Linha de base de segurança do Azure para Observador de Rede

  • Artigo

Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 a Observador de Rede. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança na nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis a Observador de Rede.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem definições de Azure Policy relevantes, elas são listadas nessa linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.

Observação

Recursos não aplicáveis a Observador de Rede foram excluídos. Para ver como Observador de Rede mapeia completamente para o parâmetro de comparação de segurança em nuvem da Microsoft, consulte o arquivo de mapeamento completo da linha de base de segurança Observador de Rede.

Perfil de segurança

O perfil de segurança resume comportamentos de alto impacto de Observador de Rede, o que pode resultar em considerações de segurança maiores.

Atributo de comportamento do serviço Valor
Categoria do Produto Rede
O cliente pode acessar HOST/SO Sem Acesso
O serviço pode ser implantado na rede virtual do cliente Falso
Armazena o conteúdo do cliente em repouso Falso

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: use o Azure Active Directory (Azure AD) como o método de autenticação padrão para acessar os dados Observador de Rede. Observador de Rede tem várias funções RBAC internas do Azure que permitem um controle de permissão de acesso granular.

Referência: permissões de controle de acesso baseadas em função do Azure necessárias para usar Observador de Rede recursos

IM-7: restringir o acesso aos recursos com base nas condições

Recursos

Acesso condicional para o plano de dados

Descrição: o acesso ao plano de dados pode ser controlado usando Azure AD Políticas de Acesso Condicional. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)

Recursos

RBAC do Azure para Plano de Dados

Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para acesso gerenciado às ações do plano de dados do serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: Observador de Rede tem várias funções rbac internas do Azure que permitem que você tenha um controle granular das permissões baseadas em função para que os usuários acessem Observador de Rede.

Referência: permissões de controle de acesso baseadas em função do Azure necessárias para usar Observador de Rede recursos

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: dados em trânsito

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Notas sobre o recurso: o Azure Observador de Rede não armazena dados inativos do cliente, com exceção do serviço Monitor da Conexão que armazena os dados no workspace do Log Analytics por escolha do cliente.

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: use Microsoft Defender para Nuvem para configurar Azure Policy para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio da configuração detectado nos recursos. Use Azure Policy efeitos [negar] e [implantar se não existir] para impor a configuração segura entre os recursos do Azure.

Referência: Azure Policy definições internas para o Azure Rede Virtual

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Próximas etapas