Dettagli dell'iniziativa incorporata di conformità con le normative per Microsoft Cloud Security Benchmark

L'articolo seguente definisce il mapping dell'iniziativa predefinita di conformità alle normative di Criteri di Azure ai domini di conformità e ai controlli in Microsoft Cloud Security Benchmark. Per altre informazioni su questo standard di conformità, vedere Microsoft Cloud Security Benchmark. Per comprendere la Proprietà, esaminare il tipo di criterio e la responsabilità condivisa nel cloud.

I mapping seguenti sono relativi ai controlli di Microsoft Cloud Security Benchmark. Molti controlli vengono implementati con una definizione dell'iniziativa Criteri di Azure. Per esaminare la definizione dell'iniziativa completa, aprire Criteri nel portale di Azure e selezionare la pagina Definizioni. Quindi, trovare e selezionare la definizione dell'iniziativa integrata di conformità alle normative per Microsoft Cloud Security Benchmark.

Sicurezza di rete

Stabilire i limiti di segmentazione di rete

ID: Microsoft Cloud Security Benchmark NS-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
È consigliabile limitare tutte le porte di rete nei gruppi di sicurezza di rete associati alla macchina virtuale	Il Centro sicurezza di Azure ha identificato alcune regole in ingresso dei gruppi di sicurezza di rete eccessivamente permissive. Le regole in ingresso non devono consentire l'accesso da 'Tutti' gli intervalli o dagli intervalli 'Internet'. Ciò può consentire potenzialmente agli utenti malintenzionati di attaccare le risorse.	AuditIfNotExists, Disabled	3.0.0
Le macchine virtuali con connessione Internet devono essere protette con i gruppi di sicurezza di rete	Protegge le macchine virtuali da potenziali minacce limitandone l'accesso con i gruppi di sicurezza di rete. Per altre informazioni sul controllo del traffico con i gruppi di sicurezza di rete, vedere https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Le macchine virtuali senza connessione Internet devono essere protette con i gruppi di sicurezza di rete	Protegge le macchine virtuali senza connessione Internet da potenziali minacce limitandone l'accesso con i gruppi di sicurezza di rete. Per altre informazioni sul controllo del traffico con i gruppi di sicurezza di rete, vedere https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Le subnet devono essere associate a un gruppo di sicurezza di rete	È possibile proteggere la subnet dalle minacce potenziali limitando l'accesso alla subnet con un gruppo di sicurezza di rete. I gruppi di sicurezza di rete contengono un elenco di regole ACL (elenco di controllo di accesso) che consentono o negano il traffico di rete alla subnet.	AuditIfNotExists, Disabled	3.0.0

Proteggere i servizi cloud con controlli di rete

ID: Microsoft Cloud Security Benchmark NS-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Deprecato]: Servizi cognitivi deve usare un collegamento privato	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a Servizi cognitivi, si ridurrà il rischio di una perdita di dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://go.microsoft.com/fwlink/?linkid=2129800.	Audit, Disabled	3.0.1-deprecated
[Anteprima]: L'accesso pubblico agli account di archiviazione non deve essere consentito	L'accesso in lettura pubblico anonimo a contenitori e BLOB in Archiviazione di Azure è un metodo pratico per condividere i dati, ma potrebbe comportare rischi per la sicurezza. Per evitare violazioni dei dati provocate da accesso anonimo indesiderato, Microsoft consiglia di impedire l'accesso pubblico a un account di archiviazione, a meno che non sia richiesto dallo scenario.	audit, Audit, Deny, Deny, disabled, Disabled	3.1.0-anteprima
I servizi di gestione API devono usare una rete virtuale	La distribuzione della rete virtuale di Azure offre protezione avanzata, isolamento e consente di inserire il servizio Gestione API in una rete instradabile non Internet di cui si controlla l'accesso. Queste reti possono quindi essere connesse alle reti locali usando varie tecnologie VPN, che consentono l'accesso ai servizi back-end all'interno della rete e/o in locale. Il portale per sviluppatori e il gateway dell'API possono essere configurati in modo che siano accessibili da Internet o solo all'interno della rete virtuale.	Audit, Deny, Disabled	1.0.2
API Management deve disabilitare l'accesso alla rete pubblica agli endpoint di configurazione del servizio	Per migliorare la sicurezza dei servizi Gestione API, limitare la connettività agli endpoint di configurazione del servizio, ad esempio l'API di gestione dell'accesso diretto, l'endpoint di gestione della configurazione Git o l'endpoint di configurazione dei gateway self-hosted.	AuditIfNotExists, Disabled	1.0.1
Configurazione app deve usare un collegamento privato	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Il mapping degli endpoint privati alle sole istanze di Configurazione app anziché all'intero servizio, garantisce la protezione dai rischi di perdita dei dati. Per altre informazioni, vedere https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, Disabled	1.0.2
Gli intervalli IP autorizzati devono essere definiti nei servizi Kubernetes	Limita l'accesso all'API Gestione dei servizi Kubernetes concedendo l'accesso all'API solo agli indirizzi IP in intervalli specifici. È consigliabile limitare l'accesso agli intervalli IP autorizzati per garantire che solo le applicazioni provenienti da reti autorizzate possano accedere al cluster.	Audit, Disabled	2.0.1
Le risorse di Servizi di Azure AI devono limitare l'accesso alla rete	Limitando l'accesso alla rete, è possibile assicurarsi che solo le reti consentite possano accedere al servizio. A tale scopo, è possibile configurare le regole di rete in modo che solo le applicazioni provenienti da reti consentite possano accedere al servizio Azure per intelligenza artificiale.	Audit, Deny, Disabled	3.2.0
Le risorse di Servizi di Azure AI devono usare collegamento privato di Azure	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma di collegamento privato riduce i rischi di perdita di dati gestendo la connettività tra consumer e servizi tramite la rete backbone di Azure. È possibile trovare altre informazioni sui collegamenti privati alla pagina: https://aka.ms/AzurePrivateLink/Overview	Audit, Disabled	1.0.0
La cache di Azure per Redis deve usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. Eseguendo il mapping degli endpoint privati alle istanze di Cache Redis di Azure, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, Disabled	1.0.0
Per gli account di Azure Cosmos DB devono essere definite regole del firewall	Le regole del firewall devono essere definite negli account Azure Cosmos DB per impedire il traffico proveniente da origini non autorizzate. Gli account per cui è definita almeno una regola IP con il filtro della rete virtuale abilitato vengono ritenuti conformi. Anche gli account che disabilitano l'accesso pubblico vengono ritenuti conformi.	Audit, Deny, Disabled	2.1.0
Azure Cosmos DB deve disabilitare l'accesso alla rete pubblica	La disabilitazione dell'accesso alla rete pubblica migliora la sicurezza assicurandosi che l'account CosmosDB non sia esposto su Internet pubblico. La creazione di endpoint privati può limitare l'esposizione dell'account CosmosDB. Per altre informazioni, vedere https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints#blocking-public-network-access-during-account-creation.	Audit, Deny, Disabled	1.0.0
I cluster di Azure Databricks devono disabilitare l'indirizzo IP pubblico	La disabilitazione dell'indirizzo IP pubblico dei cluster nelle aree di lavoro di Azure Databricks migliora la sicurezza assicurando che i cluster non siano esposti su Internet pubblico. Per altre informazioni, vedere https://video2.skills-academy.com/azure/databricks/security/secure-cluster-connectivity.	Audit, Deny, Disabled	1.0.1
Le aree di lavoro di Azure Databricks devono trovarsi in una rete virtuale	Le reti virtuali di Azure offrono una maggiore sicurezza e isolamento per gli spazi di lavoro di Azure Databricks, oltre a sottoreti, criteri di controllo degli accessi e altre funzionalità per limitare ulteriormente l'accesso. Per altre informazioni, vedere https://docs.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/vnet-inject.	Audit, Deny, Disabled	1.0.2
Le aree di lavoro di Azure Databricks devono disabilitare l'accesso alla rete pubblica	La disabilitazione dell'accesso alla rete pubblica migliora la sicurezza assicurandosi che la risorsa non sia esposta su Internet pubblico. È possibile controllare l'esposizione delle risorse creando invece endpoint privati. Per altre informazioni, vedere https://video2.skills-academy.com/azure/databricks/administration-guide/cloud-configurations/azure/private-link.	Audit, Deny, Disabled	1.0.1
Le aree di lavoro di Azure Databricks devono usare un collegamento privato	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati alle aree di lavoro di Azure Databricks, è possibile ridurre i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/adbpe.	Audit, Disabled	1.0.2
I domini di Griglia di eventi di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Mappando gli endpoint privati sul proprio dominio della Griglia di eventi invece che sull'intero servizio, sarà possibile essere protetti anche dai rischi di perdita di dati. Per altre informazioni, vedere https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Gli argomenti di Griglia di eventi di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Mappando gli endpoint privati sul vostro argomento della Griglia di eventi invece che sull'intero servizio, sarete protetti anche dai rischi di perdita di dati. Per altre informazioni, vedere https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Azure Key Vault deve avere il firewall abilitato	Abilitare il firewall dell'insieme di credenziali delle chiavi in modo che questo non sia accessibile per impostazione predefinita a nessun indirizzo IP pubblico. Facoltativamente, è possibile configurare intervalli IP specifici per limitare l'accesso a tali reti. Per altre informazioni, vedere: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Deny, Disabled	3.2.1
Le istanze di Azure Key Vault devono usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'insieme di credenziali delle chiavi, è possibile ridurre i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Gli ambienti di calcolo di Azure Machine Learning devono essere in una rete virtuale	Le reti virtuali di Azure offrono sicurezza e isolamento avanzati per i cluster di calcolo e le istanze di Azure Machine Learning, nonché le subnet, i criteri di controllo di accesso e altre funzionalità per limitare ulteriormente l'accesso. Quando un ambiente di calcolo è configurato con una rete virtuale, non è indirizzabile pubblicamente e può essere accessibile solo da macchine virtuali e applicazioni all'interno della rete virtuale.	Audit, Disabled	1.0.1
Le aree di lavoro di Azure Machine Learning devono disabilitare l'accesso alla rete pubblica	La disabilitazione dell'accesso alla rete pubblica migliora la sicurezza assicurandosi che le aree di lavoro di Machine Learning non siano esposte su Internet pubblico. È possibile controllare l'esposizione delle aree di lavoro creando invece endpoint privati. Per altre informazioni, vedere: https://video2.skills-academy.com/azure/machine-learning/how-to-configure-private-link?view=azureml-api-2& tabs=azure-portal.	Audit, Deny, Disabled	2.0.1
Le aree di lavoro di Azure Machine Learning devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati alle aree di lavoro di Azure Machine Learning, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Audit, Disabled	1.0.0
Il servizio Azure SignalR deve usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati alla risorsa del servizio Azure SignalR anziché all'intero servizio, si ridurranno i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/asrs/privatelink.	Audit, Disabled	1.0.0
Azure Spring Cloud deve usare l'aggiunta alla rete	Le istanze di Azure Spring Cloud devono usare l'aggiunta alla rete virtuale per gli scopi seguenti: 1. Isolare Azure Spring Cloud da Internet. 2. Consentire ad Azure Spring Cloud di interagire con i sistemi nei data center locali o con il servizio Azure in altre reti virtuali. 3. Consentire ai clienti di controllare le comunicazioni di rete in ingresso e in uscita per Azure Spring Cloud.	Audit, Disabled, Deny	1.2.0
Le Istanze gestite di SQL di Azure devono disabilitare l'accesso alla rete pubblica	La disabilitazione dell'accesso alla rete pubblica (endpoint pubblico) in Istanze gestite di SQL di Azure migliora la sicurezza assicurando che sia accessibile solo dall'interno delle reti virtuali o tramite endpoint privati. Per altre informazioni sull'accesso alla rete pubblica, visitare https://aka.ms/mi-public-endpoint.	Audit, Deny, Disabled	1.0.0
I registri contenitori non devono consentire l'accesso alla rete senza restrizioni	Per impostazione predefinita, i Registri Azure Container accettano le connessioni tramite Internet dagli host in qualsiasi rete. Per proteggere i registri da potenziali minacce, consentire l'accesso solo da specifici endpoint privati, indirizzi IP pubblici o intervalli di indirizzi. Se il Registro di sistema non dispone di regole di rete configurate, verrà visualizzato nelle risorse non integre. Per ulteriori informazioni sulle regole di rete per il Registro Azure Container, vedere: https://aka.ms/acr/privatelink,https://aka.ms/acr/portal/public-network e https://aka.ms/acr/vnet.	Audit, Deny, Disabled	2.0.0
I registri contenitori devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Il mapping degli endpoint privati ai soli registri contenitori anziché all'intero servizio, garantisce la protezione dai rischi di perdita dei dati. Per altre informazioni, vedere https://aka.ms/acr/private-link.	Audit, Disabled	1.0.1
Gli account Cosmos DB devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'account CosmosDB, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Audit, Disabled	1.0.0
Le connessioni endpoint privato nel database SQL di Azure devono essere abilitate	Le connessioni endpoint privato impongono la comunicazione sicura tramite l'abilitazione della connettività privata al database SQL di Azure.	Audit, Disabled	1.1.0
L'endpoint privato deve essere abilitato per i server MariaDB	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per MariaDB. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'endpoint privato deve essere abilitato per i server MySQL	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per MySQL. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'endpoint privato deve essere abilitato per i server PostgreSQL	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per PostgreSQL. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'accesso alla rete pubblica nel database SQL di Azure deve essere disabilitato	La disabilitazione della proprietà di accesso alla rete pubblica migliora la sicurezza, in quanto garantisce che al database SQL di Azure sia possibile accedere solo da un endpoint privato. Questa configurazione nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	1.1.0
L'accesso alla rete pubblica deve essere disabilitato per i server MariaDB	Disabilita la proprietà di accesso alla rete pubblica per migliorare la sicurezza e garantire che al database di Azure per MariaDB sia possibile accedere solo da un endpoint privato. Questa configurazione disabilita l'accesso da tutti gli spazi indirizzi pubblici non compresi nell'intervallo di indirizzi IP di Azure e nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	2.0.0
L'accesso alla rete pubblica deve essere disabilitato per i server MySQL	Disabilita la proprietà di accesso alla rete pubblica per migliorare la sicurezza e garantire che al database di Azure per MySQL sia possibile accedere solo da un endpoint privato. Questa configurazione disabilita l'accesso da tutti gli spazi indirizzi pubblici non compresi nell'intervallo di indirizzi IP di Azure e nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	2.0.0
L'accesso alla rete pubblica deve essere disabilitato per i server PostgreSQL	Disabilita la proprietà di accesso alla rete pubblica per migliorare la sicurezza e garantire che al database di Azure per PostgreSQL sia possibile accedere solo da un endpoint privato. Questa configurazione disabilita l'accesso da tutti gli spazi indirizzi pubblici non compresi nell'intervallo di indirizzi IP di Azure e nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	2.0.1
Gli account di archiviazione devono limitare l'accesso alla rete	L'accesso di rete agli account di archiviazione deve essere limitato. Configurare regole di rete in modo che l'account di archiviazione sia accessibile solo alle applicazioni provenienti da reti consentite. Per consentire le connessioni da client Internet o locali specifici, è possibile concedere l'accesso al traffico da reti virtuali di Azure specifiche o a intervalli di indirizzi IP Internet pubblici	Audit, Deny, Disabled	1.1.1
Gli account di archiviazione devono limitare l'accesso alla rete usando regole di rete virtuale	Protegge gli account di archiviazione da potenziali minacce usando le regole di rete virtuale come metodo preferito anziché il filtro basato su IP. La disabilitazione del filtro basato su IP, impedisce agli indirizzi IP pubblici di accedere agli account di archiviazione.	Audit, Deny, Disabled	1.0.1
Gli account di archiviazione devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all’account di archiviazione, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
I modelli di Image Builder per macchine virtuali devono usare un collegamento privato	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati alla compilazione di risorse di Image Builder della macchina virtuale, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Audit, Disabled, Deny	1.1.0

Distribuire il firewall nel perimetro della rete aziendale

ID: Microsoft Cloud Security Benchmark NS-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: tutto il traffico Internet deve essere instradato tramite il firewall di Azure distribuito	Il Centro sicurezza di Azure ha rilevato che alcune delle subnet non sono protette con un firewall di nuova generazione. Proteggere le subnet da potenziali minacce limitandone l'accesso tramite un firewall di Azure o un firewall di nuova generazione supportato	AuditIfNotExists, Disabled	3.0.0-preview
L'inoltro IP nella macchina virtuale deve essere disabilitato	L'abilitazione dell'inoltro IP sulla scheda di rete di una macchina virtuale consente alla macchina virtuale di ricevere traffico indirizzato ad altre destinazioni. L'inoltro IP è richiesto raramente, ad esempio, quando si usa la macchina virtuale come appliance virtuale di rete, di conseguenza l'abilitazione di questa impostazione deve essere verificata dal team di sicurezza della rete.	AuditIfNotExists, Disabled	3.0.0
Le porte di gestione delle macchine virtuali devono essere protette tramite un controllo di accesso alla rete JIT	I possibili accessi JIT alla rete verranno monitorati dal Centro sicurezza di Azure che invierà i consigli corrispondenti	AuditIfNotExists, Disabled	3.0.0
È consigliabile chiudere le porte di gestione nelle macchine virtuali	Le porte di gestione remota aperte espongono la macchina virtuale a un rischio elevato derivante da attacchi di forza bruta basati su Internet per sottrarre le credenziali e ottenere l'accesso di amministratore alla macchina virtuale.	AuditIfNotExists, Disabled	3.0.0

Distribuire la protezione DDOS

ID: Microsoft Cloud Security Benchmark NS-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Protezione DDoS di Azure deve essere abilitata	È necessario abilitare la protezione DDoS Standard per tutte le reti virtuali con una subnet che fa parte di un gateway applicazione con un indirizzo IP pubblico.	AuditIfNotExists, Disabled	3.0.1

Distribuire Web application firewall

ID: Microsoft Cloud Security Benchmark NS-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Web application firewall di Azure deve essere abilitato per i punti di ingresso di Frontdoor di Azure	Distribuire Azure Web Application Firewall (WAF) davanti ad applicazioni Web pubbliche per un'ulteriore ispezione del traffico in ingresso. Web Application Firewall (WAF) fornisce protezione centralizzata delle applicazioni Web dagli exploit e dalle vulnerabilità più comuni, ad esempio attacchi SQL injection, scripting intersito, esecuzioni file locali e remote. È inoltre possibile limitare l'accesso alle applicazioni Web in base a paesi, intervalli di indirizzi IP e altri parametri HTTP/HTTPS, tramite le regole personalizzate.	Audit, Deny, Disabled	1.0.2
Web Application Firewall (WAF) deve essere abilitato per il gateway applicazione	Distribuire Azure Web Application Firewall (WAF) davanti ad applicazioni Web pubbliche per un'ulteriore ispezione del traffico in ingresso. Web Application Firewall (WAF) fornisce protezione centralizzata delle applicazioni Web dagli exploit e dalle vulnerabilità più comuni, ad esempio attacchi SQL injection, scripting intersito, esecuzioni file locali e remote. È inoltre possibile limitare l'accesso alle applicazioni Web in base a paesi, intervalli di indirizzi IP e altri parametri HTTP/HTTPS, tramite le regole personalizzate.	Audit, Deny, Disabled	2.0.0

Rilevare e disabilitare i servizi e i protocolli non sicuri

ID: Microsoft Cloud Security Benchmark NS-8 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Le app del servizio app devono usare la versione TLS più recente	Periodicamente vengono rilasciate nuove versioni di TLS a causa di falle di sicurezza, per includere funzionalità aggiuntive e migliorare la velocità. Eseguire l'aggiornamento alla versione più recente di TLS per le app del servizio app per sfruttare le correzioni di sicurezza, se presenti e/o nuove funzionalità della versione più recente.	AuditIfNotExists, Disabled	2.1.0
Le app per le funzioni devono usare la versione TLS più recente	Periodicamente vengono rilasciate nuove versioni di TLS a causa di falle di sicurezza, per includere funzionalità aggiuntive e migliorare la velocità. Eseguire l'aggiornamento alla versione più recente di TLS per le app per le funzioni per sfruttare le correzioni di sicurezza, se presenti e/o nuove funzionalità della versione più recente.	AuditIfNotExists, Disabled	2.1.0

Gestione delle identità

Usare il sistema centralizzato di gestione identità e autenticazione

ID: Microsoft Cloud Security Benchmark IM-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: Il server flessibile di Azure PostgreSQL deve avere l'autenticazione solo Entra di Microsoft abilitata	Disabilitando i metodi di autenticazione locale e consentendo solo l'autenticazione di Microsoft Entra, è possibile garantire che il server flessibile di Azure PostgreSQL sia accessibile esclusivamente dalle identità di Microsoft Entra.	Audit, Disabled	1.0.0-preview
È necessario effettuare il provisioning di un amministratore di Microsoft Entra per i server PostgreSQL	Controllare il provisioning di un amministratore di Microsoft Entra per il server PostgreSQL per abilitare l'autenticazione di Microsoft Entra. L'autenticazione di Microsoft Entra consente una gestione semplificata delle autorizzazioni e una gestione centralizzata delle identità di utenti di database e di altri servizi Microsoft	AuditIfNotExists, Disabled	1.0.1
È consigliabile effettuare il provisioning di un amministratore di Azure Active Directory per i server SQL	Controlla il provisioning di un amministratore di Azure Active Directory per il server SQL per abilitare l'autenticazione di Azure AD. L'autenticazione di Azure AD consente una gestione semplificata delle autorizzazioni e una gestione centralizzata delle identità di utenti di database e di altri servizi Microsoft	AuditIfNotExists, Disabled	1.0.0
Le risorse di Servizi di Azure AI devono avere l'accesso alla chiave disabilitato (disabilitare l'autenticazione locale)	È consigliabile disabilitare l'accesso alla chiave (autenticazione locale) per la sicurezza. Azure OpenAI Studio, in genere usato in fase di sviluppo/test, richiede l'accesso alle chiavi e non funzionerà se l'accesso alla chiave è disabilitato. Dopo la disabilitazione, Microsoft Entra ID diventa l'unico metodo di accesso, che consente di mantenere il principio dei privilegi minimi e il controllo granulare. Per altre informazioni, vedere: https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
Gli ambienti di calcolo di Machine Learning devono avere i metodi di autenticazione locale disabilitati	La disabilitazione dei metodi di autenticazione locale migliora la sicurezza, garantendo che Machine Learning Computes richieda esclusivamente le identità di Azure Active Directory per l'autenticazione. Per altre informazioni, vedere https://aka.ms/azure-ml-aad-policy.	Audit, Deny, Disabled	2.1.0
Il database SQL di Azure deve avere l'autenticazione solo Microsoft Entra abilitata	Richiedere ai server logici Azure SQL di usare l'autenticazione solo Microsoft Entra. Questo criterio non impedisce la creazione dei server con l'autenticazione locale abilitata. Impedisce l'abilitazione dell'autenticazione locale nelle risorse dopo la creazione. Considerare l'uso dell'iniziativa "autenticazione solo Microsoft Entra" per richiedere entrambe. Per altre informazioni, vedere https://aka.ms/adonlycreate.	Audit, Deny, Disabled	1.0.0
Il database SQL di Azure deve avere l'autenticazione solo Microsoft Entra abilitata durante la creazione	Richiedere la creazione di server logici Azure SQL con l'autenticazione solo su Microsoft Entra. Questo criterio non impedisce la ri-abilitazione dell'autenticazione locale nelle risorse dopo la creazione. Considerare l'uso dell'iniziativa "autenticazione solo Microsoft Entra" per richiedere entrambe. Per altre informazioni, vedere https://aka.ms/adonlycreate.	Audit, Deny, Disabled	1.2.0
L’Istanza gestita di SQL di Azure deve avere l'autenticazione solo Microsoft Entra abilitata	Richiedere all'Istanza gestita di SQL di Azure di usare l'autenticazione solo Microsoft Entra. Questo criterio non impedisce la creazione di istanze gestite di SQL di Azure con l'autenticazione locale abilitata. Impedisce l'abilitazione dell'autenticazione locale nelle risorse dopo la creazione. Considerare l'uso dell'iniziativa "autenticazione solo Microsoft Entra" per richiedere entrambe. Per altre informazioni, vedere https://aka.ms/adonlycreate.	Audit, Deny, Disabled	1.0.0
Le Istanze gestite di SQL di Azure devono avere l'autenticazione solo Microsoft Entra abilitata	Richiedere la creazione dell'Istanza gestita di SQL di Azure con l'autenticazione solo Microsoft Entra. Questo criterio non impedisce la ri-abilitazione dell'autenticazione locale nelle risorse dopo la creazione. Considerare l'uso dell'iniziativa "autenticazione solo Microsoft Entra" per richiedere entrambe. Per altre informazioni, vedere https://aka.ms/adonlycreate.	Audit, Deny, Disabled	1.2.0
Per gli account di database Cosmos DB i metodi di autenticazione locale devono essere disabilitati	La disabilitazione dei metodi di autenticazione locale migliora la sicurezza, garantendo che gli account del database Cosmos DB richiedano esclusivamente le identità di Azure Active Directory per l'autenticazione. Per altre informazioni, vedere https://docs.microsoft.com/azure/cosmos-db/how-to-setup-rbac#disable-local-auth.	Audit, Deny, Disabled	1.1.0
I cluster di Service Fabric deve usare solo Azure Active Directory per l'autenticazione client	Controlla l'utilizzo dell'autenticazione client solo tramite Azure Active Directory in Service Fabric	Audit, Deny, Disabled	1.1.0
Gli account di archiviazione devono impedire l'accesso alla chiave condivisa	Requisito di controllo di Azure Active Directory (Azure AD) per autorizzare le richieste per l'account di archiviazione. Per impostazione predefinita, le richieste possono essere autorizzate con le credenziali di Azure Active Directory o usando la chiave di accesso dell'account per l'autorizzazione con chiave condivisa. Tra questi due tipi di autorizzazione, Azure AD fornisce una sicurezza superiore ed è più facile da usare rispetto a Chiave condivisa ed è consigliato da Microsoft.	Audit, Deny, Disabled	2.0.0
Per le aree di lavoro di Synapse deve essere abilitata l'autenticazione solo di Microsoft Entra	Richiedere alle aree di lavoro di Synapse di usare l'autenticazione solo Entra di Microsoft. Questo criterio non impedisce la creazione delle aree di lavoro con l'autenticazione locale abilitata. Impedisce l'abilitazione dell'autenticazione locale nelle risorse dopo la creazione. Considerare l'uso dell'iniziativa "autenticazione solo Microsoft Entra" per richiedere entrambe. Per altre informazioni, vedere https://aka.ms/Synapse.	Audit, Deny, Disabled	1.0.0
Le aree di lavoro di Synapse devono usare solo le identità di Microsoft Entra per l'autenticazione durante la creazione dell'area di lavoro	Richiedere la creazione delle aree di lavoro di Synapse con l'autenticazione solo Entra di Microsoft. Questo criterio non impedisce la ri-abilitazione dell'autenticazione locale nelle risorse dopo la creazione. Considerare l'uso dell'iniziativa "autenticazione solo Microsoft Entra" per richiedere entrambe. Per altre informazioni, vedere https://aka.ms/Synapse.	Audit, Deny, Disabled	1.2.0
I gateway VPN devono usare solo l'autenticazione di Azure Active Directory (Azure AD) per gli utenti da punto a sito	La disabilitazione dei metodi di autenticazione locale migliora la sicurezza assicurando che i gateway VPN usino solo le identità di Azure Active Directory per l'autenticazione. Per altre informazioni sull'autenticazione di Azure AD, vedere https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant	Audit, Deny, Disabled	1.0.0

Gestire le identità dell'applicazione in modo sicuro e automatico

ID: Microsoft Cloud Security Benchmark IM-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Le app del servizio app devono usare l'identità gestita	Usare un'identità gestita per la protezione avanzata dell'autenticazione	AuditIfNotExists, Disabled	3.0.0
Le app per le funzioni devono usare l'identità gestita	Usare un'identità gestita per la protezione avanzata dell'autenticazione	AuditIfNotExists, Disabled	3.0.0
L'estensione Configurazione guest delle macchine virtuali deve essere distribuita con un'identità gestita assegnata dal sistema	L'estensione Configurazione guest richiede un'identità gestita assegnata al sistema. Le macchine virtuali di Azure nell'ambito di questo criterio saranno non conformi se l'estensione Configurazione guest è installata ma non dispone di un'identità gestita assegnata dal sistema. Per altre informazioni: https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1

Autenticare server e servizi

ID: Microsoft Cloud Security Benchmark IM-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Gli endpoint API in API Management di Azure devono essere autenticati	Gli endpoint API pubblicati in Gestione API di Azure devono applicare l'autenticazione per ridurre al minimo i rischi per la sicurezza. I meccanismi di autenticazione vengono talvolta implementati in modo non corretto o mancanti. Ciò consente agli utenti malintenzionati di sfruttare i difetti di implementazione e di accedere ai dati. Altre informazioni sulla minaccia dell'API OWASP per l'autenticazione utente interrotta sono disponibili qui: https://video2.skills-academy.com/azure/api-management/mitigate-owasp-api-threats#broken-user-authentication	AuditIfNotExists, Disabled	1.0.1
API Management le chiamate ai back-end dell'API devono essere autenticate	Le chiamate da Gestione API ai back-end devono usare una forma di autenticazione, sia tramite certificati che credenziali. Non si applica ai back-end di Service Fabric.	Audit, Disabled, Deny	1.0.1
Le chiamate di API Management ai back-end API non devono ignorare l'identificazione personale o la convalida dei nomi del certificato	Per migliorare la sicurezza dell'API, Gestione API deve convalidare il certificato del server back-end per tutte le chiamate API. Abilitare l'identificazione personale del certificato SSL e la convalida del nome.	Audit, Disabled, Deny	1.0.2
Il database SQL di Azure deve eseguire TLS versione 1.2 o successiva	Impostando la versione di TLS su 1.2 o successive, è possibile migliorare la sicurezza e garantire che il database SQL di Azure sia accessibile solo dai client che usano TLS 1.2 o versioni successive. Non è consigliabile usare versioni di TLS precedenti alla versione 1.2 in quanto presentano vulnerabilità della sicurezza ben documentate.	Audit, Disabled, Deny	2.0.0

Usare controlli di autenticazione avanzata

ID: Microsoft Cloud Security Benchmark IM-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Per gli account con autorizzazioni di proprietario nelle risorse di Azure deve essere abilitata l'autenticazione a più fattori	È necessario abilitare Multi-Factor Authentication (MFA) per tutti gli account della sottoscrizione con autorizzazioni di proprietario per evitare una violazione di account o risorse.	AuditIfNotExists, Disabled	1.0.0
Per gli account con autorizzazioni di lettura nelle risorse di Azure deve essere abilitata l'autenticazione a più fattori	È necessario abilitare Multi-Factor Authentication (MFA) per tutti gli account della sottoscrizione con privilegi di lettura per evitare una violazione di account o risorse.	AuditIfNotExists, Disabled	1.0.0
Per gli account con autorizzazioni di scrittura nelle risorse di Azure deve essere abilitata l'autenticazione a più fattori	È necessario abilitare Multi-Factor Authentication (MFA) per tutti gli account della sottoscrizione con privilegi di scrittura per evitare una violazione di account o risorse.	AuditIfNotExists, Disabled	1.0.0
L'autenticazione alle macchine virtuali Linux deve richiedere chiavi SSH	Sebbene SSH stesso fornisca una connessione crittografata, l'uso di password con SSH lascia comunque la macchina virtuale vulnerabile agli attacchi di forza bruta. L'opzione più sicura per l'autenticazione in una macchina virtuale Linux di Azure tramite SSH è con una coppia di chiavi pubblica-privata, nota anche come chiavi SSH. Altre informazioni: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed	AuditIfNotExists, Disabled	3.2.0

Limitare l'esposizione di credenziali e segreti

ID: Microsoft Cloud Security Benchmark IM-8 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
API Management versione API minima deve essere impostata su 2019-12-01 o versione successiva	Per evitare che i segreti del servizio vengano condivisi con utenti di sola lettura, la versione API minima deve essere impostata su 2019-12-01 o versione successiva.	Audit, Deny, Disabled	1.0.1
I valori denominati del segreto di API Management devono essere archiviati in Azure Key Vault	I valori denominati sono una raccolta di coppie nome e valore in ogni servizio Gestione API. I valori dei segreti possono essere archiviati come testo crittografato in Gestione API (segreti personalizzati) o facendo riferimento ai segreti in Azure Key Vault. Per migliorare la sicurezza di Gestione API e segreti, fare riferimento ai valori denominati del segreto da Azure Key Vault. Azure Key Vault supporta la gestione granulare degli accessi e i criteri di rotazione dei segreti.	Audit, Disabled, Deny	1.0.2
È necessario che i risultati per i segreti delle macchine virtuali siano risolti	Controlla le macchine virtuali per rilevare se contengono risultati segreti dalle soluzioni di analisi dei segreti nelle macchine virtuali.	AuditIfNotExists, Disabled	1.0.2

Accesso con privilegi

Separare e limitare gli utenti con privilegi elevati/amministratori

ID: Microsoft Cloud Security Benchmark PA-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Per la sottoscrizione devono essere designati al massimo 3 proprietari	È consigliabile designare fino a 3 proprietari della sottoscrizione in modo da ridurre la probabilità di violazione da parte di un proprietario compromesso.	AuditIfNotExists, Disabled	3.0.0
Gli account bloccati con autorizzazioni di proprietario nelle risorse di Azure devono essere rimossi	Gli account deprecati con autorizzazioni di proprietario devono essere rimossi dalla sottoscrizione. Gli account deprecati sono account a cui è stato bloccato l'accesso.	AuditIfNotExists, Disabled	1.0.0
Gli account guest con autorizzazioni di proprietario nelle risorse di Azure devono essere rimossi	È necessario rimuovere dalla sottoscrizione gli account esterni con autorizzazioni di proprietario in modo da evitare l'accesso non monitorato.	AuditIfNotExists, Disabled	1.0.0
Alla sottoscrizione deve essere assegnato più di un proprietario	È consigliabile designare più di un proprietario di sottoscrizione per assicurare la ridondanza dell'accesso amministratore.	AuditIfNotExists, Disabled	3.0.0

Evitare l'accesso permanente per account e autorizzazioni

ID: Microsoft Cloud Security Benchmark PA-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Le porte di gestione delle macchine virtuali devono essere protette tramite un controllo di accesso alla rete JIT	I possibili accessi JIT alla rete verranno monitorati dal Centro sicurezza di Azure che invierà i consigli corrispondenti	AuditIfNotExists, Disabled	3.0.0

Controllare e riconciliare l'accesso degli utenti con regolarità

ID: Microsoft Cloud Security Benchmark PA-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Gli account bloccati con autorizzazioni di proprietario nelle risorse di Azure devono essere rimossi	Gli account deprecati con autorizzazioni di proprietario devono essere rimossi dalla sottoscrizione. Gli account deprecati sono account a cui è stato bloccato l'accesso.	AuditIfNotExists, Disabled	1.0.0
Gli account bloccati con autorizzazioni di scrittura e lettura nelle risorse di Azure devono essere rimossi	È necessario rimuovere dalle sottoscrizioni gli account deprecati. Gli account deprecati sono account a cui è stato bloccato l'accesso.	AuditIfNotExists, Disabled	1.0.0
Gli account guest con autorizzazioni di proprietario nelle risorse di Azure devono essere rimossi	È necessario rimuovere dalla sottoscrizione gli account esterni con autorizzazioni di proprietario in modo da evitare l'accesso non monitorato.	AuditIfNotExists, Disabled	1.0.0
Gli account guest con autorizzazioni di lettura nelle risorse di Azure devono essere rimossi	È necessario rimuovere dalla sottoscrizione gli account esterni con privilegi di lettura in modo da evitare l'accesso non monitorato.	AuditIfNotExists, Disabled	1.0.0
Gli account guest con autorizzazioni di scrittura nelle risorse di Azure devono essere rimossi	È necessario rimuovere dalla sottoscrizione gli account esterni con privilegi di scrittura in modo da evitare l'accesso non monitorato.	AuditIfNotExists, Disabled	1.0.0

Applicare all'amministrazione il principio dei privilegi minimi

ID: Microsoft Cloud Security Benchmark PA-7 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Le sottoscrizioni di API Management non devono essere con ambito per tutte le API	Le sottoscrizioni di Gestione API devono essere incluse nell'ambito di un prodotto o di una singola API anziché di tutte le API, il che potrebbe comportare un'esposizione eccessiva dei dati.	Audit, Disabled, Deny	1.1.0
Controllare l'utilizzo dei ruoli Controllo degli accessi in base al ruolo (RBAC) personalizzati	Controlla i ruoli predefiniti, ad esempio "Proprietario, Collaboratore, Lettore" invece che i ruoli Controllo degli accessi in base al ruolo personalizzati, che sono soggetti a errori. L'uso di ruoli personalizzati è considerato un'eccezione e richiede una revisione rigorosa e la modellazione delle minacce	Audit, Disabled	1.0.1
Nei servizi Kubernetes deve essere usato il controllo degli accessi in base al ruolo	Per garantire un filtro granulare per le azioni che gli utenti possono eseguire, usare il controllo degli accessi in base al ruolo per gestire le autorizzazioni nei cluster del servizio Kubernetes e configurare i criteri di autorizzazione pertinenti.	Audit, Disabled	1.0.4

Protezione dei dati

Individuare, classificare e assegnare etichette ai dati sensibili

ID: Microsoft Cloud Security Benchmark DP-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Microsoft Defender per le API deve essere abilitato	Microsoft Defender per le API offre nuove funzionalità di individuazione, protezione, rilevamento e copertura delle risposte per monitorare gli attacchi comuni basati sulle API e le configurazioni errate della sicurezza.	AuditIfNotExists, Disabled	1.0.3

Monitorare anomalie e minacce destinate ai dati sensibili

ID: Microsoft Cloud Security Benchmark DP-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per i database relazionali open source deve essere abilitato	Azure Defender per database relazionali open source rileva attività anomale che indicano tentativi insoliti e potenzialmente dannosi di accedere o sfruttare i database. Ulteriori informazioni sulle funzionalità di Defender di Azure per database relazionali open source all'indirizzo https://aka.ms/AzDforOpenSourceDBsDocu. Importante: l'abilitazione di questo piano comporterà degli addebiti per la protezione dei database relazionali open source. Informazioni sui prezzi nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
Microsoft Defender per le API deve essere abilitato	Microsoft Defender per le API offre nuove funzionalità di individuazione, protezione, rilevamento e copertura delle risposte per monitorare gli attacchi comuni basati sulle API e le configurazioni errate della sicurezza.	AuditIfNotExists, Disabled	1.0.3
Microsoft Defender per archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0

Crittografare i dati sensibili in transito

ID: Microsoft Cloud Security Benchmark DP-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: La rete host e VM deve essere protetta nei sistemi Azure Stack HCI	Proteggere i dati nella rete host di Azure Stack HCI e nelle connessioni di rete delle macchine virtuali.	Audit, Disabled, AuditIfNotExists	1.0.0-preview
Le API Management API devono usare solo protocolli crittografati	Per garantire la sicurezza dei dati in transito, le API devono essere disponibili solo tramite protocolli crittografati, ad esempio HTTPS o WSS. Evitare di usare protocolli non protetti, ad esempio HTTP o WS.	Audit, Disabled, Deny	2.0.2
Il Servizio app deve essere accessibile solo tramite HTTPS	L'uso di HTTPS assicura l'autenticazione di server/servizi e protegge i dati in transito da attacchi di intercettazione a livello rete.	Audit, Disabled, Deny	4.0.0
Le app del servizio app devono richiedere solo FTPS	Abilitare imposizione FTPS per la protezione avanzata.	AuditIfNotExists, Disabled	3.0.0
Le app del servizio app devono usare la versione TLS più recente	Periodicamente vengono rilasciate nuove versioni di TLS a causa di falle di sicurezza, per includere funzionalità aggiuntive e migliorare la velocità. Eseguire l'aggiornamento alla versione più recente di TLS per le app del servizio app per sfruttare le correzioni di sicurezza, se presenti e/o nuove funzionalità della versione più recente.	AuditIfNotExists, Disabled	2.1.0
Il database SQL di Azure deve eseguire TLS versione 1.2 o successiva	Impostando la versione di TLS su 1.2 o successive, è possibile migliorare la sicurezza e garantire che il database SQL di Azure sia accessibile solo dai client che usano TLS 1.2 o versioni successive. Non è consigliabile usare versioni di TLS precedenti alla versione 1.2 in quanto presentano vulnerabilità della sicurezza ben documentate.	Audit, Disabled, Deny	2.0.0
Il criterio Imponi connessione SSL deve essere abilitato per i server di database MySQL	Database di Azure per il server MySQL supporta la connessione alle applicazioni client tramite Secure Sockets Layer (SSL). L'imposizione di connessioni SSL tra il server di database e le applicazioni client garantisce la protezione da attacchi 'man in the middle' tramite la crittografia del flusso di dati tra il server e l'applicazione. Questa configurazione impone che SSL sia sempre abilitato per l'accesso al server di database.	Audit, Disabled	1.0.1
Il criterio Imponi connessione SSL deve essere abilitato per i server di database PostgreSQL	Il database di Azure per PostgreSQL supporta la connessione del server di database di Azure per PostgreSQL alle applicazioni client tramite SSL (Secure Sockets Layer). L'imposizione di connessioni SSL tra il server di database e le applicazioni client garantisce la protezione da attacchi 'man in the middle' tramite la crittografia del flusso di dati tra il server e l'applicazione. Questa configurazione impone che SSL sia sempre abilitato per l'accesso al server di database.	Audit, Disabled	1.0.1
Le app per le funzioni devono essere accessibili solo tramite HTTPS	L'uso di HTTPS assicura l'autenticazione di server/servizi e protegge i dati in transito da attacchi di intercettazione a livello rete.	Audit, Disabled, Deny	5.0.0
Le app per le funzioni devono richiedere solo FTPS	Abilitare imposizione FTPS per la protezione avanzata.	AuditIfNotExists, Disabled	3.0.0
Le app per le funzioni devono usare la versione TLS più recente	Periodicamente vengono rilasciate nuove versioni di TLS a causa di falle di sicurezza, per includere funzionalità aggiuntive e migliorare la velocità. Eseguire l'aggiornamento alla versione più recente di TLS per le app per le funzioni per sfruttare le correzioni di sicurezza, se presenti e/o nuove funzionalità della versione più recente.	AuditIfNotExists, Disabled	2.1.0
I cluster Kubernetes devono essere accessibili solo tramite HTTPS	L'uso di HTTPS garantisce l'autenticazione e protegge i dati in transito da attacchi di intercettazione a livello di rete. Questa funzionalità è attualmente disponibile a livello generale per il servizio Kubernetes e in anteprima per Kubernetes con abilitazione di Azure Arc. Per altre info, visitare https://aka.ms/kubepolicydoc	audit, Audit, Deny, Deny, disabled, Disabled	8.2.0
Devono essere abilitate solo le connessioni sicure alla cache di Azure per Redis	Controllare l'abilitazione delle sole connessioni tramite SSL a Cache Redis. L'uso di connessioni sicure garantisce l'autenticazione tra il server e il servizio e protegge i dati in transito dagli attacchi a livello rete, come attacchi man-in-the-middle, eavesdropping e hijack della sessione	Audit, Deny, Disabled	1.0.0
È consigliabile abilitare il trasferimento sicuro agli account di archiviazione	Requisito di controllo del trasferimento sicuro nell'account di archiviazione. Il trasferimento sicuro è un'opzione che impone all'account di archiviazione di accettare richieste solo da connessioni protette (HTTPS). L'uso di HTTPS garantisce l'autenticazione tra il server e il servizio e protegge i dati in transito dagli attacchi a livello rete, come attacchi man-in-the-middle, eavesdropping e hijack della sessione	Audit, Deny, Disabled	2.0.0
I computer Windows devono essere configurate per usare protocolli di comunicazione sicuri	Per proteggere la privacy delle informazioni comunicate tramite Internet, i computer devono usare la versione più recente del protocollo di crittografia standard del settore, Transport Layer Security (TLS). TLS protegge le comunicazioni tramite una rete crittografando una connessione tra computer.	AuditIfNotExists, Disabled	4.1.1

Abilitare la crittografia dei dati inattivi per impostazione predefinita

ID: Microsoft Cloud Security Benchmark DP-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
È necessario effettuare il provisioning di un amministratore di Microsoft Entra per i server MySQL	Controllare il provisioning di un amministratore di Microsoft Entra per il server MySQL per abilitare l'autenticazione di Microsoft Entra. L'autenticazione di Microsoft Entra consente una gestione semplificata delle autorizzazioni e una gestione centralizzata delle identità di utenti di database e di altri servizi Microsoft	AuditIfNotExists, Disabled	1.1.1
Le variabili dell'account di automazione devono essere crittografate	È importante abilitare la crittografia degli asset della variabile dell'account di Automazione quando si archiviano dati sensibili	Audit, Deny, Disabled	1.1.0
Per il server flessibile di Azure MySQL deve essere abilitata l'autenticazione solo di Microsoft Entra	La disabilitazione dei metodi di autenticazione locale e la possibilità di consentire solo l'autenticazione di Microsoft Entra migliora la sicurezza assicurando che il server flessibile di Azure MySQL possa accedere esclusivamente alle identità di Microsoft Entra.	AuditIfNotExists, Disabled	1.0.1
Le macchine virtuali Linux devono abilitare Crittografia dischi di Azure o EncryptionAtHost.	Anche se il sistema operativo e i dischi dati di una macchina virtuale sono crittografati inattivi per impostazione predefinita tramite chiavi gestite dalla piattaforma; i dischi delle risorse (dischi temporanei), le cache dei dati e il flusso di dati tra risorse di calcolo e archiviazione non vengono crittografati. Usare Crittografia dischi di Azure o EncryptionAtHost per correggere. Visitare https://aka.ms/diskencryptioncomparison per confrontare le offerte di crittografia. Questo criterio richiede due prerequisiti da distribuire nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.2.1
La proprietà ClusterProtectionLevel dei cluster di Service Fabric dovrebbe essere impostata su EncryptAndSign	Service Fabric offre tre livelli di protezione (None, Sign ed EncryptAndSign) per la comunicazione da nodo a nodo mediante un certificato cluster primario. Impostare il livello di protezione per garantire che tutti i messaggi da nodo a nodo vengano crittografati e firmati digitalmente	Audit, Deny, Disabled	1.1.0
È consigliabile abilitare Transparent Data Encryption nei database SQL	Abilitare Transparent Data Encryption per proteggere i dati inattivi e rispettare i requisiti relativi alla conformità	AuditIfNotExists, Disabled	2.0.0
Per le macchine virtuali e i set di scalabilità di macchine virtuali deve essere abilitata la crittografia a livello di host	Usare la crittografia nell'host per ottenere la crittografia end-to-end per la macchina virtuale e i dati del set di scalabilità di macchine virtuali. La crittografia nell'host abilita la crittografia dei dati inattivi per le cache del disco temporaneo e del sistema operativo/disco dati. Quando è abilitata la crittografia nell'host, i dischi temporanei e del sistema operativo temporaneo vengono crittografati con chiavi gestite dalla piattaforma. Le cache del disco del sistema operativo/dati vengono crittografate inattive con chiave gestita dal cliente o gestita dalla piattaforma, a seconda del tipo di crittografia selezionato sul disco. Per ulteriori informazioni, vedi https://aka.ms/vm-hbe.	Audit, Deny, Disabled	1.0.0
Le macchine virtuali Windows devono abilitare Crittografia dischi di Azure o EncryptionAtHost.	Anche se il sistema operativo e i dischi dati di una macchina virtuale sono crittografati inattivi per impostazione predefinita tramite chiavi gestite dalla piattaforma; i dischi delle risorse (dischi temporanei), le cache dei dati e il flusso di dati tra risorse di calcolo e archiviazione non vengono crittografati. Usare Crittografia dischi di Azure o EncryptionAtHost per correggere. Visitare https://aka.ms/diskencryptioncomparison per confrontare le offerte di crittografia. Questo criterio richiede due prerequisiti da distribuire nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.1.1

Usare l'opzione della chiave gestita dal cliente nella crittografia dei dati inattivi quando necessario

ID: Microsoft Cloud Security Benchmark DP-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: I sistemi Azure Stack HCI devono avere volumi crittografati	Usare BitLocker per crittografare i volumi di dati e del sistema operativo nei sistemi Azure Stack HCI.	Audit, Disabled, AuditIfNotExists	1.0.0-preview
Le risorse di Servizi di Azure AI devono crittografare i dati inattivi con una chiave gestita dal cliente (CMK)	L'uso di chiavi gestite dal cliente per crittografare i dati inattivi offre un maggiore controllo sul ciclo di vita delle chiavi, inclusa la rotazione e la gestione. Ciò è particolarmente rilevante per le organizzazioni con requisiti di conformità correlati. Ciò non viene valutato per impostazione predefinita e deve essere applicato solo quando richiesto dai requisiti dei criteri restrittivi o di conformità. Se non è abilitato, i dati verranno crittografati usando chiavi gestite dalla piattaforma. Per l'implementazione, aggiornare il parametro "Effect" nei criteri di sicurezza per l'ambito applicabile.	Audit, Deny, Disabled	2.2.0
Gli account Azure Cosmos DB devono usare chiavi gestite dal cliente per la crittografia dei dati inattivi	Usare le chiavi gestite dal cliente per gestire la crittografia dei dati inattivi di Azure Cosmos DB. Per impostazione predefinita, i dati sono crittografati quando inattivi con chiavi gestite dal servizio, ma le chiavi gestite dal cliente sono comunemente richieste per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. Per ulteriori informazioni, vedi https://aka.ms/cosmosdb-cmk.	audit, Audit, Deny, Deny, disabled, Disabled	1.1.0
Le aree di lavoro di Azure Machine Learning devono essere crittografate con una chiave gestita dal cliente	Gestire la crittografia inattiva dei dati dello spazio di lavoro Azure Machine Learning con chiavi gestite dal cliente. Per impostazione predefinita, i dati dei clienti sono crittografati tramite chiavi gestite dal servizio, ma in genere sono richieste chiavi gestite dal cliente per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. Per ulteriori informazioni, vedi https://aka.ms/azureml-workspaces-cmk.	Audit, Deny, Disabled	1.1.0
I registri del contenitore devono essere crittografati con una chiave gestita dal cliente	Usare le chiavi gestite dal cliente per gestire la crittografia dei dati inattivi del contenuto dei registri. Per impostazione predefinita, i dati sono crittografati quando inattivi con chiavi gestite dal servizio, ma le chiavi gestite dal cliente sono comunemente richieste per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. Per ulteriori informazioni, vedi https://aka.ms/acr/CMK.	Audit, Deny, Disabled	1.1.2
I server MySQL devono usare chiavi gestite dal cliente per la crittografia dei dati inattivi	Usare le chiavi gestite dal cliente per gestire la crittografia dei dati inattivi dei server MySQL. Per impostazione predefinita, i dati sono crittografati quando inattivi con chiavi gestite dal servizio, ma le chiavi gestite dal cliente sono comunemente richieste per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione.	AuditIfNotExists, Disabled	1.0.4
I server PostgreSQL devono usare chiavi gestite dal cliente per crittografare i dati inattivi	Usare le chiavi gestite dal cliente per gestire la crittografia dei dati inattivi dei server PostgreSQL. Per impostazione predefinita, i dati sono crittografati quando inattivi con chiavi gestite dal servizio, ma le chiavi gestite dal cliente sono comunemente richieste per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione.	AuditIfNotExists, Disabled	1.0.4
Le istanze gestite di SQL devono usare chiavi gestite dal cliente per la crittografia dei dati inattivi	L'implementazione di Transparent Data Encryption con la chiave personale offre maggiore trasparenza e controllo su TDE Protector, sicurezza avanzata con un servizio esterno supportato dal modulo di protezione hardware e la promozione della separazione dei compiti. Questa raccomandazione si applica alle organizzazioni con un requisito di conformità correlato.	Audit, Deny, Disabled	2.0.0
I server SQL devono usare chiavi gestite dal cliente per la crittografia dei dati inattivi	L'implementazione di Transparent Data Encryption con la chiave personale offre maggiore trasparenza e controllo su TDE Protector, sicurezza avanzata con un servizio esterno supportato dal modulo di protezione hardware e la promozione della separazione dei compiti. Questa raccomandazione si applica alle organizzazioni con un requisito di conformità correlato.	Audit, Deny, Disabled	2.0.1
Gli account di archiviazione devono usare la chiave gestita dal cliente per la crittografia	Proteggere l'account e file di archiviazione BLOB con maggiore flessibilità usando le chiavi gestite dal cliente. Quando si specifica una chiave gestita dal cliente, tale chiave viene usata per proteggere e controllare l'accesso alla chiave che crittografa i dati. L'utilizzo di chiavi gestite dal cliente offre ulteriori possibilità di controllare la rotazione della chiave di crittografia o di cancellare crittograficamente i dati.	Audit, Disabled	1.0.3

Usare un processo di gestione delle chiavi sicure

ID: Microsoft Cloud Security Benchmark DP-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
I valori denominati del segreto di API Management devono essere archiviati in Azure Key Vault	I valori denominati sono una raccolta di coppie nome e valore in ogni servizio Gestione API. I valori dei segreti possono essere archiviati come testo crittografato in Gestione API (segreti personalizzati) o facendo riferimento ai segreti in Azure Key Vault. Per migliorare la sicurezza di Gestione API e segreti, fare riferimento ai valori denominati del segreto da Azure Key Vault. Azure Key Vault supporta la gestione granulare degli accessi e i criteri di rotazione dei segreti.	Audit, Disabled, Deny	1.0.2
Le chiavi degli insiemi di credenziali delle chiavi devono avere una data di scadenza	Le chiavi di crittografia devono avere una data di scadenza definita e non devono essere permanenti. Le chiavi sempre valide offrono a un potenziale utente malintenzionato più tempo per comprometterle. Impostare le date di scadenza per le chiavi di crittografia è una procedura di sicurezza consigliata.	Audit, Deny, Disabled	1.0.2
I segreti degli insiemi di credenziali delle chiavi devono avere una data di scadenza	I segreti devono avere una data di scadenza definita e non devono essere permanenti. I segreti validi a tempo indefinito forniscono ai potenziali utenti malintenzionati più tempo per comprometterli. Impostare le date di scadenza per i segreti è una procedura di sicurezza consigliata.	Audit, Deny, Disabled	1.0.2

Usare un processo di gestione dei certificati sicuro

ID: Microsoft Cloud Security Benchmark DP-7 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
I certificati devono avere il periodo di validità massimo specificato	Consente di gestire i requisiti di conformità aziendali specificando il tempo di validità massimo di un certificato all'interno dell'insieme di credenziali delle chiavi.	audit, Audit, Deny, Deny, disabled, Disabled	2.2.1

Garantire la sicurezza del repository di chiavi e certificati

ID: Microsoft Cloud Security Benchmark DP-8 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Azure Key Vault deve avere il firewall abilitato	Abilitare il firewall dell'insieme di credenziali delle chiavi in modo che questo non sia accessibile per impostazione predefinita a nessun indirizzo IP pubblico. Facoltativamente, è possibile configurare intervalli IP specifici per limitare l'accesso a tali reti. Per altre informazioni, vedere: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Deny, Disabled	3.2.1
Le istanze di Azure Key Vault devono usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'insieme di credenziali delle chiavi, è possibile ridurre i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
È consigliabile che la protezione dall'eliminazione sia abilitata per gli insiemi di credenziali delle chiavi	L'eliminazione dolosa di un insieme di credenziali delle chiavi può causare la perdita permanente di dati. È possibile evitare la perdita permanente dei dati abilitando la protezione dall'eliminazione temporanea e l'eliminazione temporanea. La protezione dalla rimozione definitiva consente di rispondere a questi tipi di attacco imponendo un periodo di conservazione obbligatorio per gli insiemi di credenziali delle chiavi eliminati temporaneamente. Nessuno all'interno dell'organizzazione né Microsoft sarà in grado di rimuovere definitivamente gli insiemi di credenziali delle chiavi durante il periodo di conservazione associato all'eliminazione temporanea. Tenere presente che gli insiemi di credenziali delle chiavi creati dopo il 1° settembre 2019 hanno l'eliminazione temporanea abilitata per impostazione predefinita.	Audit, Deny, Disabled	2.1.0
Negli insiemi di credenziali delle chiavi deve essere abilitata la funzionalità di eliminazione temporanea	L'eliminazione di un insieme di credenziali delle chiavi senza eliminazione temporanea abilitata elimina definitivamente tutti i segreti, le chiavi e i certificati archiviati nell'insieme di credenziali delle chiavi. L'eliminazione accidentale di un insieme di credenziali delle chiavi può causare la perdita permanente di dati. L'eliminazione temporanea consente di ripristinare un insieme di credenziali delle chiavi eliminato accidentalmente per un periodo di conservazione configurabile.	Audit, Deny, Disabled	3.0.0
I log delle risorse devono essere abilitati in Key Vault	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0

Gestione cespiti

Utilizzare solo servizi approvati

ID: Microsoft Cloud Security Benchmark AM-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
La versione della piattaforma Azure API Management deve essere stv2	La versione della piattaforma di calcolo stv1 di Gestione API di Azure verrà ritirata il 31 agosto 2024 ed è necessario eseguire la migrazione di queste istanze alla piattaforma di calcolo stv2 per un supporto continuo. Per altre informazioni: https://video2.skills-academy.com/azure/api-management/breaking-changes/stv1-platform-retirement-august-2024	Audit, Deny, Disabled	1.0.0
È consigliabile eseguire la migrazione degli account di archiviazione alle nuove risorse di Azure Resource Manager	È possibile usare la nuova versione di Azure Resource Manager per gli account di archiviazione per fornire funzionalità di sicurezza migliorate, ad esempio controllo di accesso (controllo degli accessi in base al ruolo) più avanzato, controllo ottimizzato, distribuzione e governance basate su Azure Resource Manager, accesso alle identità gestite, accesso all'insieme di credenziali delle chiavi per i segreti, autenticazione basata su Azure AD e supporto di tag e gruppi di risorse per una gestione della sicurezza semplificata	Audit, Deny, Disabled	1.0.0
È consigliabile eseguire la migrazione delle macchine virtuali alle nuove risorse di Azure Resource Manager	Usare la nuova versione di Azure Resource Manager per le macchine virtuali per fornire funzionalità di sicurezza migliorate quali controllo di accesso (Controllo degli accessi in base al ruolo) più avanzato, controllo più accurato, distribuzione e governance basate su Azure Resource Manager, accesso alle identità gestite, accesso all'insieme di credenziali delle chiavi per i segreti, autenticazione basata su Azure AD e supporto di tag e gruppi di risorse per una gestione della sicurezza semplificata	Audit, Deny, Disabled	1.0.0

Garantire la sicurezza della gestione del ciclo di vita delle risorse

ID: Microsoft Cloud Security Benchmark AM-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Gli endpoint API inutilizzati devono essere disabilitati e rimossi dal servizio API Management di Azure	Come procedura consigliata per la sicurezza, gli endpoint API che non hanno ricevuto traffico per 30 giorni vengono considerati inutilizzati e devono essere rimossi dal servizio Gestione API di Azure. Mantenere gli endpoint API inutilizzati può rappresentare un rischio per la sicurezza per l'organizzazione. Queste possono essere API che dovrebbero essere deprecate dal servizio Gestione API di Azure, ma che potrebbero essere state accidentalmente lasciate attive. Tali API in genere non ricevono la copertura di sicurezza più aggiornata.	AuditIfNotExists, Disabled	1.0.1

Registrazione e rilevamento delle minacce

Abilitare le funzionalità di rilevamento delle minacce

ID: Microsoft Cloud Security Benchmark LT-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: I cluster Kubernetes con abilitazione di Azure Arc dovrebbero avere installata l'estensione Microsoft Defender per il cloud	L'estensione Microsoft Defender for Cloud per Azure Arc fornisce la protezione dalle minacce per i cluster Kubernetes abilitati per Arc. L'estensione raccoglie i dati da tutti i nodi del cluster e li invia al back-end di Azure Defender per Kubernetes nel cloud per un'ulteriore analisi. Altre informazioni sono disponibili in https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	6.0.0-anteprima
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i database relazionali open source deve essere abilitato	Azure Defender per database relazionali open source rileva attività anomale che indicano tentativi insoliti e potenzialmente dannosi di accedere o sfruttare i database. Ulteriori informazioni sulle funzionalità di Defender di Azure per database relazionali open source all'indirizzo https://aka.ms/AzDforOpenSourceDBsDocu. Importante: l'abilitazione di questo piano comporterà degli addebiti per la protezione dei database relazionali open source. Informazioni sui prezzi nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Azure Defender per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per i server Azure SQL non protetti	Controlla server SQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	2.0.1
Azure Defender per SQL deve essere abilitato per i server flessibili MySQL non protetti	Controllare i server flessibili MySQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	1.0.0
Azure Defender per SQL deve essere abilitato per i server flessibili PostgreSQL non protetti	Controllare i server flessibili PostgreSQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	1.0.0
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
I cluster del servizio Azure Kubernetes devono avere il profilo Defender abilitato	Microsoft Defender per contenitori offre funzionalità di sicurezza Kubernetes cloud-native, tra cui l'hardening dell'ambiente, la protezione del carico di lavoro e la protezione del tempo di esecuzione. Quando si abilita SecurityProfile.AzureDefender nel cluster del servizio Azure Kubernetes, un agente viene distribuito nel cluster per raccogliere i dati degli eventi di sicurezza. Altre informazioni su Microsoft Defender per contenitori si possono trovare in https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks	Audit, Disabled	2.0.1
Microsoft Defender CSPM deve essere abilitato	Defender Cloud Security Posture Management (CSPM) offre funzionalità di comportamento avanzate e un nuovo grafico di sicurezza del cloud intelligente per identificare, classificare in ordine di priorità e ridurre i rischi. Oltre alle funzionalità di sicurezza di base gratuite attivate per impostazione predefinita in Defender per il cloud è disponibile anche Defender CSPM.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per le API deve essere abilitato	Microsoft Defender per le API offre nuove funzionalità di individuazione, protezione, rilevamento e copertura delle risposte per monitorare gli attacchi comuni basati sulle API e le configurazioni errate della sicurezza.	AuditIfNotExists, Disabled	1.0.3
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per SQL deve essere abilitato per le aree di lavoro Synapse non protette	Abilitare Defender per SQL per proteggere le aree di lavoro di Synapse. Defender per SQL monitora Synapse SQL per rilevare attività anomale che indicano tentativi insoliti e potenzialmente dannosi di accedere o sfruttare i database.	AuditIfNotExists, Disabled	1.0.0
Lo stato di Microsoft Defender per SQL deve essere protetto per i server SQL con abilitazione per Arc	Microsoft Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili. Dopo l'abilitazione, lo stato di protezione indica che la risorsa viene monitorata attivamente. Anche quando Defender è abilitato, è necessario convalidare più impostazioni di configurazione nell'agente, nel computer, nell'area di lavoro e nel server SQL per garantire una protezione attiva.	Audit, Disabled	1.0.1
Microsoft Defender per Archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
Il provisioning automatico di destinazione di SQL Server deve essere abilitato per i server SQL nel piano computer	Per assicurarsi che le macchine virtuali SQL e i server SQL abilitati per Arc siano protetti, assicurarsi che l'agente di monitoraggio di Azure di destinazione SQL sia configurato per la distribuzione automatica. Questa operazione è necessaria anche se è stato configurato in precedenza il provisioning automatico di Microsoft Monitoring Agent, in quanto tale componente è deprecato. Altre informazioni: https://aka.ms/SQLAMAMigration	AuditIfNotExists, Disabled	1.0.0
Windows Defender Exploit Guard deve essere abilitato nelle macchine virtuali	Windows Defender Exploit Guard usa l’agente di Configurazione guest di Criteri di Azure. Exploit Guard include quattro componenti progettati per bloccare i dispositivi da un'ampia gamma di vettori di attacco e comportamenti di blocco usati comunemente negli attacchi malware, consentendo al contempo alle aziende di bilanciare i requisiti di rischi per la sicurezza e produttività (solo Windows).	AuditIfNotExists, Disabled	2.0.0

Abilitare il rilevamento delle minacce per la gestione delle identità e degli accessi

ID: Microsoft Cloud Security Benchmark LT-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: I cluster Kubernetes con abilitazione di Azure Arc dovrebbero avere installata l'estensione Microsoft Defender per il cloud	L'estensione Microsoft Defender for Cloud per Azure Arc fornisce la protezione dalle minacce per i cluster Kubernetes abilitati per Arc. L'estensione raccoglie i dati da tutti i nodi del cluster e li invia al back-end di Azure Defender per Kubernetes nel cloud per un'ulteriore analisi. Altre informazioni sono disponibili in https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	6.0.0-anteprima
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i database relazionali open source deve essere abilitato	Azure Defender per database relazionali open source rileva attività anomale che indicano tentativi insoliti e potenzialmente dannosi di accedere o sfruttare i database. Ulteriori informazioni sulle funzionalità di Defender di Azure per database relazionali open source all'indirizzo https://aka.ms/AzDforOpenSourceDBsDocu. Importante: l'abilitazione di questo piano comporterà degli addebiti per la protezione dei database relazionali open source. Informazioni sui prezzi nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Azure Defender per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per i server Azure SQL non protetti	Controlla server SQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	2.0.1
Azure Defender per SQL deve essere abilitato per i server flessibili MySQL non protetti	Controllare i server flessibili MySQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	1.0.0
Azure Defender per SQL deve essere abilitato per i server flessibili PostgreSQL non protetti	Controllare i server flessibili PostgreSQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	1.0.0
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
I cluster del servizio Azure Kubernetes devono avere il profilo Defender abilitato	Microsoft Defender per contenitori offre funzionalità di sicurezza Kubernetes cloud-native, tra cui l'hardening dell'ambiente, la protezione del carico di lavoro e la protezione del tempo di esecuzione. Quando si abilita SecurityProfile.AzureDefender nel cluster del servizio Azure Kubernetes, un agente viene distribuito nel cluster per raccogliere i dati degli eventi di sicurezza. Altre informazioni su Microsoft Defender per contenitori si possono trovare in https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks	Audit, Disabled	2.0.1
Microsoft Defender CSPM deve essere abilitato	Defender Cloud Security Posture Management (CSPM) offre funzionalità di comportamento avanzate e un nuovo grafico di sicurezza del cloud intelligente per identificare, classificare in ordine di priorità e ridurre i rischi. Oltre alle funzionalità di sicurezza di base gratuite attivate per impostazione predefinita in Defender per il cloud è disponibile anche Defender CSPM.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per SQL deve essere abilitato per le aree di lavoro Synapse non protette	Abilitare Defender per SQL per proteggere le aree di lavoro di Synapse. Defender per SQL monitora Synapse SQL per rilevare attività anomale che indicano tentativi insoliti e potenzialmente dannosi di accedere o sfruttare i database.	AuditIfNotExists, Disabled	1.0.0
Lo stato di Microsoft Defender per SQL deve essere protetto per i server SQL con abilitazione per Arc	Microsoft Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili. Dopo l'abilitazione, lo stato di protezione indica che la risorsa viene monitorata attivamente. Anche quando Defender è abilitato, è necessario convalidare più impostazioni di configurazione nell'agente, nel computer, nell'area di lavoro e nel server SQL per garantire una protezione attiva.	Audit, Disabled	1.0.1
Microsoft Defender per Archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
Il provisioning automatico di destinazione di SQL Server deve essere abilitato per i server SQL nel piano computer	Per assicurarsi che le macchine virtuali SQL e i server SQL abilitati per Arc siano protetti, assicurarsi che l'agente di monitoraggio di Azure di destinazione SQL sia configurato per la distribuzione automatica. Questa operazione è necessaria anche se è stato configurato in precedenza il provisioning automatico di Microsoft Monitoring Agent, in quanto tale componente è deprecato. Altre informazioni: https://aka.ms/SQLAMAMigration	AuditIfNotExists, Disabled	1.0.0
Windows Defender Exploit Guard deve essere abilitato nelle macchine virtuali	Windows Defender Exploit Guard usa l’agente di Configurazione guest di Criteri di Azure. Exploit Guard include quattro componenti progettati per bloccare i dispositivi da un'ampia gamma di vettori di attacco e comportamenti di blocco usati comunemente negli attacchi malware, consentendo al contempo alle aziende di bilanciare i requisiti di rischi per la sicurezza e produttività (solo Windows).	AuditIfNotExists, Disabled	2.0.0

Abilitare la registrazione per l'analisi della sicurezza

ID: Microsoft Cloud Security Benchmark LT-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
I log delle risorse devono essere abilitati per le app del servizio app	Controllare l'abilitazione dei log delle risorse nell'app. Ciò consente di ricreare la traccia delle attività per scopi di analisi se si verifica un evento imprevisto della sicurezza o la rete viene compromessa.	AuditIfNotExists, Disabled	2.0.1
È consigliabile abilitare il controllo in SQL Server	Abilitare il controllo in SQL Server per verificare le attività del database in tutti i database sul server e salvarle in un log di controllo.	AuditIfNotExists, Disabled	2.0.0
I log di diagnostica nelle risorse dei servizi di intelligenza artificiale di Azure devono essere abilitati	Abilitare i log per le risorse dei servizi di intelligenza artificiale di Azure. Ciò consente di ricreare la traccia delle attività per scopi di analisi quando si verifica un evento imprevisto della sicurezza o la rete viene compromessa	AuditIfNotExists, Disabled	1.0.0
I log delle risorse devono essere abilitati in Azure Data Lake Store	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse nello spazio di lavoro Azure Databricks devono essere abilitati	I registri delle risorse consentono di ricreare i tracciati delle attività da utilizzare per le indagini quando si verifica un incidente di sicurezza o quando la rete è compromessa.	AuditIfNotExists, Disabled	1.0.1
I log delle risorse del servizio Azure Kubernetes devono essere abilitati	I log delle risorse del servizio Azure Kubernetes consentono di ricreare i percorsi di attività durante l'analisi degli eventi imprevisti di sicurezza. Abilitarlo per assicurarsi che i log esistano quando necessario	AuditIfNotExists, Disabled	1.0.0
I log delle risorse nell'area di lavoro di Azure Machine Learning devono essere abilitati	I registri delle risorse consentono di ricreare i tracciati delle attività da utilizzare per le indagini quando si verifica un incidente di sicurezza o quando la rete è compromessa.	AuditIfNotExists, Disabled	1.0.1
I log delle risorse devono essere abilitati in Analisi di flusso di Azure	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati negli account Batch	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in Data Lake Analytics	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nell'hub eventi	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nell'hub IoT	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	3.1.0
I log delle risorse devono essere abilitati in Key Vault	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in App per la logica	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.1.0
I log delle risorse devono essere abilitati nei servizi di ricerca	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nel bus di servizio	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0

Abilitare la registrazione di rete per l'analisi della sicurezza

ID: Microsoft Cloud Security Benchmark LT-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: È consigliabile installare l'agente di raccolta di dati del traffico di rete nelle macchine virtuali Linux	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima
[Anteprima] È consigliabile installare l'agente di raccolta di dati del traffico di rete nelle macchine virtuali Windows	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima

Centralizzare la gestione e l'analisi dei log di sicurezza

ID: Microsoft Cloud Security Benchmark LT-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: L'estensione di Log Analytics deve essere installata nelle macchine virtuali Linux in Azure Arc	Questo criterio controlla le macchine virtuali Linux in Azure Arc in cui non è installata l'estensione di Log Analytics.	AuditIfNotExists, Disabled	1.0.1-preview
[Anteprima]: L'estensione di Log Analytics deve essere installata nelle macchine virtuali Windows in Azure Arc	Questo criterio controlla le macchine virtuali Windows in Azure Arc in cui non è installata l'estensione di Log Analytics.	AuditIfNotExists, Disabled	1.0.1-preview

Configurare la conservazione dell'archiviazione dei log

ID: Microsoft Cloud Security Benchmark LT-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
I server SQL con il controllo nella destinazione dell'account di archiviazione devono essere configurati con un periodo di conservazione di 90 giorni o superiore	Ai fini dell'indagine degli eventi imprevisti, è consigliabile impostare la conservazione dei dati per il controllo di SQL Server sulla destinazione dell'account di archiviazione su almeno 90 giorni. Verificare di soddisfare le regole di conservazione necessarie per le aree in cui si lavora. Ciò è talvolta necessario per la conformità agli standard normativi.	AuditIfNotExists, Disabled	3.0.0

Risposta all'incidente

Preparazione: configurazione della notifica dell'evento imprevisto

ID: Microsoft Cloud Security Benchmark IR-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
È consigliabile abilitare le notifiche di posta elettronica per gli avvisi con gravità alta	Per garantire che le persone pertinenti all'interno dell'organizzazione ricevano una notifica in caso di potenziale violazione della sicurezza in una delle sottoscrizioni, abilitare l'invio delle notifiche tramite posta elettronica per gli avvisi con gravità elevata nel Centro sicurezza.	AuditIfNotExists, Disabled	1.2.0
È consigliabile abilitare le notifiche di posta elettronica al proprietario della sottoscrizione per gli avvisi con gravità alta	Per garantire che i proprietari della sottoscrizione ricevano una notifica in caso di potenziale violazione della sicurezza nella sottoscrizione, impostare l'invio delle notifiche tramite posta elettronica ai proprietari della sottoscrizione per gli avvisi con gravità elevata nel Centro sicurezza.	AuditIfNotExists, Disabled	2.1.0
Per le sottoscrizioni deve essere impostato un indirizzo di posta elettronica di contatto per i problemi relativi alla sicurezza	Per garantire che le persone pertinenti all'interno dell'organizzazione ricevano una notifica in caso di potenziale violazione della sicurezza in una delle sottoscrizioni, impostare un contatto di sicurezza per la ricezione delle notifiche tramite posta elettronica dal Centro sicurezza.	AuditIfNotExists, Disabled	1.0.1

Rilevamento e analisi: creazione di eventi imprevisti basati su avvisi di qualità elevata

ID: Microsoft Cloud Security Benchmark IR-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i database relazionali open source deve essere abilitato	Azure Defender per database relazionali open source rileva attività anomale che indicano tentativi insoliti e potenzialmente dannosi di accedere o sfruttare i database. Ulteriori informazioni sulle funzionalità di Defender di Azure per database relazionali open source all'indirizzo https://aka.ms/AzDforOpenSourceDBsDocu. Importante: l'abilitazione di questo piano comporterà degli addebiti per la protezione dei database relazionali open source. Informazioni sui prezzi nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Azure Defender per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per i server Azure SQL non protetti	Controlla server SQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	2.0.1
Azure Defender per SQL deve essere abilitato per i server flessibili MySQL non protetti	Controllare i server flessibili MySQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	1.0.0
Azure Defender per SQL deve essere abilitato per i server flessibili PostgreSQL non protetti	Controllare i server flessibili PostgreSQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	1.0.0
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
Microsoft Defender CSPM deve essere abilitato	Defender Cloud Security Posture Management (CSPM) offre funzionalità di comportamento avanzate e un nuovo grafico di sicurezza del cloud intelligente per identificare, classificare in ordine di priorità e ridurre i rischi. Oltre alle funzionalità di sicurezza di base gratuite attivate per impostazione predefinita in Defender per il cloud è disponibile anche Defender CSPM.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per le API deve essere abilitato	Microsoft Defender per le API offre nuove funzionalità di individuazione, protezione, rilevamento e copertura delle risposte per monitorare gli attacchi comuni basati sulle API e le configurazioni errate della sicurezza.	AuditIfNotExists, Disabled	1.0.3
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per SQL deve essere abilitato per le aree di lavoro Synapse non protette	Abilitare Defender per SQL per proteggere le aree di lavoro di Synapse. Defender per SQL monitora Synapse SQL per rilevare attività anomale che indicano tentativi insoliti e potenzialmente dannosi di accedere o sfruttare i database.	AuditIfNotExists, Disabled	1.0.0
Lo stato di Microsoft Defender per SQL deve essere protetto per i server SQL con abilitazione per Arc	Microsoft Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili. Dopo l'abilitazione, lo stato di protezione indica che la risorsa viene monitorata attivamente. Anche quando Defender è abilitato, è necessario convalidare più impostazioni di configurazione nell'agente, nel computer, nell'area di lavoro e nel server SQL per garantire una protezione attiva.	Audit, Disabled	1.0.1
Microsoft Defender per Archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
Il provisioning automatico di destinazione di SQL Server deve essere abilitato per i server SQL nel piano computer	Per assicurarsi che le macchine virtuali SQL e i server SQL abilitati per Arc siano protetti, assicurarsi che l'agente di monitoraggio di Azure di destinazione SQL sia configurato per la distribuzione automatica. Questa operazione è necessaria anche se è stato configurato in precedenza il provisioning automatico di Microsoft Monitoring Agent, in quanto tale componente è deprecato. Altre informazioni: https://aka.ms/SQLAMAMigration	AuditIfNotExists, Disabled	1.0.0

Rilevamento e analisi: indagine dell'evento imprevisto

ID: Microsoft Cloud Security Benchmark IR-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
È consigliabile abilitare Network Watcher	Network Watcher è un servizio a livello di area che permette di monitorare e diagnosticare le condizioni al livello di scenario di rete da, verso e all'interno di Azure. Il monitoraggio a livello di scenario permette di diagnosticare i problemi in una visualizzazione completa a livello di rete. È necessario creare un gruppo di risorse network watcher in ogni area in cui è presente una rete virtuale. Un avviso è abilitato se un gruppo di risorse network watcher non è disponibile in una determinata area.	AuditIfNotExists, Disabled	3.0.0

Rilevamento e analisi: assegnazione di priorità agli eventi imprevisti

ID: Microsoft Cloud Security Benchmark IR-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i database relazionali open source deve essere abilitato	Azure Defender per database relazionali open source rileva attività anomale che indicano tentativi insoliti e potenzialmente dannosi di accedere o sfruttare i database. Ulteriori informazioni sulle funzionalità di Defender di Azure per database relazionali open source all'indirizzo https://aka.ms/AzDforOpenSourceDBsDocu. Importante: l'abilitazione di questo piano comporterà degli addebiti per la protezione dei database relazionali open source. Informazioni sui prezzi nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center	AuditIfNotExists, Disabled	1.0.0
Azure Defender per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per i server Azure SQL non protetti	Controlla server SQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	2.0.1
Azure Defender per SQL deve essere abilitato per i server flessibili MySQL non protetti	Controllare i server flessibili MySQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	1.0.0
Azure Defender per SQL deve essere abilitato per i server flessibili PostgreSQL non protetti	Controllare i server flessibili PostgreSQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	1.0.0
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
Microsoft Defender CSPM deve essere abilitato	Defender Cloud Security Posture Management (CSPM) offre funzionalità di comportamento avanzate e un nuovo grafico di sicurezza del cloud intelligente per identificare, classificare in ordine di priorità e ridurre i rischi. Oltre alle funzionalità di sicurezza di base gratuite attivate per impostazione predefinita in Defender per il cloud è disponibile anche Defender CSPM.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per le API deve essere abilitato	Microsoft Defender per le API offre nuove funzionalità di individuazione, protezione, rilevamento e copertura delle risposte per monitorare gli attacchi comuni basati sulle API e le configurazioni errate della sicurezza.	AuditIfNotExists, Disabled	1.0.3
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per SQL deve essere abilitato per le aree di lavoro Synapse non protette	Abilitare Defender per SQL per proteggere le aree di lavoro di Synapse. Defender per SQL monitora Synapse SQL per rilevare attività anomale che indicano tentativi insoliti e potenzialmente dannosi di accedere o sfruttare i database.	AuditIfNotExists, Disabled	1.0.0
Lo stato di Microsoft Defender per SQL deve essere protetto per i server SQL con abilitazione per Arc	Microsoft Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili. Dopo l'abilitazione, lo stato di protezione indica che la risorsa viene monitorata attivamente. Anche quando Defender è abilitato, è necessario convalidare più impostazioni di configurazione nell'agente, nel computer, nell'area di lavoro e nel server SQL per garantire una protezione attiva.	Audit, Disabled	1.0.1
Microsoft Defender per Archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
Il provisioning automatico di destinazione di SQL Server deve essere abilitato per i server SQL nel piano computer	Per assicurarsi che le macchine virtuali SQL e i server SQL abilitati per Arc siano protetti, assicurarsi che l'agente di monitoraggio di Azure di destinazione SQL sia configurato per la distribuzione automatica. Questa operazione è necessaria anche se è stato configurato in precedenza il provisioning automatico di Microsoft Monitoring Agent, in quanto tale componente è deprecato. Altre informazioni: https://aka.ms/SQLAMAMigration	AuditIfNotExists, Disabled	1.0.0

Gestione del comportamento e delle vulnerabilità

Controllare e applicare configurazioni sicure

ID: Microsoft Cloud Security Benchmark PV-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Deprecato]: le app per le funzioni devono avere l’abilitazione per i "Certificati client (certificati client in ingresso)"	I certificati client consentono all'app di richiedere un certificato per le richieste in ingresso. Solo i client con certificati validi potranno raggiungere l'app. Questo criterio è stato sostituito da uno nuovo, con stesso nome, perché HTTP 2.0 non supporta i certificati client.	Audit, Disabled	3.1.0-deprecated
API Management endpoint API Management diretto non deve essere abilitato	L'API REST di gestione diretta in Gestione API di Azure ignora i meccanismi di controllo, autorizzazione e limitazione degli accessi in base al ruolo di Azure Resource Manager, aumentando così la vulnerabilità del servizio.	Audit, Disabled, Deny	1.0.2
API Management versione API minima deve essere impostata su 2019-12-01 o versione successiva	Per evitare che i segreti del servizio vengano condivisi con utenti di sola lettura, la versione API minima deve essere impostata su 2019-12-01 o versione successiva.	Audit, Deny, Disabled	1.0.1
Per le app del servizio app deve essere abilitata l'opzione Certificati client (Certificati client in ingresso)	I certificati client consentono all'app di richiedere un certificato per le richieste in ingresso. Solo i client con un certificato valido potranno raggiungere l'app. Questo criterio si applica alle app con versione Http impostata su 1.1.	AuditIfNotExists, Disabled	1.0.0
Per le app del servizio app il debug remoto deve essere disattivato	Il debug remoto richiede l'apertura delle porte in ingresso in un'app per il servizio app. Il debug remoto deve essere disattivato.	AuditIfNotExists, Disabled	2.0.0
Le app del Servizio app non devono avere CORS configurato per consentire a ogni risorsa di accedere alle app	Condivisione di risorse tra le origini (CORS) non deve consentire a tutti i domini di accedere all'app. Consentire solo ai domini necessari di interagire con l'app.	AuditIfNotExists, Disabled	2.0.0
La versione della piattaforma Azure API Management deve essere stv2	La versione della piattaforma di calcolo stv1 di Gestione API di Azure verrà ritirata il 31 agosto 2024 ed è necessario eseguire la migrazione di queste istanze alla piattaforma di calcolo stv2 per un supporto continuo. Per altre informazioni: https://video2.skills-academy.com/azure/api-management/breaking-changes/stv1-platform-retirement-august-2024	Audit, Deny, Disabled	1.0.0
L'estensione di Criteri di Azure deve essere installata nei cluster Kubernetes con abilitazione per Azure Arc	L'estensione dei criteri d Azure per Azure Arc fornisce un'applicazione su larga scala e salvaguardie sui cluster Kubernetes abilitati ad Arc in modo centralizzato e coerente. Per ulteriori informazioni, vedi https://aka.ms/akspolicydoc.	AuditIfNotExists, Disabled	1.1.0
È necessario ricreare le istanza di ambiente di calcolo di Azure Machine Learning per ottenere gli aggiornamenti software più recenti	Verificare che le istanze di calcolo di Azure Machine Learning vengano eseguite nel sistema operativo più recente disponibile. La sicurezza è migliorata e le vulnerabilità sono ridotte eseguendo con le patch di sicurezza più recenti. Per altre informazioni, vedere https://aka.ms/azureml-ci-updates/.	[parameters('effects')]	1.0.3
Il componente aggiuntivo Criteri di Azure per il servizio Azure Kubernetes deve essere installato e abilitato nei cluster	Il componente aggiuntivo Criteri di Azure per il servizio Azure Kubernetes estende Gatekeeper v3, un webhook del controller di ammissione per Open Policy Agent (OPA), per applicare le tutele e misure di sicurezza su larga scala per i cluster in modo centralizzato e coerente.	Audit, Disabled	1.0.2
Le app per le funzioni devono avere il debug remoto disattivato	Il debug remoto richiede che vengano aperte le porte in ingresso nelle app per le funzioni. Il debug remoto deve essere disattivato.	AuditIfNotExists, Disabled	2.0.0
Le app per le funzioni non devono avere CORS configurato per consentire a ogni risorsa di accedere alle app	Condivisione risorse tra le origini (CORS) non deve consentire a tutti i domini di accedere all'app per le funzioni. Consentire solo ai domini necessari di interagire con l'app per le funzioni dell'utente.	AuditIfNotExists, Disabled	2.0.0
Le risorse CPU e memoria dei contenitori nel cluster Kubernetes non devono superare i limiti specificati	Applicare i limiti delle risorse di CPU e memoria dei contenitori per evitare attacchi di esaurimento delle risorse in un cluster Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	9.3.0
I contenitori del cluster Kubernetes non devono condividere lo spazio dei nomi IPC host o ID processo host	Bloccare i contenitori pod dalla condivisione dello spazio dei nomi dell'ID del processo host e dello spazio dei nomi IPC dell'host in un cluster Kubernetes. Questa raccomandazione fa parte di CIS 5.2.2 e CIS 5.2.3, destinati a migliorare la sicurezza degli ambienti Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	5.2.0
I contenitori del cluster Kubernetes devono usare solo i profili AppArmor consentiti	I contenitori devono usare solo i profili AppArmor consentiti in un cluster Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	6.2.0
I contenitori del cluster Kubernetes devono usare solo i privilegi consentiti	Limitare le funzionalità per ridurre la superficie di attacco dei contenitori in un cluster Kubernetes. Questa raccomandazione fa parte di CIS 5.2.8 e CIS 5.2.9, destinati a migliorare la sicurezza degli ambienti Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	6.2.0
I contenitori del cluster Kubernetes devono usare solo le immagini consentite	Usare immagini di registri attendibili per ridurre il rischio di esposizione del cluster Kubernetes a vulnerabilità sconosciute, problemi di sicurezza e immagini dannose. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	9.3.0
I contenitori del cluster Kubernetes devono essere eseguiti con un file system radice di sola lettura	Eseguire contenitori con un file system radice di sola lettura per proteggersi dalle modifiche in fase di esecuzione con file binari dannosi aggiunti a PATH in un cluster Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	6.3.0
I volumi hostPath dei pod del cluster Kubernetes devono usare solo i percorsi host consentiti	Limitare i montaggi del volume HostPath dei pod ai percorsi host consentiti in un cluster Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	6.2.0
I pod e i contenitori del cluster Kubernetes devono essere eseguiti solo con ID utente e gruppo approvati	Controllare gli ID degli utenti, dei gruppi primari, dei gruppi supplementari e dei gruppi di file system che i pod e i container possono usare per funzionare in un cluster Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	6.2.0
I pod del cluster Kubernetes devono usare solo la rete host e l'intervallo di porte approvati	Limitare l'accesso dei pod alla rete host e all'intervallo di porte host consentito in un cluster Kubernetes. Questa raccomandazione fa parte di CIS 5.2.4, progettato per migliorare la sicurezza degli ambienti Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	6.2.0
Il cluster Kubernetes deve rimanere in ascolto solo sulle porte consentite	Limitare i servizi per l'ascolto solo sulle porte consentite per proteggere l'accesso al cluster Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	8.2.0
Il cluster Kubernetes non deve consentire contenitori con privilegi	Non consentire la creazione di contenitori privilegiati in un cluster Kubernetes. Questo consiglio fa parte di CIS 5.2.1, destinato a migliorare la sicurezza degli ambienti Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	9.2.0
Nei cluster Kubernetes il montaggio automatico delle credenziali API deve essere disabilitato	Disabilita il montaggio automatico delle credenziali API per impedire a una risorsa pod potenzialmente compromessa di eseguire i comandi dell'API sui cluster Kubernetes. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	4.2.0
I cluster Kubernetes non devono consentire l'escalation dei privilegi dei contenitori	Non consentire l'esecuzione dei contenitori con escalation dei privilegi alla radice in un cluster Kubernetes. Questa raccomandazione fa parte di CIS 5.2.5, progettato per migliorare la sicurezza degli ambienti Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	7.2.0
I cluster Kubernetes non devono concedere le funzionalità di sicurezza CAP_SYS_ADMIN	Per ridurre la superficie di attacco dei contenitori, limitare le funzionalità di CAP_SYS_ADMIN Linux. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	5.1.0
I cluster Kubernetes non devono usare lo spazio dei nomi predefinito	Impedisce l'utilizzo dello spazio dei nomi predefinito nei cluster Kubernetes per proteggere dagli accessi non autorizzati per i tipi di risorse Mapping di configurazione Pod, Segreto, Servizio e Account del servizio. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	4.2.0

Controllare e applicare le configurazioni sicure per le risorse di calcolo

ID: Microsoft Cloud Security Benchmark PV-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: I server Azure Stack HCI devono avere criteri di controllo delle applicazioni applicati in modo coerente	Applicare almeno il criterio di base Microsoft WDAC in modalità applicata in tutti i server Azure Stack HCI. I criteri Windows Defender Application Control (WDAC) applicati devono essere coerenti tra server nello stesso cluster.	Audit, Disabled, AuditIfNotExists	1.0.0-preview
[Anteprima]: I server Azure Stack HCI devono soddisfare i requisiti di memoria centrale protetta	Assicurarsi che tutti i server Azure Stack HCI soddisfino i requisiti di memoria centrale protetta. Per abilitare i requisiti del server di memoria centrale protetta: 1. Nella pagina Cluster Azure Stack HCI passare a Windows Admin Center e selezionare Connetti. 2. Passare all'estensione Sicurezza e selezionare memoria centrale protetta (Secured-core). 3. Selezionare qualsiasi impostazione non abilitata e fare clic su Abilita.	Audit, Disabled, AuditIfNotExists	1.0.0-preview
[Anteprima]: L'estensione di attestazione guest deve essere installata nelle macchine virtuali Linux supportate	Installare l'estensione Attestazione guest nelle macchine virtuali Linux supportate per consentire al Centro sicurezza di Azure di attestare e monitorare in modo proattivo l'integrità dell'avvio. Dopo l'installazione, l'integrità di avvio verrà attestata tramite attestazione remota. Questa valutazione si applica alle macchine virtuali Linux riservate e di avvio attendibile.	AuditIfNotExists, Disabled	6.0.0-anteprima
[Anteprima]: L'estensione di attestazione guest deve essere installata su set di scalabilità di macchine virtuali Linux supportate	Installare l'estensione di attestazione guest su set di scalabilità di macchine virtuali Linux supportate per consentire al Centro sicurezza di Azure di attestare e monitorare in modo proattivo l'integrità dell'avvio. Dopo l'installazione, l'integrità di avvio verrà attestata tramite attestazione remota. Questa valutazione si applica ai set di scalabilità di macchine virtuali Linux riservate e di avvio attendibile.	AuditIfNotExists, Disabled	5.1.0-anteprima
[Anteprima]: L'estensione di attestazione guest deve essere installata nelle macchine virtuali Windows supportate	Installare l'estensione di attestazione guest nelle macchine virtuali supportate per consentire al Centro sicurezza di Azure di attestare e monitorare in modo proattivo l'integrità dell'avvio. Dopo l'installazione, l'integrità di avvio verrà attestata tramite attestazione remota. Questa valutazione si applica alle macchine virtuali Windows riservate e di avvio attendibile.	AuditIfNotExists, Disabled	4.0.0-preview
[Anteprima]: L'estensione di attestazione guest deve essere installata su set di scalabilità di macchine virtuali Windows supportate	Installare l'estensione di attestazione guest su set di scalabilità di macchine virtuali supportate per consentire al Centro sicurezza di Azure di attestare e monitorare in modo proattivo l'integrità dell'avvio. Dopo l'installazione, l'integrità di avvio verrà attestata tramite attestazione remota. Questa valutazione si applica a set di scalabilità di macchine virtuali Windows riservate e di avvio attendibile.	AuditIfNotExists, Disabled	3.1.0-anteprima
[Anteprima]: Le macchine virtuali Linux devono usare solo componenti di avvio firmati e attendibili	Tutti i componenti di avvio del sistema operativo (caricatore di avvio, kernel, driver kernel) devono essere firmati da autori attendibili. Defender for Cloud ha identificato componenti di avvio del sistema operativo non attendibili in uno o più computer Linux. Per proteggere i computer da componenti potenzialmente dannosi, aggiungerli all'elenco di elementi consentiti o rimuovere i componenti identificati.	AuditIfNotExists, Disabled	1.0.0-preview
[Anteprima]: L'avvio protetto deve essere abilitato sulle macchine virtuali Windows supportate	Abilitare l'avvio protetto nelle macchine virtuali Windows supportate per attenuare le modifiche dannose e non autorizzate alla catena di avvio. Dopo l'abilitazione, solo i bootloader attendibili, i kernel e i driver kernel saranno autorizzati a essere eseguiti. Questa valutazione si applica alle macchine virtuali Windows riservate e di avvio attendibile.	Audit, Disabled	4.0.0-preview
[Anteprima]: vTPM deve essere abilitato nelle macchine virtuali supportate	Abilitare il dispositivo TPM virtuale nelle macchine virtuali supportate per facilitare l'avvio misurato e altre funzionalità di sicurezza del sistema operativo che richiedono un TPM. Dopo l'abilitazione, vTPM può essere usato per attestare l'integrità dell'avvio. Questa valutazione si applica solo alle macchine virtuali abilitate per l'avvio attendibile.	Audit, Disabled	2.0.0-preview
L'estensione Configurazione guest deve essere installata nei computer	Per garantire configurazioni sicure delle impostazioni guest del computer, installare l'estensione Configurazione guest. Le impostazioni in guest monitorate dall'estensione includono la configurazione del sistema operativo, della configurazione o della presenza dell'applicazione e delle impostazioni dell'ambiente. Dopo l'installazione, saranno disponibili i criteri nei guest, ad esempio "È consigliabile abilitare Windows Defender Exploit Guard". Per ulteriori informazioni, vedi https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.3
I computer Linux devono soddisfare i requisiti per la baseline di sicurezza di Calcolo di Azure	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer non sono conformi se il computer non è configurato correttamente per una delle raccomandazioni nella baseline di sicurezza di calcolo di Azure.	AuditIfNotExists, Disabled	2.2.0
L'estensione Configurazione guest delle macchine virtuali deve essere distribuita con un'identità gestita assegnata dal sistema	L'estensione Configurazione guest richiede un'identità gestita assegnata al sistema. Le macchine virtuali di Azure nell'ambito di questo criterio saranno non conformi se l'estensione Configurazione guest è installata ma non dispone di un'identità gestita assegnata dal sistema. Per altre informazioni: https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1
I computer Windows devono soddisfare i requisiti della baseline di sicurezza di Calcolo di Azure	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer non sono conformi se il computer non è configurato correttamente per una delle raccomandazioni nella baseline di sicurezza di calcolo di Azure.	AuditIfNotExists, Disabled	2.0.0

Eseguire valutazioni delle vulnerabilità

ID: Microsoft Cloud Security Benchmark PV-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
È consigliabile abilitare una soluzione di valutazione della vulnerabilità nelle macchine virtuali	Controlla le macchine virtuali per rilevare se eseguono una soluzione di valutazione della vulnerabilità supportata. Un componente principale di ogni programma per la sicurezza e il rischio informatico è costituito dall'identificazione e dall'analisi delle vulnerabilità. Il piano tariffario standard del Centro sicurezza di Azure include l'analisi delle vulnerabilità per le macchine virtuali senza costi aggiuntivi. Inoltre, il Centro sicurezza è in grado di distribuire automaticamente questo strumento.	AuditIfNotExists, Disabled	3.0.0
È necessario che i risultati per i segreti delle macchine virtuali siano risolti	Controlla le macchine virtuali per rilevare se contengono risultati segreti dalle soluzioni di analisi dei segreti nelle macchine virtuali.	AuditIfNotExists, Disabled	1.0.2
La valutazione della vulnerabilità deve essere abilitata nell'istanza gestita di SQL	Controlla ogni istanza gestita di SQL in cui non sono abilitate analisi di valutazione della vulnerabilità ricorrenti. La valutazione della vulnerabilità consente di individuare, monitorare e risolvere le potenziali vulnerabilità del database.	AuditIfNotExists, Disabled	1.0.1
È consigliabile abilitare la valutazione della vulnerabilità nei server SQL	Controllare i server di Azure SQL in cui non è stata configurata adeguatamente la valutazione della vulnerabilità. La valutazione della vulnerabilità consente di individuare, monitorare e risolvere le potenziali vulnerabilità del database.	AuditIfNotExists, Disabled	3.0.0

Correggere in modo rapido e automatico le vulnerabilità del software

ID: Microsoft Cloud Security Benchmark PV-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Le immagini del registro contenitore in esecuzione in Azure devono avere vulnerabilità risolte (basate sulla gestione delle vulnerabilità di Microsoft Defender)	La valutazione della vulnerabilità dell'immagine del contenitore analizza il registro per individuare vulnerabilità comunemente note (CVE) e fornisce un report dettagliato sulle vulnerabilità per ogni immagine. La risoluzione delle vulnerabilità può migliorare notevolmente il comportamento di sicurezza, assicurandosi che le immagini siano sicure da usare prima della distribuzione.	AuditIfNotExists, Disabled	1.0.1
Le immagini del contenitore in esecuzione in Azure devono avere vulnerabilità risolte (basate sulla gestione delle vulnerabilità di Microsoft Defender)	La valutazione della vulnerabilità dell'immagine del contenitore analizza il registro per individuare vulnerabilità comunemente note (CVE) e fornisce un report dettagliato sulle vulnerabilità per ogni immagine. Questa raccomandazione offre visibilità sulle immagini vulnerabili attualmente in esecuzione nei cluster Kubernetes. La correzione delle vulnerabilità nelle immagini del contenitore attualmente in esecuzione è fondamentale per migliorare il comportamento di sicurezza, riducendo significativamente la superficie di attacco per i carichi di lavoro in contenitori.	AuditIfNotExists, Disabled	1.0.1
I computer devono essere configurati per verificare periodicamente la presenza di aggiornamenti del sistema mancanti	Per garantire che le valutazioni periodiche per gli aggiornamenti di sistema mancanti vengano attivate automaticamente ogni 24 ore, la proprietà AssessmentMode deve essere impostata su "AutomaticByPlatform". Altre informazioni sulla proprietà AssessmentMode per Windows: https://aka.ms/computevm-windowspatchassessmentmode, per Linux: https://aka.ms/computevm-linuxpatchassessmentmode.	Audit, Deny, Disabled	3.7.0
I risultati delle vulnerabilità devono essere risolti nei database SQL	Consente di monitorare i consigli e i risultati dell'analisi della valutazione della vulnerabilità per informazioni su come correggere le vulnerabilità del database.	AuditIfNotExists, Disabled	4.1.0
I risultati delle vulnerabilità devono essere risolti nei server SQL	Valutazione della vulnerabilità di SQL analizza il database per individuare vulnerabilità a livello di sicurezza ed espone eventuali scostamenti dalle procedure consigliate, ad esempio configurazioni errate, autorizzazioni eccessive e dati sensibili non protetti. La risoluzione delle vulnerabilità rilevate può migliorare significativamente il comportamento di sicurezza del database.	AuditIfNotExists, Disabled	1.0.0
È consigliabile installare gli aggiornamenti di sistema nei computer (tramite Update Center)	Nei computer mancano aggiornamenti di sistema, di sicurezza e critici. Gli aggiornamenti software spesso includono patch critiche per i problemi di sicurezza. Tali vulnerabilità vengono spesso sfruttate in attacchi di malware, quindi è fondamentale tenere aggiornato il software. Per installare tutte le patch in sospeso e proteggere i computer, seguire la procedura di correzione.	AuditIfNotExists, Disabled	1.0.1
Le vulnerabilità nella configurazione di sicurezza delle macchine devono essere risolte	I server che non soddisfano la baseline configurata verranno monitorati dal Centro sicurezza di Azure che invierà i consigli corrispondenti	AuditIfNotExists, Disabled	3.1.0

Sicurezza degli endpoint

Usa rilevamento e reazione dagli endpoint (EDR)

ID: Microsoft Cloud Security Benchmark ES-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3

Usare un software antimalware moderno

ID: Microsoft Cloud Security Benchmark ES-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Windows Defender Exploit Guard deve essere abilitato nelle macchine virtuali	Windows Defender Exploit Guard usa l’agente di Configurazione guest di Criteri di Azure. Exploit Guard include quattro componenti progettati per bloccare i dispositivi da un'ampia gamma di vettori di attacco e comportamenti di blocco usati comunemente negli attacchi malware, consentendo al contempo alle aziende di bilanciare i requisiti di rischi per la sicurezza e produttività (solo Windows).	AuditIfNotExists, Disabled	2.0.0

Backup e ripristino

Assicurarsi i backup regolari automatici

ID: Microsoft Cloud Security Benchmark BR-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
La soluzione Backup di Azure deve essere abilitata per le macchine virtuali	È possibile garantire la protezione delle macchine virtuali di Azure abilitando Backup di Azure. Backup di Azure è una soluzione di protezione dei dati per Azure sicura e conveniente.	AuditIfNotExists, Disabled	3.0.0
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per MariaDB	Il database di Azure per MariaDB consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per MySQL	Il database di Azure per MySQL consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per PostgreSQL	Il database di Azure per PostgreSQL consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1

Proteggere i dati di backup e di ripristino

ID: Microsoft Cloud Security Benchmark BR-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
La soluzione Backup di Azure deve essere abilitata per le macchine virtuali	È possibile garantire la protezione delle macchine virtuali di Azure abilitando Backup di Azure. Backup di Azure è una soluzione di protezione dei dati per Azure sicura e conveniente.	AuditIfNotExists, Disabled	3.0.0
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per MariaDB	Il database di Azure per MariaDB consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per MySQL	Il database di Azure per MySQL consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per PostgreSQL	Il database di Azure per PostgreSQL consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1

Sicurezza di DevOps

Applicare la sicurezza del carico di lavoro nel ciclo di vita di DevOps

ID: Microsoft Cloud Security Benchmark DS-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Le immagini del registro contenitore in esecuzione in Azure devono avere vulnerabilità risolte (basate sulla gestione delle vulnerabilità di Microsoft Defender)	La valutazione della vulnerabilità dell'immagine del contenitore analizza il registro per individuare vulnerabilità comunemente note (CVE) e fornisce un report dettagliato sulle vulnerabilità per ogni immagine. La risoluzione delle vulnerabilità può migliorare notevolmente il comportamento di sicurezza, assicurandosi che le immagini siano sicure da usare prima della distribuzione.	AuditIfNotExists, Disabled	1.0.1
Le immagini del contenitore in esecuzione in Azure devono avere vulnerabilità risolte (basate sulla gestione delle vulnerabilità di Microsoft Defender)	La valutazione della vulnerabilità dell'immagine del contenitore analizza il registro per individuare vulnerabilità comunemente note (CVE) e fornisce un report dettagliato sulle vulnerabilità per ogni immagine. Questa raccomandazione offre visibilità sulle immagini vulnerabili attualmente in esecuzione nei cluster Kubernetes. La correzione delle vulnerabilità nelle immagini del contenitore attualmente in esecuzione è fondamentale per migliorare il comportamento di sicurezza, riducendo significativamente la superficie di attacco per i carichi di lavoro in contenitori.	AuditIfNotExists, Disabled	1.0.1

Passaggi successivi

Articoli aggiuntivi su Criteri di Azure:

• Panoramica della Conformità con le normative.
• Vedere la struttura della definizione dell'iniziativa.
• Vedere altri esempi in Esempi di Criteri di Azure.
• Leggere Informazioni sugli effetti di Criteri.
• Informazioni su come correggere le risorse non conformi.