL na úrovni služby nebo přepínače pro veřejný síťový přístup.

Referenční informace: Omezení veřejného přístupu ke clusteru Azure Data Explorer

Správa identit

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Správa identit.

IM-1: Použití centralizovaného systému identit a ověřování

Funkce

Azure AD ověřování vyžadované pro přístup k rovině dat

Popis: Služba podporuje použití ověřování Azure AD pro přístup k rovině dat. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Použijte Azure Active Directory (Azure AD) jako výchozí metodu ověřování k řízení přístupu k rovině dat.

Referenční informace: Ověřování pomocí Azure Active Directory (Azure AD) pro přístup k Azure Data Explorer

Metody místního ověřování pro přístup k rovině dat

Popis: Metody místního ověřování podporované pro přístup k rovině dat, jako je místní uživatelské jméno a heslo. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

IM-3: Zabezpečená a automatická správa identit aplikací

Funkce

Spravované identity

Popis: Akce roviny dat podporují ověřování pomocí spravovaných identit. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Poznámky k funkcím: Azure Data Explorer umožňuje ověřování v rovině dat pomocí jakékoli identity Azure Active Directory. To znamená, že se podporují identity spravované systémem a uživatelem. Azure Data Explorer navíc podporuje použití spravovaných identit k ověřování v jiných službách pro příjem dat a dotazy. Další informace najdete v tématu Přehled spravovaných identit.

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je tato možnost povolená ve výchozím nasazení.

Referenční informace: Ověřování Azure Active Directory

Instanční objekty

Popis: Rovina dat podporuje ověřování pomocí instančních objektů. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Poznámky k funkcím: Azure Data Explorer podporuje všechny typy identit Azure Active Directory, včetně instančních objektů

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je tato možnost povolená ve výchozím nasazení.

Referenční informace: Ověřování Azure Active Directory pomocí aplikace

IM-7: Omezení přístupu k prostředkům na základě podmínek

Funkce

Podmíněný přístup pro rovinu dat

Popis: Přístup k rovině dat je možné řídit pomocí zásad podmíněného přístupu Azure AD. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Definujte příslušné podmínky a kritéria pro podmíněný přístup Azure Active Directory (Azure AD) v úloze. Zvažte běžné případy použití, jako je blokování nebo udělení přístupu z konkrétních umístění, blokování rizikového přihlašování nebo vyžadování zařízení spravovaných organizací pro konkrétní aplikace.

Referenční informace: Podmíněný přístup pomocí Azure Data Explorer

IM-8: Omezení odhalení přihlašovacích údajů a tajných kódů

Funkce

Podpora integrace a úložiště přihlašovacích údajů a tajných kódů služby v Azure Key Vault

Popis: Rovina dat podporuje nativní použití Azure Key Vault pro úložiště přihlašovacích údajů a tajných kódů. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

Privilegovaný přístup

Další informace najdete v tématu Srovnávací test zabezpečení cloudu Microsoftu: Privilegovaný přístup.

PA-1: Oddělte a omezte vysoce privilegované uživatele nebo uživatele s oprávněními pro správu.

Funkce

Místní účty Správa

Popis: Služba má koncept místního účtu pro správu. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

PA-7: Dodržujte pouze dostatečný princip správy (nejnižší oprávnění)

Funkce

Azure RBAC pro rovinu dat

Popis: Azure Role-Based Access Control (Azure RBAC) je možné použít ke spravovanému přístupu k akcím roviny dat služby. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Poznámky k funkcím: Azure Data Explorer umožňuje řídit přístup k rovině dat (databázím a tabulkám) pomocí modelu řízení přístupu na základě role. V rámci tohoto modelu se objekty zabezpečení (uživatelé, skupiny a aplikace) mapují na role. Objekty zabezpečení mají přístup k prostředkům podle přiřazených rolí. Rovina dat Azure Data Explorer je však oddělená od role Řízení přístupu na základě role v Azure pro řídicí rovinu.

Další informace najdete v tématu Správa oprávnění databáze Azure Data Explorer.

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

PA-8: Určení procesu přístupu pro podporu poskytovatele cloudu

Funkce

Customer Lockbox

Popis: Customer Lockbox je možné použít pro přístup k podpoře Microsoftu. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Ochrana dat

Další informace najdete v článku Microsoft Cloud Security Benchmark: Ochrana dat.

DP-1: Zjišťování, klasifikace a označování citlivých dat

Funkce

Zjišťování a klasifikace citlivých dat

Popis: Ke zjišťování a klasifikaci dat ve službě je možné použít nástroje (například Azure Purview nebo Azure Information Protection). Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Poznámky k funkcím: Microsoft Purview podporuje azure Data Explorer.

Pokyny ke konfiguraci: Microsoft Purview podporuje azure Data Explorer. Pomocí Azure Purview můžete zkontrolovat, klasifikovat a označovat všechna citlivá data, která se nacházejí v Azure Data Explorer.

DP-2: Monitorování anomálií a hrozeb cílených na citlivá data

Funkce

Ochrana před únikem nebo ztrátou dat

Popis: Služba podporuje řešení ochrany před únikem informací pro monitorování přesunu citlivých dat (v obsahu zákazníka). Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Omezení odchozího přístupu ke clusteru je důležité ke zmírnění rizik, jako je exfiltrace dat. Aktér se zlými úmysly může potenciálně vytvořit externí tabulku do účtu úložiště a extrahovat velké objemy dat. Definováním zásad popisků můžete řídit odchozí přístup na úrovni clusteru. Správa zásad popisků umožňuje povolit odchozí přístup k zadanému SQL, úložišti nebo jiným koncovým bodům.

Referenční informace: Omezení odchozího přístupu z clusteru Azure Data Explorer

DP-3: Šifrování citlivých dat při přenosu

Funkce

Šifrování přenášených dat

Popis: Služba podporuje šifrování přenášených dat pro rovinu dat. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

DP-4: Povolení šifrování neaktivních uložených dat ve výchozím nastavení

Funkce

Šifrování neaktivních uložených dat pomocí klíčů platformy

Popis: Šifrování neaktivních uložených dat pomocí klíčů platformy se podporuje. Veškerý neaktivní uložený zákaznický obsah se šifruje pomocí těchto klíčů spravovaných Microsoftem. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ano	Microsoft

Pokyny ke konfiguraci: Nejsou potřeba žádné další konfigurace, protože je povolená ve výchozím nasazení.

Referenční informace: Šifrování dat v Azure Data Explorer

DP-5: Použití klíče spravovaného zákazníkem v šifrování neaktivních uložených dat v případě potřeby

Funkce

Šifrování neaktivních uložených dat pomocí cmk

Popis: Šifrování neaktivních uložených dat pomocí klíčů spravovaných zákazníkem se podporuje pro obsah zákazníka uložený službou. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Pokud chcete získat další kontrolu nad šifrovacími klíči, můžete zadat klíče spravované zákazníkem, které se použijí k šifrování dat. Šifrování dat můžete spravovat na úrovni úložiště pomocí vlastních klíčů. Klíč spravovaný zákazníkem slouží k ochraně a řízení přístupu ke kořenovému šifrovacímu klíči, který slouží k šifrování a dešifrování všech dat. Klíče spravované zákazníkem nabízejí větší flexibilitu při vytváření, obměně, zakazovávání a odvolávání řízení přístupu. Šifrovací klíče sloužící k ochraně vašich dat můžete také auditovat.

Referenční informace: Šifrování pomocí konfigurace klíčů spravovaných zákazníkem

DP-7: Použití zabezpečeného procesu správy certifikátů

Funkce

Správa certifikátů v Azure Key Vault

Popis: Služba podporuje integraci Azure Key Vault pro všechny zákaznické certifikáty. Další informace.

Podporováno	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporovaná k zabezpečení této služby.

Správa aktiv

Další informace najdete v tématu Srovnávací test cloudového zabezpečení Microsoftu: Správa prostředků.

AM-2: Používejte pouze schválené služby

Funkce

Podpora služby Azure Policy

Popis: Konfigurace služeb je možné monitorovat a vynucovat prostřednictvím Azure Policy. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Pomocí Microsoft Defender for Cloud nakonfigurujte Azure Policy k auditování a vynucování konfigurací prostředků Azure. Azure Monitor slouží k vytváření upozornění, když se u prostředků zjistí odchylka konfigurace. K vynucení zabezpečené konfigurace napříč prostředky Azure použijte efekty Azure Policy [odepřít] a [nasadit, pokud neexistuje].

Referenční informace: Azure Policy ovládací prvky dodržování právních předpisů pro Azure Data Explorer

Protokolování a detekce hrozeb

Další informace najdete v tématu Microsoft Cloud Security Benchmark: Protokolování a detekce hrozeb.

LT-1: Povolení možností detekce hrozeb

Funkce

Microsoft Defender pro službu / nabídku produktů

Popis: Služba má řešení Microsoft Defender specifické pro konkrétní nabídku, které umožňuje monitorovat a upozorňovat na problémy se zabezpečením. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

LT-4: Povolení protokolování pro šetření zabezpečení

Funkce

Protokoly prostředků Azure

Popis: Služba vytváří protokoly prostředků, které můžou poskytovat rozšířené metriky a protokolování specifické pro službu. Zákazník může tyto protokoly prostředků nakonfigurovat a odeslat je do vlastní datové jímky, jako je účet úložiště nebo pracovní prostor služby Log Analytics. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ano	Ne	Zákazník

Pokyny ke konfiguraci: Azure Data Explorer používá diagnostické protokoly pro přehledy o příjmu dat, příkazech, dotazech a tabulkách. Protokoly operací můžete exportovat do služby Azure Storage, centra událostí nebo Log Analytics a monitorovat příjem dat, příkazy a stav dotazů. Protokoly ze služby Azure Storage a Azure Event Hubs je možné směrovat do tabulky v clusteru Azure Data Explorer k další analýze.

Referenční informace: Monitorování příjmu dat, příkazů, dotazů a tabulek Azure Data Explorer pomocí diagnostických protokolů

Backup a obnovení

Další informace najdete v tématu Srovnávací test zabezpečení cloudu Microsoftu: Zálohování a obnovení.

BR-1: Zajištění pravidelného automatizovaného zálohování

Funkce

Azure Backup

Popis: Službu může zálohovat služba Azure Backup. Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

Funkce nativního zálohování služby

Popis: Služba podporuje vlastní nativní zálohování (pokud nepoužíváte Azure Backup). Další informace.

Podporuje se	Povoleno ve výchozím nastavení	Odpovědnost za konfiguraci
Ne	Neuvedeno	Neuvedeno

Pokyny ke konfiguraci: Tato funkce není podporována k zabezpečení této služby.

Další kroky

• Podívejte se na přehled srovnávacích testů zabezpečení cloudu Microsoftu.
• Další informace o základních úrovních zabezpečení Azure