Linha de base de segurança do Azure para o Serviço de Kubernetes do Azure (AKS)

Esta linha de base de segurança aplica as orientações do benchmark de segurança na nuvem da Microsoft versão 1.0 ao Serviço de Kubernetes do Azure (AKS). O parâmetro de comparação de segurança da nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo benchmark de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao Serviço de Kubernetes do Azure (AKS).

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. As definições do Azure Policy serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender para Nuvem.

Quando um recurso tem definições relevantes do Azure Policy, eles são listados nesta linha de base para ajudar você a medir a conformidade com as recomendações e controles de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano pago do Microsoft Defender para habilitar determinados cenários de segurança.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do Serviço de Kubernetes do Azure (AKS), que podem resultar em maiores considerações de segurança.

Atributo de Comportamento do Serviço	Valor
Categoria do Produto	Contêineres
O cliente pode acessar o HOST / SO	Sem Acesso
O serviço pode ser implantado na rede virtual do cliente	Verdadeiro
Armazena o conteúdo inativo do cliente	Verdadeiro

Segurança de rede

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: segurança de rede.

NS-1: Estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: O serviço dá suporte à implantação na rede virtual (VNet) privada do cliente. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Verdadeiro	Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Use a rede kubenet com seus próprios intervalos de endereços IP no Serviço de Kubernetes do Azure (AKS)

Suporte ao Grupo de Segurança de Rede

Descrição: O tráfego de rede de serviço respeita a atribuição de regra de grupos de segurança de rede em suas sub-redes. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Verdadeiro	Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Grupos de segurança de rede

NS-2: Proteger serviços de nuvem com controles de rede

Recursos

Link Privado do Azure

Descrição: Funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não confundir com o NSG ou o Firewall do Azure). Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: implante pontos de extremidade privados para todos os recursos do Azure que dão suporte ao recurso Link Privado, para estabelecer um ponto de acesso privado para os recursos.

Referência: Criar um cluster privado do Serviço de Kubernetes do Azure

Desabilitar o acesso à rede pública

Descrição: O serviço dá suporte à desabilitação do acesso à rede pública por meio do uso da regra de filtragem de ACL de IP no nível do serviço (não do NSG ou do Firewall do Azure) ou do uso de um comutador de alternância "Desabilitar acesso à rede pública". Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: use a CLI do Azure para desabilitar o FQDN Público em um cluster privado do Serviço Kubernetes do Azure.

Referência: Criar um cluster privado do Serviço de Kubernetes do Azure

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy: Microsoft.ContainerService:

Nome (Portal do Azure)	Descrição	Efeito(s)	Versão (GitHub)
Os intervalos de IP autorizados devem ser definidos nos Serviços do Kubernetes	Restrinja o acesso à API de Gerenciamento de Serviços do Kubernetes permitindo acesso à API somente aos endereços IP em intervalos específicos. Recomendamos limitar o acesso aos intervalos de IP autorizados para garantir que somente os aplicativos de redes permitidas possam acessar o cluster.	Audit, desabilitado	2.0.1

Gerenciamento de identidades

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: O serviço dá suporte ao uso da autenticação do Azure AD para acesso ao plano de dados. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: use o Azure Active Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de dados.

Referência: Integração do Active Directory do Azure gerenciada pelo AKS

Métodos de autenticação local para acesso ao plano de dados

Descrição: Métodos de autenticações locais compatíveis com o acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Observações sobre o recurso: Evite o uso de métodos ou contas de autenticação local, elas devem ser desabilitadas sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.

Diretrizes de configuração: você pode autenticar, autorizar, proteger e controlar o acesso a clusters do Kubernetes usando o controle de acesso baseado em função do Kubernetes (Kubernetes RBAC) ou usando o Azure Active Directory e o Azure RBAC.

Referência: opções de acesso e identidade para o Serviço de Kubernetes do Azure (AKS)

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Recursos

Identidades Gerenciadas

Descrição: As ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Verdadeiro	Microsoft

Notas de recurso: Por padrão, quando você cria um cluster AKS, uma identidade gerenciada atribuída pelo sistema é criada automaticamente. Se você não estiver usando a CLI do Azure para implantação, mas usando sua própria rede virtual, disco do Azure anexado, endereço IP estático, tabela de rotas ou identidade kubelet atribuída pelo usuário que esteja fora do grupo de recursos do nó de trabalho, é recomendável usar a identidade do plano de controle atribuída pelo usuário.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Usar uma identidade gerenciada no Serviço Kubernetes do Azure

Entidades de serviço

Descrição: O plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: Não há diretrizes atuais da Microsoft para essa configuração de recursos. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: Criar uma entidade de serviço

IM-7: restringir o acesso aos recursos com base nas condições

Recursos

Acesso condicional para o plano de dados

Descrição: O acesso ao plano de dados pode ser controlado usando as políticas de acesso condicional do Azure AD. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: defina as condições e os critérios aplicáveis para o acesso condicional do Azure Active Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear comportamento de entrada arriscado ou exigir dispositivos gerenciados pela organização para aplicativos específicos.

Referência:

• IM-1: Usar identidade centralizada e sistema de autenticação
• Usar o Acesso Condicional com o Azure AD e o AKS

IM-8: restringir a exposição de credenciais e segredos

Recursos

Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault

Descrição: O plano de dados dá suporte ao uso nativo do Azure Key Vault para armazenamento de credenciais e segredos. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: verifique se os segredos e as credenciais são armazenados em locais seguros, como o Cofre de Chaves do Azure, em vez de incorporá-los em arquivos de código ou configuração.

Referência: CSI Secret Store

Acesso privilegiado

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: acesso privilegiado.

PA-1: separar e limitar usuários altamente privilegiados/administrativos

Recursos

Contas de administrador local

Descrição: O serviço tem o conceito de uma conta administrativa local. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Observações sobre o recurso: Evite o uso de métodos ou contas de autenticação local, elas devem ser desabilitadas sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.

Diretrizes de configuração: você pode autenticar, autorizar, proteger e controlar o acesso a clusters do Kubernetes usando o controle de acesso baseado em função do Kubernetes (Kubernetes RBAC) ou usando o Azure Active Directory e o Azure RBAC.

Se não for necessário para operações administrativas de rotina, desabilite ou restrinja quaisquer contas de administrador local apenas para uso emergencial.

Referência: opções de acesso e identidade para o Serviço de Kubernetes do Azure (AKS)

PA-7: Seguir a administração Just Enough (princípio de privilégios mínimos)

Recursos

RBAC do Azure para Plano de Dados

Descrição: O Controle de Acesso Baseado em Função (RBAC) do Azure pode ser usado para gerenciar o acesso às ações do plano de dados do serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: use o controle de acesso baseado em função do Azure (RBAC do Azure) para gerenciar o acesso a recursos do Azure por meio de atribuições de função internas. As funções RBAC do Azure podem ser atribuídas a usuários, grupos, entidades de serviço e identidades gerenciadas.

Referência: Usar o RBAC do Azure para autorização do Kubernetes

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy: Microsoft.ContainerService:

Nome (Portal do Azure)	Descrição	Efeito(s)	Versão (GitHub)
O controle de acesso baseado em função do Azure (RBAC) deve ser usado nos serviços Kubernetes	Para fornecer filtragem granular sobre as ações que os utilizadores podem executar, utilize o Azure Role-Based Access Control (RBAC) para gerir permissões em clusters de serviço Kubernetes e configurar políticas de autorização relevantes.	Audit, desabilitado	1.0.3

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Recursos

Sistema de Proteção de Dados do Cliente

Descrição: o Customer Lockbox pode ser usado para acesso ao suporte da Microsoft. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Customer Lockbox para revisar, aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.

Referência: Customer Lockbox for Microsoft Azure

Proteção de dados

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: proteção de dados.

DP-1: Descobrir, classificar e rotular dados confidenciais

Recursos

Detecção e classificação de dados confidenciais

Descrição: ferramentas (como o Azure Purview ou a Proteção de Informações do Azure) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Falso	Não Aplicável	Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais

Recursos

Prevenção de Vazamento/Perda de Dados

Descrição: O serviço suporta a solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: se necessário para conformidade da prevenção de perda de dados (DLP), você pode usar uma solução DLP baseada em host do Azure Marketplace ou uma solução DLP do Microsoft 365 para impor controles preventivos e/ou detetives para evitar a exfiltração de dados.

Referência: Habilitar o Microsoft Defender para contêineres

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: O serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Orientação de configuração: habilite a transferência segura em serviços onde há um recurso de criptografia de dados em trânsito nativo integrado. Aplique HTTPS em quaisquer aplicativos e serviços Web e garanta que o TLS v1.2 ou posterior seja usado. Versões herdadas, como SSL 3.0, TLS v1.0 devem ser desabilitadas. Para gerenciamento remoto de Máquinas Virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.

Referência: Usar TLS com um controlador de entrada no Serviço de Kubernetes do Azure (AKS)

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy: Microsoft.ContainerService:

Nome (Portal do Azure)	Descrição	Efeito(s)	Versão (GitHub)
Os clusters do Kubernetes devem ser acessíveis somente via HTTPS	O uso do HTTPS garante a autenticação e protege os dados em trânsito de ataques de interceptação de camada de rede. Atualmente, essa funcionalidade está em disponibilidade geral para o AKS (Serviço do Kubernetes) e em versão prévia para o Kubernetes habilitado para Azure Arc. Para obter mais informações, visite https://aka.ms/kubepolicydoc	auditar, Auditar, negar, Negar, desabilitado, Desabilitado	8.1.0

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: A criptografia de dados em repouso usando chaves de plataforma é suportada, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Observações de recursos: a criptografia baseada em host é diferente da criptografia do lado do servidor (SSE), que é usada pelo Armazenamento do Azure. Os discos gerenciados pelo Azure usam o Armazenamento do Microsoft Azure para criptografar dados inativos automaticamente ao salvar dados. A criptografia baseada em host usa o host da VM para lidar com a criptografia antes de os dados fluirem por meio do Armazenamento do Microsoft Azure.

Diretrizes de configuração: habilite a criptografia de dados em repouso usando chaves gerenciadas por plataforma (gerenciadas pela Microsoft) onde não forem configuradas automaticamente pelo serviço.

Referência: criptografia baseada em host no Serviço de Kubernetes do Azure (AKS)

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário

Recursos

Criptografia de dados inativos usando a CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente é suportada para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: se necessário para conformidade normativa, defina o caso de uso e o escopo de serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados inativos usando a chave gerenciada pelo cliente para esses serviços.

Referência: criptografia baseada em host no Serviço de Kubernetes do Azure (AKS)

DP-6: usar um processo de gerenciamento de chaves seguro

Recursos

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração do Cofre de Chaves do Azure para quaisquer chaves, segredos ou certificados de clientes. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: use o Cofre de Chaves do Azure para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Cofre de Chaves do Azure e seu serviço com base em uma agenda definida ou quando houver uma retirada ou comprometimento de chave. Quando houver a necessidade de usar a chave gerenciada pelo cliente (CMK) no nível de carga de trabalho, serviço ou aplicativo, certifique-se de seguir as práticas recomendadas para o gerenciamento de chaves: use uma hierarquia de chaves para gerar uma chave de criptografia de dados (DEK) separada com sua chave de criptografia de chave (KEK) no cofre de chaves. Verifique se as chaves estão registradas no Cofre de Chaves do Azure e referenciadas por meio de IDs de chave do serviço ou aplicativo. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Cofre de Chaves do Azure), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chaves.

Referência: criptografia baseada em host no Serviço de Kubernetes do Azure (AKS)

DP-7: usar um processo seguro de gerenciamento de certificados

Recursos

Gerenciamento de certificados no Azure Key Vault

Descrição: o serviço oferece suporte à integração do Cofre de Chaves do Azure para qualquer certificado de cliente. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: use o Cofre de Chaves do Azure para criar e controlar o ciclo de vida do certificado, incluindo criação, importação, rotação, revogação, armazenamento e limpeza do certificado. Certifique-se de que a geração de certificado siga os padrões definidos sem usar nenhuma propriedade insegura, como: tamanho de chave insuficiente, período de validade excessivamente longo, criptografia insegura. Configure a rotação automática do certificado no Azure Key Vault e no serviço do Azure (se houver suporte) com base em um agendamento definido ou quando houver uma expiração de certificado. Se não houver suporte para rotação automática no aplicativo, certifique-se de que o certificado ainda seja girado usando métodos manuais no Azure Key Vault e no aplicativo.

Referência: Use TLS com seus próprios certificados com o Secrets Store CSI Driver

Gerenciamento de ativos

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: As configurações de serviço podem ser monitoradas e impostas por meio do Azure Policy. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: use o Microsoft Defender for Cloud para configurar a Política do Azure para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio da configuração detectado nos recursos. Use os efeitos da Política do Azure [negar] e [implantar se não existir] para impor a configuração segura nos recursos do Azure.

Referência: Política interna do Azure do AKS

Registro em log e detecção de ameaças

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução específica do Microsoft Defender para monitorar e alertar sobre problemas de segurança. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: o Microsoft Defender for Containers é a solução nativa da nuvem usada para proteger seus contêineres para que você possa melhorar, monitorar e manter a segurança de seus clusters, contêineres e seus aplicativos.

Referência: Habilitar o Microsoft Defender para contêineres

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy: Microsoft.ContainerService:

Nome (Portal do Azure)	Descrição	Efeito(s)	Versão (GitHub)
Os clusters de Serviço de Kubernetes do Azure devem ter o perfil do Defender habilitado	O Microsoft Defender para Contêineres fornece recursos de segurança para Kubernetes nativos de nuvem incluindo proteção de ambiente, proteção de cargas de trabalho e de tempo de execução. Quando você habilita o SecurityProfile.AzureDefender em seu cluster do Serviço de Kubernetes do Azure, um agente é implantado no cluster para coletar dados de eventos de segurança. Saiba mais sobre o Microsoft Defender para Contêineres em https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks	Audit, desabilitado	2.0.1

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs específicos de serviço aprimorados. O cliente pode configurar esses logs de recursos e enviá-los para o seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: habilite logs de recursos para o serviço. Por exemplo, o Cofre de Chaves oferece suporte a logs de recursos adicionais para ações que obtêm um segredo de um cofre de chaves ou e o SQL do Azure tem logs de recursos que rastreiam solicitações para um banco de dados. O conteúdo de logs de recursos varia de acordo com o tipo de recurso e serviço do Azure.

Referência: Coletar logs de recursos

Gerenciamento de vulnerabilidades e postura

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: postura e gerenciamento de vulnerabilidades.

PV-3: Estabelecer configurações seguras para recursos de computação

Recursos

Imagens de contêiner personalizadas

Desription: O serviço oferece suporte ao uso de imagens de contêiner fornecidas pelo usuário ou imagens pré-criadas do mercado com determinadas configurações de linha de base pré-aplicadas. Saiba mais

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Orientação de configuração: ao usar o Registro de Contêiner do Azure (ACR) com o Serviço de Kubernetes do Azure (AKS), você precisa estabelecer um mecanismo de autenticação. A configuração das permissões necessárias entre o ACR e o AKS pode ser realizada usando a CLI do Azure, o Azure PowerShell e o portal do Azure. A integração do AKS ao ACR atribui a função AcrPull à identidade gerenciada do Azure AD (Azure Active Directory) associada ao pool de agentes do cluster do AKS.

Referência: Integrar o Registro de Contêiner do Azure ao Serviço de Kubernetes do Azure - Serviço de Kubernetes do Azure

PV-5: realizar avaliações de vulnerabilidade

Recursos

Avaliação de vulnerabilidade usando o Microsoft Defender

Desription: o serviço pode ser verificado quanto à verificação de vulnerabilidades usando o Microsoft Defender for Cloud ou outro recurso de avaliação de vulnerabilidade incorporado dos serviços Microsoft Defender (incluindo o Microsoft Defender para servidor, registro de contêiner, Serviço de Aplicativo, SQL e DNS). Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: por padrão, ao habilitar o plano por meio do portal do Azure, o Microsoft Defender para Contêineres é configurado para instalar automaticamente os componentes necessários para fornecer as proteções oferecidas pelo plano, incluindo a atribuição de um espaço de trabalho padrão.

Referência: Gerenciamento de vulnerabilidades para o Serviço de Kubernetes do Azure - Serviço de Kubernetes do Azure

Backup e descoberta

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: backup e recuperação.

BR-1: garantir backups automatizados regulares

Recursos

Serviço de Backup do Azure

Descrição: o backup do serviço pode ser feito pelo serviço de Backup do Azure. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Verdadeiro	Falso	Customer

Diretrizes de configuração: habilite o Backup do Azure e configure a fonte de backup (como Máquinas Virtuais do Azure, SQL Server, bancos de dados HANA ou Compartilhamentos de Arquivos) em uma frequência desejada e com um período de retenção desejado. Para Máquinas Virtuais do Azure, você pode usar a Política do Azure para habilitar backups automáticos.

Referência: Fazer backup do Serviço de Kubernetes do Azure usando o Backup do Azure

Capacidade de backup nativo do serviço

Descrição: O serviço dá suporte a sua própria funcionalidade de backup nativo (se não estiver usando o Backup do Azure). Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade da Configuração
Falso	Não Aplicável	Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

Próximas etapas

• Consulte a visão geral do benchmark de segurança na nuvem da Microsoft
• Saiba mais sobre a Linhas de base de segurança do Azure