Linha de base de segurança do Azure para automação

Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 à Automação. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis à Automação.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem definições de Azure Policy relevantes, elas são listadas nessa linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.

Perfil de segurança

O perfil de segurança resume comportamentos de alto impacto da Automação, o que pode resultar em considerações de segurança maiores.

Atributo de comportamento do serviço	Valor
Categoria do Produto	MGMT/Governança
O cliente pode acessar HOST/SO	Sem Acesso
O serviço pode ser implantado na rede virtual do cliente	True
Armazena o conteúdo do cliente em repouso	True

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Diretrizes de configuração: implante o serviço em uma rede virtual. Atribua IPs privados ao recurso (quando aplicável). Essa é a configuração recomendada do ponto de vista de segurança; no entanto, isso exige que você configure o Hybrid Runbook Worker conectado a uma rede virtual do Azure & atualmente não dá suporte a trabalhos de nuvem.

Rede para Automação do Azure

Referência: use Link Privado do Azure para conectar redes com segurança a Automação do Azure

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Link Privado do Azure

Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não deve ser confundida com NSG ou Firewall do Azure). Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Diretrizes de configuração: implante pontos de extremidade privados para todos os recursos do Azure que dão suporte ao recurso Link Privado, para estabelecer um ponto de acesso privado para os recursos.

Referência: use Link Privado do Azure para conectar redes com segurança a Automação do Azure

Desabilitar o acesso à rede pública

Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Notas de recurso: Automação do Azure serviço dá suporte à desabilitação do acesso à rede pública por meio de um Azure Policy interno ou você também pode usar o cmdlet do PowerShell – Definir sinalizadores de acesso à rede pública

Diretrizes de configuração: desabilite o acesso à rede pública usando o cmdlet do PowerShell ou um comutador de alternância para acesso à rede pública.

Referência: as contas de automação devem desabilitar o acesso à rede pública

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Notas de recurso: o recurso Hybrid Runbook Worker do usuário baseado em extensão (v2) do Automação do Azure usado para executar runbooks diretamente em um computador do Azure ou não Azure por meio de servidores registrados com servidores habilitados para Azure Arc usa Azure AD autenticação.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: visão geral da autenticação da conta Automação do Azure

Métodos de autenticação local para acesso ao plano de dados

Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Notas sobre o recurso: Automação do Azure serviço dá suporte ao método de autenticação local baseado em certificado para acesso ao plano de dados por meio do windows baseado em agente (v1) ou do Hybrid Runbook Worker do Linux, no entanto, essa não é a abordagem recomendada para integrar hybrid workers. Use o método de instalação do hybrid runbook worker baseado em extensão (v2) como a abordagem recomendada. Evite o uso de métodos ou contas de autenticação local, eles devem ser desabilitados sempre que possível. Em vez disso, use Azure AD para autenticar sempre que possível.

Diretrizes de configuração: restrinja o uso de métodos de autenticação local para acesso ao plano de dados. EM vez disso, use o Azure AD (Azure Active Directory) como método de autenticação padrão para controlar o acesso ao plano de dados.

Desabilitar a autenticação local na Automação

Referência: Implantar um Windows Hybrid Runbook Worker baseado em agente na Automação

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Recursos

Identidades gerenciadas

Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Notas de recurso: a Identidade Gerenciada do Sistema será criada por padrão se a Conta for criada por meio do portal, mas não por padrão se a conta for criada por meio da API/cmdlet. Também pode ser habilitado após a criação da conta.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: identidades gerenciadas

Entidades de Serviço

Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Falso	Não Aplicável	Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

IM-8: restringir a exposição de credenciais e segredos

Recursos

Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault

Descrição: o plano de dados dá suporte ao uso nativo de Key Vault do Azure para armazenamento de credenciais e segredos. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Notas de recurso: os ativos seguros no Automação do Azure incluem credenciais, certificados, conexões e variáveis criptografadas. Esses ativos são criptografados e armazenados na Automação usando uma chave exclusiva que é gerada para cada conta da Automação do Azure. A Automação armazena a chave no serviço do Key Vault gerenciado pelo sistema. Antes de armazenar um ativo seguro, a Automação do Azure carrega a chave do Key Vault e depois a usa para criptografar o ativo.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Gerenciar credenciais no Automação do Azure

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)

Recursos

RBAC do Azure para Plano de Dados

Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para obter acesso gerenciado às ações do plano de dados do serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Notas de recursos: a automação se integra ao RBAC do Azure para gerenciar seus recursos. Com o RBAC, você gerencia o acesso aos recursos do Azure por meio de atribuições de função. É possível atribuir funções a usuários, grupos, entidades de serviço e identidades gerenciadas. Determinados recursos têm funções internas predefinidas. É possível inventariar ou consultar essas funções por meio de ferramentas como a CLI do Azure, o Azure PowerShell ou o portal do Azure.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Gerenciar permissões de função e segurança no Automação do Azure

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Recursos

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Falso	Não Aplicável	Não Aplicável

Notas de recurso: o Lockbox não é implementado para Automação do Azure , em vez disso, Automação do Azure serviço criptografa o script runbook e a configuração de DSC com chaves gerenciadas pelo cliente antes de armazenar no banco de dados SQL, tornando os recursos de automação criptografados.

/en-us/azure/automation/whats-new-archive#added-capability-to-keep-automation-runbooks-and-dsc-scripts-encrypted-by-default

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: TLS 1.2 para Automação do Azure

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Notas de recurso: ativos seguros em Automação do Azure incluem credenciais, certificados, conexões e variáveis criptografadas. Esses ativos são protegidos na Automação do Azure usando vários níveis de criptografia. Por padrão, sua conta de automação do Azure usa chaves gerenciadas pela Microsoft.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Chaves gerenciadas pela Microsoft

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Automation:

Nome (Portal do Azure)	Descrição	Efeito(s)	Versão (GitHub)
As variáveis da conta de automação devem ser criptografadas	É importante habilitar a criptografia dos ativos variáveis da conta de Automação do Azure ao armazenar dados confidenciais	Audit, Deny, desabilitado	1.1.0

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário

Recursos

Criptografia de dados inativos usando a CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Diretrizes de configuração: se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia que usa chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados inativos usando a chave gerenciada pelo cliente para esses serviços.

Referência: criptografia de ativos seguros no Automação do Azure

DP-6: usar um processo de gerenciamento de chaves seguro

Recursos

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração de Key Vault do Azure para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Notas de recurso: Automação do Azure não dá suporte à integração com Key Vault nativamente para armazenar segredos personalizados usados por seus runbooks de Automação, no entanto, eles podem acessar Key Vault usando os cmdlets Key Vault de dentro do código do runbook de Automação.

Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Azure Key Vault e seu serviço com base em um agendamento definido ou quando houver uma desativação ou comprometimento importante. Quando houver a necessidade de usar a CMK (chave gerenciada pelo cliente) no nível da carga de trabalho, do serviço ou do aplicativo, siga as práticas recomendadas para o gerenciamento de chaves: use uma hierarquia de chaves para gerar uma DEK (chave de criptografia de dados) separada com sua KEK (chave de criptografia de chave) no cofre de chaves. Verifique se as chaves estão registradas no Azure Key Vault e referenciadas por meio de IDs de chave do serviço ou aplicativo. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Azure Key Vault), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chave.

DP-7: usar um processo seguro de gerenciamento de certificados

Recursos

Gerenciamento de certificados no Azure Key Vault

Descrição: o serviço dá suporte à integração de Key Vault do Azure para todos os certificados do cliente. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Notas de recurso: ativos seguros em Automação do Azure incluem credenciais, certificados, conexões e variáveis criptografadas. Esses ativos são criptografados e armazenados na Automação usando uma chave exclusiva que é gerada para cada conta da Automação do Azure. A Automação armazena a chave no serviço do Key Vault gerenciado pelo sistema. Antes de armazenar um ativo seguro, a Automação do Azure carrega a chave do Key Vault e depois a usa para criptografar o ativo.

Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida do certificado, incluindo criação, importação, rotação, revogação, armazenamento e limpeza do certificado. Verifique se a geração de certificados segue os padrões definidos sem usar nenhuma propriedade insegura, como: tamanho de chave insuficiente, período de validade excessivamente longo, criptografia insegura. Configure a rotação automática do certificado no Azure Key Vault e no serviço do Azure (se houver suporte) com base em um agendamento definido ou quando houver uma expiração do certificado. Se não houver suporte para rotação automática no aplicativo, verifique se eles ainda são girados usando métodos manuais no Azure Key Vault e no aplicativo.

Referência: Gerenciar certificados no Automação do Azure

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	True	Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Azure Policy definições internas para Automação do Azure

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Falso	Não Aplicável	Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
True	Falso	Cliente

Notas sobre o recurso: Automação do Azure pode enviar fluxos de trabalho e status de trabalho para o workspace do Log Analytics. Os logs e fluxos de trabalho podem ser vistos no portal do Azure ou com o PowerShell para trabalhos individuais.

Diretrizes de configuração: habilite os logs de recursos para o serviço. O conteúdo de logs de recursos varia de acordo com o tipo de recurso e serviço do Azure. A Automação do Azure pode enviar fluxos de trabalho e status de trabalho de runbook para seu workspace do Log Analytics. Os logs e fluxos de trabalho podem ser vistos no portal do Azure ou com o PowerShell para trabalhos individuais.

Referência: encaminhar Automação do Azure logs de diagnóstico para o Azure Monitor

Backup e recuperação

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.

BR-1: garantir backups automatizados regulares

Recursos

Serviço de Backup do Azure

Descrição: o serviço pode ser copiado em backup pelo serviço Backup do Azure. Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Falso	Não Aplicável	Não Aplicável

Notas sobre o recurso: não há suporte para Automação do Azure backup por meio de Backup do Azure. É sua responsabilidade garantir que você mantenha um backup válido de configuração de Automação, como runbooks e ativos.

É possível usar o Azure Resource Manager para implantar contas de Automação e recursos relacionados. É possível exportar modelos do Azure Resource Manager para usar como backups para restaurar contas de Automação e recursos relacionados. Use a Automação para chamar regularmente a API de exportação de modelos do Azure Resource Manager.

Siga (Backup de Dados de Automação) [/azure/automation/automation-managing-data#data-backup] para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança. Você também pode aproveitar as diretrizes sobre como configurar (recuperação de desastre)[/azure/automation/automation-disaster-recovery?tabs=win-hrw%2Cps-script%2Coption-one] para contas de Automação.

É possível usar o recurso de integração de controle do código-fonte para manter os runbooks na conta de Automação atualizados com os scripts no repositório de controle do código-fonte.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Funcionalidade de backup nativo do serviço

Descrição: o serviço dá suporte à sua própria funcionalidade de backup nativo (se não estiver usando Backup do Azure). Saiba mais.

Com suporte	Habilitado por padrão	Responsabilidade de configuração
Falso	Não Aplicável	Não Aplicável

Notas de recurso: Automação do Azure não fornece um mecanismo de backup nativo. É sua responsabilidade garantir que você mantenha um backup válido de configuração de Automação, como runbooks e ativos.

É possível usar o Azure Resource Manager para implantar contas de Automação e recursos relacionados. É possível exportar modelos do Azure Resource Manager para usar como backups para restaurar contas de Automação e recursos relacionados. Use a Automação para chamar regularmente a API de exportação de modelos do Azure Resource Manager.

É possível usar o recurso de integração de controle do código-fonte para manter os runbooks na conta de Automação atualizados com os scripts no repositório de controle do código-fonte.

Backup de Dados de Automação

Examine e determine se sua organização deseja configurar esse recurso de segurança. Você também pode aproveitar as diretrizes sobre como configurar a recuperação de desastre para contas de Automação.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Próximas etapas

• Confira a Visão geral do parâmetro de comparação de segurança de nuvem da Microsoft
• Saiba mais sobre a Linhas de base de segurança do Azure